Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

configuration d'un vpn LAN to LAN

bilal_bilal

bonjour
je veux chiffrer tout le trafic qui passe entre mes deux réseaux local LAN1 et LAN2, voila mon architecture :

            192.167.16.0/24
  |-----------------------------| LAN1
       |.1                 |.5
       |              +---------+
       |eth0          |   PC1   |
 +-----------+        | Windows |
 | PC1_fedora |    +---------+
 +-----------+
       |eth1
       |
       |.2        
       |           
       | 192.16.1.0/24
       |
       |.1
       |
       |eth1
 +-----------+
 | PC2_fedora|     +---------+
 +-----------+         |   PC2   |
       |eth0           | Windows |
       |               +---------+
       |.1                  |.6
  |------------------------------| LAN2
           192.165.16.0/24

Pour cela j'ai penser a activer ipsec entre mes deux machine fedora ou bien utiliser une solution vpn comme Openvpn par exemple.
Question:
1) c'est quoi la bonne solution ?
2) comment faire la configuration ipsec entre les deux PCs fedora pour qu'une machine du LAN1 arrive à connecter avec une autre machine du LAN2 tout en chiffrant le trafic entre les deux réseaux LAN1 et LAN2?

madko

Bonjour

1) ipsec ou openvpn tu arriveras normalement au même résultat.
2) En gros tes pc fedora seront les entrées du tunnel. Comme LAN1 et LAN2 sont sur des plages différentes le plus simple sera de faire du routage. Sur chaque pc fedora tu auras une interface et eventuellement un adressage IP spécifique au tunnel. A partir de là le routage pourra se faire, par ex sur PC1_fedora tu dis que la plage d'ip du LAN2 est accessible via l'ip du tunnel de PC2_fedora. L'inverse sur PC2_fedora. PC1_fedora et PC2_fedora sont tes passerelles par défaut des autres postes?

ps: pourquoi avoir choisir des ip non privées?

bilal_bilal

Pour les adresses ip je vais les changer merci pour la remarque
voila ce que j'ai fait:
1) pour le routage:
machine 1 windows
@ip: 192.167.16.5
gw 192.167.16.1

machine 2 windows
@ip: 192.165.16.6
gw: 192.165.16.1

sur PC1_fedora:

 ip_forward=1
 route  add -net 192.165.16.0 netmask 255.255.255.0 gw 192.16.1.1

sur PC2_fedora:

 ip_forward=1
 route  add -net 192.167.16.0 netmask 255.255.255.0 gw 192.16.1.2

2) pour ipsec:
j'ais choisi la methode : gestion manuel des clés
sur PC1_fedora

 sur le fichier /etc/racoon/setkey.conf
flush; 
spdflush;
add 192.16.1.2 192.16.1.1 esp 20000 -E 3des-cbc "1234567890123456789012";
add 192.16.1.1 192.16.1.2 esp 20001 -E 3des-cbc "1234567890123456789023";

spdadd 192.167.16.0 192.165.16.0  any -P out ipsec esp/tunnel/192.16.1.2-192.16.1.1/require;
spdadd 192.165.16.0 192.167.16.0 any -P in ipsec esp/tunnel/192.16.1.1-192.16.1.2/require;

sur PC2_fedora

 
sur le fichier /etc/racoon/setkey.conf
flush; 
spdflush;
add 192.16.1.2 192.16.1.1 esp 20000 -E 3des-cbc "1234567890123456789012";
add 192.16.1.1 192.16.1.2 esp 20001 -E 3des-cbc "1234567890123456789023";

spdadd 192.165.16.0 192.167.16.0 any -P out ipsec esp/tunnel/192.16.1.1-192.16.1.2/require;
spdadd 192.167.16.0 192.165.16.0  any -P in ipsec esp/tunnel/192.16.1.2-192.16.1.1/require;

pour le fichier racoon.conf je l'ai laisse tel qu’il est,

Question:
est ce que cette configuration est juste? sinon qu'est que je doit faire?

bilal_fedora

de l'aide stp.
juste des critiques, ou une orientation.

madko

La conf citée au dessus ne marche pas?

bilal_fedora

oui c'est ce que j'ai fait, et ça marche pas !!
qu'est ce que vous pensez de ça?

madko

Il nous faudrait plus d'info, qu'est ce qui ne passe pas?

bilal_fedora

d'accord.
quand je fais un ping depuisPC1_windows vers PC2_windows et je fait l'ecoute avec tcpdump depuis PC1_fedora ou PC2_fedora, j'ai remarqué:
1) les adresses ip de PC1_windows et PC2_windows sont toujours visible, c.a.d elles ne sont pas encapsulé dans l’adresse ip du PC1_fedora et PC2 fedora, sachant que le parfeux est désactive sur tous les machines.
2) le trafic n'est pas chiffré.

madko

Et que renvoit les commandes:

setkey -D
setkey -DP

Sur tes pc fedora?
Comment tu vérifies que le trafic n'est pas chiffré?

