Reprise du message précédent :

Si deja ils écoutaient.
J'étais assez pro MS, ils ont encore de très bon produits (exchange par exemple, meme si il régresse a mon gout)
 
Mais bordel ca fait 3ans que tout le monde se plein des maj Win10 qui sont hyper agressives niveau réseau, rien n'est fait.
Ms a fait un beau ticket de blog pour dire qu'ils ont compris que des mises a jour de 4Go tout les 6 a 12mois avec sa cumulative qui suit a plus de 1Go c'est pas necessaire, pourtant c'est pas corrigé.
La gestion des impressions est bugué et m**** a souhait depuis des mois voir années.
 
Je suis peux être aigri, mais j'ai vraiment l'impressions que les équipes techniques se réduisent et que le staff marketing lui explose pour communiquer a tout va.

Dites, rien à voir, je m'adresse aux spécialistes rezo

J'ai essayé de monter un tunnel VPN IPSec entre un site à ip dynamique derrière un NAT du provider (modem 4G avec carte SIM Orange en mode bridge, c'est un routeur cisco qui gait le tunnel) vers un autre site à ip statique (routeur Zyxel).
C'est le premier site qui établit la demande de connexion.
Sauf qu'evidemment, elle ne se fait pas. Dans les logs du Zyxel, je reste bloqué sur la phase 1, avec un proposal mismatch.
Pourtant, j'ai exactement les mêmes paramètres de négociation sur les deux sites (hash, algo, groupe DH, durée de vie de la négoce, etc).

Est-ce que le fait que ça soit naté par le provider fait que le tunnel ne puisse pas se monter ? (l'ip wan du premier site est une ip privée..)

Je bloque comme une burne et ca me saoule

 
Je ne sais pas si c'est exactement le meme problème mais dans ce cas je fais en sorte qu'il etablisse toujours la connexion du dynamique (4G) vers le statique.
Ensuite dans le zyxel tu peux jouer avec le nat-t et pour finir certains algo de chiffrement passent mieux quand d'autres ne passent pas(j'ai jamais compris pourquoi, mais defois DES passe mieux qu'AES)

 
vu l'erreur y'a peu de chance. Ca dit la même chose de l'autre côté ?

Non, juste de quelques mois J’espère que lui a appris la news récemment mais que les constructeurs derrière sont au courant depuis longtemps, idéalement il ne communique qu’aujourd’hui alors que la machine à màj est lancée elle aussi depuis des mois Wait&see

hostapd patché à l'instant ici, problème réglé merci bonsoir  

 
perso les maj je m'en fous j'ai pas un reseau de pd
 
par contre c'est que tous les efforts sont mis dans tous les technos et offrent cloud, tout le reste passe apres...
ca se voit sur tous les produits qui ont 2 versions ,ou 2 produits "concurrent" on prem et cloud.

Moi je passe ma vie a démarrer des nouveau postes et 1 pc arrive à me faire ramer 3 connexions adsl.
J’y croyais pas mais le nombre de connexions simultanées est effrayant.
Le cloud c’est la cause d’en regression d’exchange pour moi, tout est fait pour pourrir la vie du client en installe locale.

Même en désactivant le p2p, Windows 10 sature une connexion à 100% sans rien laisser de marge. Je comprends pas comment c’est fait

Je serais curieux de voir s’il y a encore du WEP en service, et si oui le %age. Parce que bon, ça marche alors on touche pas

Perso j'ai jamais eu le souvenir d'avoir vu ça sur win10 depuis la build 9926
 
XaT

Et le proposal mismatch il dit quoi ?

mais vous avez quoi comme connexion ?
 
j'ai jamais eu ca

 
Problème de peerid ?

J'ai tout essayé, rien à faire.
 

Euh, j'avais pas réussi à voir les logs, faudrait que je m'y repenche..
 

Rien de plus, Zyxel ne fournit pas grand chose en terme de logs.
 

Dis moi en plus !
 
Sinon pour nos PAs au boulot :
http://www.zyxel.com/support/annou [...] ment.shtml
 
Février 2018 OKLM      

 
tiens ouais ça peut être ça aussi, avec du NAT faut faire attention.

Je suis empêtré un peu dans le même problème, j'ai un site à Paris avec un Zyxel qui gère des tunnels VPN vers d'autres sites mais également des accès nomades (IPSEC).  
 
Sur un bureau distant, j'ai 5 gus qui sont sur une connexion mutualisée (donc pas de connexion dédiée, pas la main sur les équipements réseau). Ces personnes se connectent en tant que "nomades" à Paris pour accéder aux ressources sur place et ça fonctionne bien, mais je voudrais faire se connecter le NAS Synology distant à Paris histoire de le rentre accessible à Paris, et ça tombe bien car visiblement le NAS permet de se connecter comme client à un VPN.
 
Sauf que ça propose du L2TP/IPSEC, et que je ne sais pas si c'est parce que j'ai déjà des tunnels IPSEC sur le Zyxel de Paris, mais ça ne fonctionne pas du tout

Non, si grosse entreprise tu demandes à faire mettre un site micro cell dans le batiment.

Bon, je sais qu'on ne devrait pas tirer sur une ambulance (quoique ce soit plutôt un corbillard en l'occurrence) mais je ne peux résister à partager cette news (quoique en est-ce vraiment une?) lue ce jour sur slashdot:

Un bug critique dans Flash? Non! je n'ose le croire  
 
A+,

 
Par expérience, parfois tu choisis ANY pour le paramètre PEERID et ça ne monte pas.
Dès que tu choisis une valeur, ça monte (type DNS dans le cas d'un tunnel dynamique).
Et puis choisir le mode "aggressive" si tu peux.
 

