VPN Dynamique entre 2 IPCop (début d'un HowTo)

Forum traitant de la distribution sécurisée montante nommée IP cop et basée sur la distribution Smoothwall. C'est à l'heure actuelle le forum le plus actif du site.

Modérateur: modos Ixus

Messagepar EmpereurZorg » 26 Juin 2002 12:20

Je n'ai pas trouvé de site expliquant clairement la mise en place d'un VPN entre 2 IPCop avec IP dynamiques... Si vous pouviez corriger, compléter et que cela devienne une mini doc, ce serai pô mal non ?! <BR>__________________ <BR> <BR>Création des DynDns : <BR>- S'inscrire sur le site de DNS Dynamique de son choix (no-ip.com, dyndns.org...) et créer 2 adresses site1.dyndns.org et site2.dyndns.org. <BR>- Dans la rubrique < Services/ Dynamic Dns > d'IPCop, configurer avec les identifiants et nom d'hôte choisi (sans oublier de cocher 'enabled'... <IMG SRC="images/smiles/icon_biggrin.gif"> ), puis faire un 'force update' <BR>- Depuis un poste relié au net ou directement sur l'interface SSH des IPCop, faire un ping des 2 'siteX.dyndns.org'. En cas de soucis, vérifiez bien que vous n'avez pas fait de faute dans les noms/password avant de poster sur un forum ! <IMG SRC="images/smiles/icon_biggrin.gif"> <BR>__________________ <BR> <BR>Mise en place du VPN <BR>- Editer le fichier /home/httpd/cgi-bin/vnp.cgi/vpnconfig.dat <BR>- dans le paragraphe commencant par <if ($cgiparam{'ACTION'} eq $tr{'add'})> mettre en commentaire (#) les lignes concernant les paramètres "LEFT", "LEFTNEXTHOP", "RIGHT", "RIGHTNEXTHOP" (2 ou trois lignes par paramètre suivant les versions...) <BR>- Enregistrer les modifs <IMG SRC="images/smiles/icon_rolleyes.gif"> <BR>- Sur chaque IPCop, configurer à l'identique la connexion VPN : <BR> <BR> Name : Connexion VPN <BR> Left : site1.dyndns.org <BR> LeftNextHop : %defaultroute <BR> LeftSubnet : <sous réseau gauche/classe> <BR> <BR> Right : site2.dyndns.org <BR> RightNextHop : %defaultroute <BR> RightSubNet : <sous réseau droite/classe> <BR> <BR> Pasword : comme son nom l'indique... <BR> Cocher : "Enabled" <BR> Compression ( beta3) : pour accélerer les transferts ?! (non testé) <BR> <BR>- Une fois la connexion ajoutée, retourner dans la partie "Control", vérifier que VPN est bien coché, puis cliquer sur Restart de chaque coté. <BR>__________________ <BR> <BR>Si tout c'est bien passé, ça doit se mettre au vert <IMG SRC="images/smiles/icon_biggrin.gif"> <BR>__________________ <BR> <BR>Bon, c'est de cette manière que j'ai procédé, le VPN est établi. <BR> <BR>Je cherche maintenant plusieurs choses : <BR>- je n'arrive pas à joindre les machines de chaque côté. Il faut certainement ajouter manuellement des routes sur les firewall/machines connectées ?! Le but de l'opération etant de prendre à distance des PC par Dameware (eq. VNC), faut il ouvrir des ports ou bien le VPN se charge de tous les forward entre les 2 réseaux ? <BR>- A chaque reconnexion, le VPN ne se 'restart' pas automatiquement. En fouillant sur le net j'ai trouvé la méthode mais j'ai pas encore testé. Voila l'adresse : <BR><!-- BBCode auto-link start --><a href="http://ipcop.no-ip.com/ipcsupport/modules.php?op=modload&name=Downloads&file=index&req=viewdownloaddetails&lid=27&ttitle=VPN_script_v2" target="_blank">http://ipcop.no-ip.com/ipcsupport/modules.php?op=modload&name=Downloads&file=index&req=viewdownloaddetails&lid=27&ttitle=VPN_script_v2</a><!-- BBCode auto-link end --> <BR> <BR> <BR>Merci de votre aide <IMG SRC="images/smiles/icon_bise.gif"> <BR> <IMG SRC="images/smiles/icon_biggrin.gif"> <BR><BR><font size=-2></font>
Avatar de l’utilisateur
EmpereurZorg
Premier-Maître
Premier-Maître
 
