vpn sous windows avec ipseccmd

par **bethy** » 02 Mars 2004 17:58

Bonjour, je suis en train d'essayer de monter un vpn entre windows XP et unix de type roadwarrior. La configuration de unix est correcte puisqu'elle fonctionne correctement avec un autre unix. j'ai installe le pack ipsec.exe et ipseccmd sur xp. et j'ai configurer ipsec.conf: conn test left=%any right=passerelle du reseau distant rightsubnet= reseau interne voisin presharedkey=testetstestets network=ras auto=start pfs=yesy authmode=sha sur unix: main mode 3des sha :quick mode esp-aes-sha-pfs quand je lance ipsec -debug , cela semble tout a fais correct quand je lance un ping 1 adresse du reseau distant: 1ere: negociation IP security et la deuxieme fois: request timed out En fait je me suis rendu compte que lorsque j'avais request timed out, c'est au moment ou le quick mode sas est cree (ipseccmd -show sas) je pense que ce doit sans doute etre un probleme de configuration de ike ou de cles de chiffrement. A moins que ce ne soit autre chose. Mais je ne comprends pas ce qui cloche. si quelqu'un a une idee merci d'avance bethy <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_eek.gif"> <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_confused.gif">

par **tmcdoudou** » 03 Mars 2004 09:41

yo J'ai le meme pb negociation IP security quand je test un ping j'ai po de time out , jai beau changer destination source sa ne change rien help ! <IMG SRC="images/smiles/icon_smile.gif"> bises

par **belugha** » 03 Mars 2004 10:15

Salut, Je suppose que sur Unix tu utilise Freeswan <IMG SRC="images/smiles/icon_wink.gif"> Si oui, peux-tu poster egalement tes fichiers ipsec.conf et ipsec.secrets. Ensuite sur windows XP est-tu parti du VPN ebootis ? Ensuite concernant le fichier ipsec.conf de windows XP, je ferais comme cela: conn test left= ip du serveur distant leftsubnet= masque lan serveur VPN right=%any (ip stations nomade) rightsubnet=192.168.2.0/255.255.255.0 presharedkey=mdp network=auto auto=start pfs=yes Même chose pour le fichier ipsec.conf sur Unix (en completant à bon escient le fichier ipsec.secrets) Lorsque tu lance la VPN à partir de XP par la commande ipsec -debug, qu'as-tu comme infos ? Voilà <IMG SRC="images/smiles/icon_wink.gif">

par **bethy** » 03 Mars 2004 15:32

bonjour, merci pour vos reponse, je vais vous donner plus d'info. Machine Xp: a.a.a.a/32 conn Roadwarrior left=%any right=b.b.b.b rightsubnet=b.b.c.0/255.255.255.0 presharedkey=****************** network=ras auto=start pfs=yes Machine unix (passerelle)b.b.b.b. -Main mode: 3des sha -Quick mode qm esp aes sha pfs Machine derriere machine unix b.b.c.c, autre unix Mon VPN est monte sur un unix , de type roadwarrior. -j’ai fais un netstat –rn et mes routes non seulement sont crees mais en plus elles sont correctes. Je lance ipsec –debug: PSec Version 2.2.0 (c) 2001-2003 Marcus Mueller Getting running Config ... Microsoft's Windows XP identified Debugging on. Setting up IPSec ... Deactivating old policy... Removing old policy... Connection Roadwarrior: MyTunnel : a.a.a.a MyNet : a.a.a.a/255.255.255.255 PartnerTunnel: b.b.b.b PartnerNet : b.b.c.0/255.255.255.0 CA (ID) : Preshared Key ****************** PFS : y Auto : start Auth.Mode : sha Rekeying : 3600S/50000K Activating policy... Ensuite je test le vpn xp sur ma machine . Et la grace a un tcpdump lorsque je lance des pings je vois les paquets passes sur la machine unix (interface externe direction internet): …. exchange ID_PROT …..exchange ID_PROT encrypted ….. exchange QUICK_MODE encrypted (etape quick mode) sur la machine xp apres avoir lance ipsec –debug je vois ping b.b.c.c Negotiating IP security Puis quand le quick mode apparait (ipseccmd show sas) ping b.b.c.c: request timed out. Meme probleme pour tracert b.b.c.c. Conclusion: -j’ ai l’impression qu’il y a bien un echange de cles entre unix et windows. j’ai pendant la premiere etape l’apparition seulement de main mode sas cela a l’air de fonctionner. A mon avis se doit etre le quick mode sas qui pose un probleme. Car des qu’il apparait dans ipseccmd show sas cela ne fonctionne plus. Mais mes routes vpn sont correctes. donc normalement mes protocoles de routages aussi????? Peut etre un probleme de configuration ike ou windows xp???? Par contre je ne comprends pas du tout pourquoi a moins que j’ai oublie de faire quelque chose dans la configuration. Merci d'avance pour tous vos conseils. bethy <IMG SRC="images/smiles/icon_help.gif">

par **JaDiuM** » 03 Mars 2004 15:47

Bonjour, Auto = start <- client Auto = add <- serveur Verifis aussi l'ordre de ton ipsec.secrets Cdt

par **belugha** » 03 Mars 2004 15:49

Que te donne les logs sur l'UNIX ? (peut-être sous/var/log/secure ? qq choses du genre )

par **bethy** » 03 Mars 2004 16:03

Jadium: peux tu prseciser, je ne comprends pas ce que tu veux dire belugha: je n'ai pas de log pour vpn sur unix ou je n'ai pas trouve

par **JaDiuM** » 03 Mars 2004 16:14

Re, Ta machine gateway (unix) doit être en mode auto = add et ton client M$ en auto = start test et poste à nouveau tes logs. Cdt

par **belugha** » 03 Mars 2004 16:17

Ce que veut dire Jadium c'est que du coté client c'est à dire Windows Xp dans le fichier ipsec.conf tu dois avoir auto=start et du coté serveur donc Unix auto=add. Par contre si tu n'as pas de log sur Unix c'est plutôt inquiètant car tu ne peux pas controler ta VPN et avoir les messsages d'erreur . <IMG SRC="images/smiles/icon_razz.gif">

par **bethy** » 03 Mars 2004 16:24

j'ai essaye ta solution , ca ne marche pas puisque xp c'est mon client. quand a unix c'est un autre type de configuration totalement different... merci de votre aide

par **JaDiuM** » 03 Mars 2004 16:32

Est il a quoi de si différent??? j'aimerai juste comprendre

par **belugha** » 03 Mars 2004 16:35

il est different car Betty n'utilise vraisemblablement pas Freeswan , mais un module existant sur l'Unix donc on ne connait toujours pas le nom <IMG SRC="images/smiles/icon_smile.gif">

par **JaDiuM** » 03 Mars 2004 17:12

Bien, Mais cela ne change rien au principe de base client-serveur (base ipsec) en warrior. M'enfin attendons des précisions

vpn sous windows avec ipseccmd

Qui est en ligne ?