bilal_fedora

1)
sur PC1_fedora

[root@G131 racoon]# setkey -D
192.16.1.2 192.16.1.1 
	esp mode=tunnel spi=10001(0x00002711) reqid=0(0x00000000)
	E: aes-cbc  31323334 35363738 39303132 31323334 35363738 39303132
	seq=0x00000000 replay=0 flags=0x00000000 state=mature 
	created: Oct 22 15:55:13 2012	current: Oct 22 15:55:20 2012
	diff: 7(s)	hard: 0(s)	soft: 0(s)
	last:                     	hard: 0(s)	soft: 0(s)
	current: 0(bytes)	hard: 0(bytes)	soft: 0(bytes)
	allocated: 0	hard: 0	soft: 0
	sadb_seq=1 pid=2482 refcnt=0
192.16.1.1 192.16.1.2 
	esp mode=tunnel spi=10000(0x00002710) reqid=0(0x00000000)
	E: aes-cbc  31323334 35363738 39303132 33343536 37383930 31323334
	seq=0x00000000 replay=0 flags=0x00000000 state=mature 
	created: Oct 22 15:55:13 2012	current: Oct 22 15:55:20 2012
	diff: 7(s)	hard: 0(s)	soft: 0(s)
	last:                     	hard: 0(s)	soft: 0(s)
	current: 0(bytes)	hard: 0(bytes)	soft: 0(bytes)
	allocated: 0	hard: 0	soft: 0
	sadb_seq=0 pid=2482 refcnt=0

toujours sur la même machine

[root@G131 racoon]# setkey -DP
192.165.16.0/24[[any] 192.167.16.0/24[[any] any
	fwd prio def ipsec
	esp/tunnel/192.16.1.1-192.16.1.2/require
	created: Oct 22 15:55:13 2012  lastused:                     
	lifetime: 0(s) validtime: 0(s)
	spid=18 seq=1 pid=2506
	refcnt=1
192.165.16.0/24 [any] 192.167.16.0/24[any] any
	in prio def ipsec
	esp/tunnel/192.16.1.1-192.16.1.2/require
	created: Oct 22 15:55:13 2012  lastused:                     
	lifetime: 0(s) validtime: 0(s)
	spid=8 seq=2 pid=2506
	refcnt=1
192.167.16.0/24[any] 192.165.16.0/24[any] any
	out prio def ipsec
	esp/tunnel/192.16.1.2-192.16.1.1/require
	created: Oct 22 15:55:13 2012  lastused:                     
	lifetime: 0(s) validtime: 0(s)
	spid=1 seq=0 pid=2506
	refcnt=1

voila
2) Comment je verifie que le trafic n'est pas chiffré?

i) je fais un ping depuis PC1_windows vers PC2_windows.
ii) je fait l’écoute avec tcpdump sur eth1 de PC1_fedora ( passerelle 192.16.1.2), voila ce qu'affiche:

15:59:05.106707 IP 192.167.16.5 > 192.165.16.6: ICMP echo request, id 2823, seq 49, length 64
15:59:05.106797 IP 192.165.16.6 > 192.167.16.5: ICMP echo reply, id 2823, seq 49, length 64
15:59:06.106697 IP 192.167.16.5 > 192.165.16.6: ICMP echo request, id 2823, seq 50, length 64
15:59:06.106783 IP 192.165.16.6 > 192.167.16.5: ICMP echo reply, id 2823, seq 50, length 64
15:59:07.106696 IP 192.167.16.5 > 192.165.16.6: ICMP echo request, id 2823, seq 51, length 64

bilal_fedora

Bonjour
Qu'est ce que vous pensez de ce que j'ai écrit Mr Madko?

madko

Je connais pas bien ipsec, j'ai plus l'habitude d'openvpn, mais la conf à l'air bonne, et j'hésite juste sur le fait que c'est peut être normal de voir le trafic en clair sur les postes du tunnel. Faudrait mettre un pc en mode bridge entre les 2 pc fedora pour sniffer correctement le trafic et voir s'il est bien chiffré ou non.

bilal_fedora

Merci Mr badco
si je trouve la solution je serai ravi de la publier.

une autre question sur openvpn:

je peux l'utiliser dans mon cas sur les 2 PC fedora pour une connexion site to site ?

une petite orientation surtout en français, merci.

bilal_fedora

J'ai li un peux sur Openvpn, donc je résume :
1) Openvpn marche en mode client serveur.
2) il faut créer de CA, et des clés pour chaque utilisateur...

Si je configure Openvpn serveur sur PC1_fedora et Openvpn client sur PC2_fedora.
Question :
1) Est ce que le trafic entre PC1_windows et PC2_windows sera crypté?
2) il faut pas jouer aussi sur le par feu pour que le trafique qui sort de PC1_windows sera voyager avec l'adresse IP du PC1_fedora?

madko

Pour la création du CA et du certificat pour ton client, tu peux utiliser easy_rsa fournit dans le paquet openvpn me semble. Celà simplifie beaucoup la gestion des certificats.

1) Le trafic sera chiffiré tout comme ton tunnel ipsec, entre les extrémitiés de ton tunnel, à savoir pc1_fedora et pc2_fedora
2) pourquoi veux tu que l'ip de pc1_windows soit remplacé par celle de pc1_fedora? En tout cas tu peux, mais cela veut dire mettre en place du NAT/Masquerading sur les pc fedora. Donc en effet jouer avec le parefeu (en gros 1 règle qui dit tout ce qui sort par l'interface openvpn prend mon ip en masquerade). Mais du routage simple fonctionne très bien.

bilal_fedora

2) pourquoi veux tu que l'ip de pc1_windows soit remplacé par celle de pc1_fedora?

on effet les adresses du LAN1 et LAN2 sont privées, mais les getways ( eth1 de PCx_fedora) sont publique c.a.d lier à internet.

vous pouvez me donner la règle du parfeux?

madko

Pour la configuration openvpn, ce n'est toujours pas la peine de faire du NAT même si les passerelles sont reliées à internet. Les ip peuvent restées privées vu qu'elles sont dans le tunnel. Le but d'un tunnel est justement de masquer par où passe le flux. Le NAT est nécessaire si la passerelle fait aussi office de passerelle internet?

Sinon habituellement, une règle de nat ressemble à ça:

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

eth1 étant ici l'interface de sortie, tout trafic sortant par eth1 aura son ip source remplacée par celle d'eth1.

bilal_fedora

Bonjour.

Merci infiniment Mr Madko, la connexion marche très bien après avoir mettre à jour mon système.

Merci bon journée.