Messages: 54
Inscrit le: 28 Fév 2002 01:00
Localisation: ORLEANS/FRANCE

Messagepar wann » 26 Juin 2002 13:58

<!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR> Si vous pouviez corriger, compléter et que cela devienne une mini doc, ce serai pô mal non ?! <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Ce que tu présentes est déjà assez complet. Reste à expliquer le principe de la notation du masque en nombre de bits et à préciser que droite est droite des 2 côtés (de même pour gauche). <BR> <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>Je cherche maintenant plusieurs choses : <BR>- je n'arrive pas à joindre les machines de chaque côté. Il faut certainement ajouter manuellement des routes sur les firewall/machines connectées ?! <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Non, c'est parfaitement inutile car ces routes nouvelles sont créée à l'établissement du VPN. <BR>Si tu tapes la commande 'nestat -r' tu verras que l'apparition d'une interface "ipse0" pour router vers le réseau distant. En tapant 'ipsec barf | more' tu auras également toutes les informations relatives à l'établissement du VPN. C'est très complet. <BR> <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>Le but de l'opération etant de prendre à distance des PC par Dameware (eq. VNC), faut il ouvrir des ports ou bien le VPN se charge de tous les forward entre les 2 réseaux ? <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Non tout passe par le tunnel créé, comme si tu étais dans un réseau local. la première vérification à effectuer est un ping d'une machine distante (réseau vert distant). <BR> <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>- A chaque reconnexion, le VPN ne se 'restart' pas automatiquement. En fouillant sur le net j'ai trouvé la méthode mais j'ai pas encore testé. (j'ai pas l'adresse www sur moi, mais je la poste ce soir si personne ne la donne avant) <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Sur IPCop, c'est tout simple, il suffit de rajouter la ligne de commande permettant de relancer automatiquement le démon de VPN à la fin du fichier de connexion ppp. <BR>Là, c'est tout de mémoire car je n'ai rien sous la main pour vérifier. Je crois qu'il faut entrer : <BR>'ipsecctrl R' (en respentant la même syntaxe, quotes ou doubles quotes) à la fin du fichier "ppp.up"... Joe Bar devrait pouvoir préciser ça <IMG SRC="images/smiles/icon_smile.gif"> <BR> <BR>@+ <BR> <BR>Wann <BR>
"Free your mind and your ass wil follow" (George Clinton)
Avatar de l’utilisateur
wann
Amiral
Amiral
 
Messages: 1032
Inscrit le: 07 Jan 2002 01:00
Localisation: Nantais, parfois ;-)

Messagepar joebar » 26 Juin 2002 19:06

Oui c'est bien ca, tu rajoute ca à la fin du ip-up dans /etc/ppp et ca roule tout seul. <BR> <BR>En fait c'est ce qu'il ont fait sur la beta 0.1.2b3 <BR> <BR>system('/usr/local/bin/ipsecctrl','R'); <BR> <BR>@+
Avatar de l’utilisateur
joebar
Contre-Amiral
Contre-Amiral
 
