Ludodo a écrit:J'utilise OpenVPN (car avec FreeSwan, l'interface ipsec0 n'apparait pas ?!). J'ai suivi la documentation "Mandriva Guide MNF2" de Yves-Gwenael Bourhis et Vincent Cuirassier. MNF_A est configuré en serveur VPN, MNF_B en client VPN.
La gestion des certificats se fait bien, le VPN se fait sur la plage 192.168.100.X, le client openvpn pour windows se connecte bien dans le LAN1. Je peux pinguer les adresses du LAN2 depuis le LAN1.
Ce qui ne marche pas : l'exploration dans le voisinage reseau windows
. J'ai pensé à un probléme de pare-feu ou de routage, et c'est la qu'intervienne mes questions :
Dans les règles du pare-feu, j'ai ajouté les deux règles suivantes
Client Server Policy
vpn all ACCEPT
all vpn ACCEPT
Ok. Par contre dans ma doc je dis bien que c'est une "policy" temporaire mais il faut la durcir en mode de production.
Ludodo a écrit:Si je comprends bien ces règles, toute echange d'un element du VPN à l'autre ne doit pas etre filtré par mon pare-feu, non ? Il me parait donc inutile d'ouvrir le port UDP 1194 ? Pourtant j'ai du le faire !? Serait-ce le Netbeui qui ne passe pas ? J'ai ouvert le port UDP 137, pas mieux...
Si il y a "generic:udp:1194" dans /etc/shorewall/tunnels il est inutile d'ajouter une rêgle.
Ensuite, le LAN1 du VPN client est informé des routes vers le LAN2 du VPN serveur, mais le LAN2 du VPN serveur ne peut accéder au LAN1 du VPN client.
Solution 1 : Tu ajoutes des routes static du serveur vers le client.
Solution 2 : sur le serveur tu masquerade ce qui vient du VPN et LAN1 vers le LAN2.
Solution 3 de loin la meilleure:
Pour que ton LAN2 du serveur accède au LAN1 du client, et vice versa, il faut éditer le fichier de conf du vpn serveur dans /etc/openvpn/server.conf (enfin le nom que tu as donné au fichier serveur) et ajouter manuellement ceci:
client-config-dir /etc/openvpn/ccd
route 192.168.45.0 255.255.255.0
ensuite tu créés le répertoire suivant:
/etc/openvpn/ccd
et dedans tu créés un fichier qui porte "exactement le même nom" que celui que tu as donné au client dans la création du certificat (nom donné dans le champ "common name" dans la gestion des certificats).
Dans ce fichier portant le "common name" du certificat client tu ajoute ces lignes :
iroute 192.168.45.0 255.255.255.0
(ne pas oublier le "i" à "iroute" ci-dessus, ce n'est pas une faute de frappe
)
redémarres le serveur :
service openvpn restart
redémarres le client:
service openvpn restart
les deux réseau accèdent à présent l'un à l'autre.
ATTENTION toute modif d'OpenVPN via l'interface web d'admin de la MNF suprimeras les lignes:
client-config-dir /etc/openvpn/ccd
route 192.168.45.0 255.255.255.0
qu'il faudra que tu remette à nouveau.
Ensuite il se peut par contre que les postes windows n'acceptent pas de connection venant d'un réseau/netmask qui n'est pas le même, dans ce cas c'est la conf réseau des postes windows à modifier pour qu'il accepte tout des IPs de LAN1, LAN2 et VPN.
Doc openvpn "presque" complette :
http://people.mandriva.com/~ybourhis/openvpn/index.html
j'y ajouterais la section sur les routes spécifiques au client quand j'en aurais le temps.
ainsi que la gestion des clefs cripto (avec openvpn 2.1 qui est encore en bêta) quand j'en aurais le temps aussi.
Sinon, tu peux toujours faire un VPN bridgé (à la main, non faisable via l'interface d'admine) en suivant cette doc:
http://people.mandriva.com/~ybourhis/op ... edvpn.html
désolé si je réponds pas souvens ici, à cause du temps... tests cooker 2007 oblige
Bon courrage.