 
Zyxel quoi ! Ils sont mauvais en terme de support

J'ai ANY effectivement.
Mais je mets quoi comme valeur du coup si je ne mets pas ANY ?
 
J'ai mis mode "agressive" des deux côtés.

 
Tu fais ton user là !
C'est quoi qui ne fonctionne pas ? La création du tunnel ? Tu as un message d'erreur ? Des traces ?

 
Tu mets DNS avec par exemple sur le Zyxel :
local-id : monserveur  
peer-id : monroadwarrior
 
Et côté Cisco, le contraire.

 
MP  

Je vais tester ça !!
Merci !!      
Je croise les doigts.

Tiens ça tombe bien je suis dans la mise en place d'une Infra openLDAP maitre/esclaves avec du HaProxy et du IPsec  
Pour le nat il me semble que tu as des options à lui donner. Attention IPsec est assez sensisble à la synchro temporelle. Chez Cisco pour éviter le rejeux d'anciens SA et  que ta liaison tombe jusqu'au timeout des SA, il faut que tu regarder également du coté des SIP invalid et du "rekeying". C'est encore un peu abstrait pour moi IPsec et ça ma l'air vachement sensible

 
Je vieillis probablement, mais je deviens de moins en moins risky dans mes choix, parceque mine de rien ,chaque fois que j'ai pris du "standard", on a a chaque fois eu un cas où on a pu s'en féliciter.
 
Quand on a réunifié les trois grands sites qui étaient indépendants (maison mère + 2 rachats), les trois tournaient sur AD/exchange, aucun n'avait fait le choix d'un google apps, lotus ou autre, du coup ça a prix dix minutes d'unifier tout ça.
Rebelotte l'an dernier lors du notre rachat par un grand groupe (62000 employés), toutes les entités de ce groupe sont sur exchange : un trust et hop, les carnets d'adresse synchro. Rien eu à migrer et rien à migrer malgré un rachat, parcequ'on utilise le standard. On aurait été sur du google apps ou je ne sais quoi, on aurait eu 4000 users a migrer.
Quand les US ont décidé de mettre en place une hotline unifié globale, ça a pris cinq minutes, parcequ'on utilisait déja du Cisco Callmanager et de l'UCCx sur les trois sites.
Quand on a voulu integrer la CRM avec la hotline, ça a pris deux secondes, parceque salesforce + UCCX, c'est limite out of the box.
On est en train de regarder comment unifier la gestion de nos VMs sur nos trois grand sites et oh, magie, on utilise tous les trois Vmware, malgré un historique différent, là encore on n'aura pas besoin de migrer quoi que ce soit.
 
A l'inverse le choix de Netasq/stormshield au lieu de cisco, je suis en train de le regretter. D'ailleurs je suis en train de migrer là, ça pose de plus en plus de problèmes à maintenir quand le reste de ta boite est en cisco.
 
 
Si on parle des petites PME locales, on peut faire le choix des outsiders. Mais si le but de ta boite est de grossir, évoluer, racheter etc et le tout sur un plan international, c'est super tendu, risqué et compliqué de sortir des standards.

Bon, me saoule ce VPN.

J'ai réussi à avoir plus de logs.
Déjà, le Cisco (RV042) se connecte avec IKEv1, ça commence bien, du coup j'avais d'emblée un version mismatch.

Autrement, il me dit qu'il n'y a pas de tunnel pour l'IP wan du site avec l'ip statique et pour l'IP wan du site dynamique.
Sauf que c'est normal, j'ai pas l'IP Wan du site dynamique.

Bref je pige pas

J'essaie en IKE v1, mais j'ai le même prob.
Sur le Cisco je peux pas config les PID sur le tunnel...

Edit: j'avance ! j'ai presque passé l'authentification, maintenant je bloque sur le PID
Edit: bon phase 1 cleared. Maintenant la phase 2

 
Non mais IPsec ça revient un peu à faire de la magie nwar, surtout quand le truc est hyper verbeux même avec -vvv    

J'ai fait une mauvaise config sur la phase 2, du coup je suis revenu à la configuration précédente où la phase 1 passait.
Sauf que ça passe plus non plus  

Bonus, les logs sur le routeur en debug ne remontent plus  

Mais j'avance, c'est encourageant !
Faut juste pas que je recule plus que j'avance par contre.

Je te le fais contre une 1080ti    
 
XaT

Nous chez but c’est bien l’appellation femtocell qu’on nous a dit.
On départ il pensait se greffer sur une antenne relais avec un faisceau hertzien mais c’est une solution par le net qui a été retenue

Sinon comment veux tu que le routeur...  
 
A+,

 
J'y suis arrivé \o/
 
Merci pour l'aide en tout cas, ça m'a bien servi

Fais péter les infos sur tes modifications, ça pourrait aider quelqu'un d'autre

Femto c'est la merde à brancher sur la box de mme michu.
 
nous on pose ce genre de chose dans les entreprises : http://carrier.huawei.com/en/produ [...] l/lampsite

question idiote : planquer le ssid du wifi, ca fait rien pour la faille j'imagine ? vu que c'zst de la capture/interception de trames...

Ça t'empêchera pas de voir le réseau avec les outils kivonbien

ca evite l'attaque d'opportunité par le mec qui regarde juste les SSID visible sur son telephone  
 
mais si le mec a vraiment reniflé tout ce qui flotte dans l'air, il t'as vu donc c'est pareil

Owi l'alerte incendie dans le DC cette nuit suite à un switch qui a cramé Le gazage complet de la salle, les HDD qui ont pété et toute une baie SAN Le DR en situation réelle