Messages: 453
Inscrit le: 22 Jan 2002 01:00
Localisation: Cherbourg

Messagepar xavier » 26 Juin 2002 22:52

<!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE>Si vous pouviez corriger, compléter et que cela devienne une mini doc, ce serai pô mal non ?! </BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR> <BR>excellente idée, c'est dans ce sens qu'il faut aller <IMG SRC="http://www.freegaia.com/smileys/enaccord/enaccord8.gif"> <BR> <BR>_________________ <BR><a href=http://zalowe.homeip.net/gallery target=blanc>Quelques photos sur un SME</a><BR><BR><font size=-2></font>
xavier
Capitaine de vaisseau
Capitaine de vaisseau
 
Messages: 306
Inscrit le: 18 Juin 2001 00:00

Messagepar EmpereurZorg » 26 Juin 2002 23:45

Je viens de rajouter dans mon premier post le lien avec le script pour automatiser les reconnexion VPN. C'est "in english" dans le texte mais je n'ai pas trop le temps de tester pour le moment. <BR>Toujours est-il que malgré une connexion "OPEN" entre mes 2 IPCop (une beta3 d'un côté et une 1.1 de l'autre), je ne fait pas encore grand chose : <BR>- "côté beta3", je ping le firewall "coté 0.1.1" mais pas les machines du réseau, <BR>- "côté 0.1.1", je ne vois rien du tout, ni le firewall opposé et encore moins les machines (c'est là que ça coince apparament !) <BR> <BR>J'aurais plus de temps la semaine prochaine pour tout passer en beta 3 et/ou résoudre le pb...
Avatar de l’utilisateur
EmpereurZorg
Premier-Maître
Premier-Maître
 
Messages: 54
Inscrit le: 28 Fév 2002 01:00
Localisation: ORLEANS/FRANCE

Messagepar xavier » 29 Juin 2002 16:34

<IMG SRC="images/smiles/icon_up.gif">
xavier
Capitaine de vaisseau
Capitaine de vaisseau
 
Messages: 306
Inscrit le: 18 Juin 2001 00:00

Messagepar cakay » 01 Juil 2002 20:16

Bonsoir <IMG SRC="images/smiles/icon_wink.gif"> <BR> <BR>Je profite de ce HowTo pour exposer à nouveau mon problème <BR> <BR>J'ai, sur un site A, un IPCOP. Ce site A à plusieurs réseaux - 192.168.0.0, 192.168.1.0 etc... Mon IP Internet est fixe. Mon IPCOP est sur le réseau 192.168.0.0 <BR> <BR>J'ai, sur un site B, un IPCOP. Ce site B à comme réseau 192.168.100.0/24. Ma connexion Internet est ADSL. <BR> <BR>Je crée un VPN entre A et B <BR> <BR>Si d'une machine du site B, 192.168.100.2, je fais un ping sur une machine du site A, ping 192.168.0.2, sur le réseau de IPCOP le ping est réussi <BR> <BR>Si je fais un ping sur 192.168.1.2 à ce moment là plus de réponse et inversement bien sûr <IMG SRC="images/smiles/icon_frown.gif"> <BR> <BR>Pourquoi n'arrive-je pas à voir mes autres réseaux <IMG SRC="images/smiles/icon_confused.gif"> <BR> <BR>Y'a-t-il une option pour traverser les réseaux ? <BR> <BR>j'ai pourtant mis le masque adéquat je pense : <BR> <BR>192.168.0.0/16 dans subnet réseau A <BR> <BR>Merci pour l'aide et la lumière que vous pourriez apporter à ce mystère <IMG SRC="images/smiles/icon_help.gif">
kimbé rèd pa moli ;)
Avatar de l’utilisateur
cakay
Premier-Maître
Premier-Maître
 
Messages: 49
Inscrit le: 18 Mai 2002 00:00
Localisation: 83

Messagepar EmpereurZorg » 01 Juil 2002 21:55

remise en forme pour voir si j'ai tout compris <IMG SRC="images/smiles/icon_smile.gif"> : <BR> <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>Site A : <BR>A1=192.168.0.0 (IPCOP) <BR>A2=192.168.1.0 <BR>IP Internet : fixe. <BR> <BR>Site B : <BR>192.168.100.0 (IPCOP) <BR>IP Internet : ADSL. <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR> <BR>ok !? <BR> <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>VPN entre A et B, ping B vers A : <BR>- vers 192.168.0.2 : réussi. <BR>- vers 192.168.1.2 : foiré <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR> <BR>ok !? <BR> <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>j'ai pourtant mis le masque adéquat je pense : <BR>192.168.0.0/16 dans subnet réseau A <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR> <BR>Bah les adresses 192, c'est pas /24 plutôt ? <BR> <BR>Ensuite si ton IPCop est sur le réseau A1, je pense qu'il faut ajouter une route sur la A2, style ROUTE ADD 192.168.1.0 255.255.255.0 <BR> <BR>Ceci dit, je me débrouille avec des bribes de souvenirs de cours réseaux et pis <!-- BBCode auto-link start --><a href="http://www.commentcamarche.net/internet/ip.php3..." target="_blank">http://www.commentcamarche.net/internet/ip.php3...</a><!-- BBCode auto-link end --> <BR>On fait comme on peut, mais au moins on progresse ! <IMG SRC="images/smiles/icon_biggrin.gif">
Avatar de l’utilisateur
EmpereurZorg
Premier-Maître
Premier-Maître
 
Messages: 54
Inscrit le: 28 Fév 2002 01:00
Localisation: ORLEANS/FRANCE

Messagepar cakay » 01 Juil 2002 23:22

la route à A2 a été ajouté dès le départ <IMG SRC="images/smiles/icon_wink.gif"> <BR> <BR>route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.254 <BR> <BR>à moins que...je rajoute cette route sur le PC en réseau B <IMG SRC="images/smiles/icon_confused.gif"> <BR> <BR>concernant le mask, je mets /16 car le réseau B se connecte sur le subnet A qui a un réseau avec plus de 800 machines. donc un mask à /24, 254 machines, enfin je cherche <IMG SRC="images/smiles/icon_wink.gif">
kimbé rèd pa moli ;)
Avatar de l’utilisateur
cakay
Premier-Maître
Premier-Maître
 
Messages: 49
Inscrit le: 18 Mai 2002 00:00
Localisation: 83

Messagepar cakay » 02 Juil 2002 17:31

après un traceroute, je constate que c'est IPCOP qui fait barrage <IMG SRC="images/smiles/icon_eek.gif"> <BR> <BR>cela ne viendrait-il pas des règles IPCHAINS qui n'accepte pas le forward des mes différents segments <IMG SRC="images/smiles/icon_confused.gif"> <BR> <BR> <IMG SRC="images/smiles/icon_help.gif"> plize <BR> <BR>c'est quand même nul de ne pas pouvoir dialoguer avec les différents segments de son réseau <IMG SRC="images/smiles/icon_frown.gif">
kimbé rèd pa moli ;)
Avatar de l’utilisateur
cakay
Premier-Maître
Premier-Maître
 
Messages: 49
Inscrit le: 18 Mai 2002 00:00
Localisation: 83

Messagepar wann » 02 Juil 2002 18:59

<!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>Bah les adresses 192, c'est pas /24 plutôt ? <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Pas nécessairement ! <BR>Même si l'on associe souvent un masque de classe C (255.255.255.0) à une adresse de classe C (192.x.x.x à 223.x.x.x), on peut tout à fait utiliser des masques de classe B (255.255.0.0) ou A (255.0.0.0) ainsi que faire du subnetting ou du supernetting... Toutes les combinaisons sont envisageables ! <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>concernant le mask, je mets /16 <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Dans ton cas, il s'agit d'un masque de classe B (255.255.0.0) qui englobe à la fois tes réseau A1, A2 et B ! <BR>En effet, avec un masque de classe B, la partie réseau de l'adresse se limite aux 2 premiers octets (c'est à dire 192.168), le reste servant à définir les hosts. <BR>Pour que ça marche, essaie la config suivante : <BR>- du côté A : 192.168.0.0/21 (de 192.168.0.1 à 192.168.7.254) <BR>- du côté B : 192.168.100/24 (de 192.168.100.1 à 192.168.100.254) <BR><!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>après un traceroute, je constate que c'est IPCOP qui fait barrage. <BR>cela ne viendrait-il pas des règles IPCHAINS qui n'accepte pas le forward des mes différents segments ? <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR>Non, je pense que ça vient simplement d'un problème de masque.
"Free your mind and your ass wil follow" (George Clinton)
Avatar de l’utilisateur
wann
Amiral
Amiral
 
Messages: 1032
Inscrit le: 07 Jan 2002 01:00
Localisation: Nantais, parfois ;-)

Messagepar wann » 05 Juil 2002 12:09

<IMG SRC="images/smiles/icon_up.gif"> par ce que ça le mérite... <BR> <BR>Qui se propose de rédiger un beau how-to à partir des informations recueillies ? <BR> <BR>Qui a essayé le script donné en référence ? <BR> <BR>Cakay, ton VPN fonctionnet-til désormais ? <BR>(mieux vaut créer un nouveau topic pour s'étendre sur ton sujet) <BR> <BR>... <BR> <BR>@+ <BR> <BR>wann
"Free your mind and your ass wil follow" (George Clinton)
Avatar de l’utilisateur
wann
Amiral
Amiral
 
Messages: 1032
Inscrit le: 07 Jan 2002 01:00
Localisation: Nantais, parfois ;-)

Messagepar pharaon » 05 Juil 2002 13:09

<IMG SRC="images/smiles/icon_up.gif"> et pour se connecter a partir d'un poste isolé (98 ou xp ) sur ipcop qq'un a des tuyaux <IMG SRC="images/smiles/icon_smile.gif"> <BR> <BR> <BR> <IMG SRC="images/smiles/icon_help.gif">
Avatar de l’utilisateur
pharaon
Quartier Maître
Quartier Maître
 
Messages: 21
Inscrit le: 01 Juil 2002 00:00

Messagepar wann » 05 Juil 2002 15:28

<!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>Le 2002-07-05 13:09, pharaon a écrit: <BR> <IMG SRC="images/smiles/icon_up.gif"> et pour se connecter a partir d'un poste isolé (98 ou xp ) sur ipcop qq'un a des tuyaux <IMG SRC="images/smiles/icon_smile.gif"> <BR> <BR> <BR> <IMG SRC="images/smiles/icon_help.gif"> <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR> <BR>Pour ça également, je suis hyper demandeur d'informations ! Malheureusement, je ne crois pas qu'IPCop supporte les connexions "road warrior" pour le moment.
"Free your mind and your ass wil follow" (George Clinton)
Avatar de l’utilisateur
wann
Amiral
Amiral
 
Messages: 1032
Inscrit le: 07 Jan 2002 01:00
Localisation: Nantais, parfois ;-)

Messagepar cakay » 07 Juil 2002 21:09

non Wann, ça ne fonctionne toujours pas <IMG SRC="images/smiles/icon_frown.gif"> <BR> <BR>je vais essayé avec eSmith 5.5 la partie VPN et voir si j'ai le même problème <BR> <BR>dans ma table de routage j'ai bien spécifié les routes mais rien à faire <IMG SRC="images/smiles/icon_boxe2.gif"> <BR> <BR>c'est vraiment dommage car je touchais presque à la perfection avec cet outil <IMG SRC="images/smiles/icon_biggrin.gif">
kimbé rèd pa moli ;)
Avatar de l’utilisateur
cakay
Premier-Maître
Premier-Maître
 
Messages: 49
Inscrit le: 18 Mai 2002 00:00
Localisation: 83


Retour vers IPCop

Qui est en ligne ?

Utilisateur(s) parcourant actuellement ce forum : Aucun utilisateur inscrit et 1 invité

cron