IPSec NAT Traversal

Recherche :

Dernière réponse

Sujet : IPSec NAT Traversal

Tiramissu75

renaud-twingo a écrit :

J ai tenté les connexions VPN Lan to Lan avec freeswan et pas de problemes.
Maintenant je m attaque au PC to Lan avec support du x509 et la ca veut pas marcher...
Ma config:
Server Red Hat 7.2 + Freeswan 2.04 (+support x509)
Client Win 2000 pro avec Tools ebootis
J ai suivi les conseils de ce lien:
http://www.natecarlson.com/linux/ipsec-x509.php
Mais rien n y fait.
Je suis donc totalement pour un tuto (mais un truc ultra precis avec la distrib utilisee, les packages installés, les eventuelles versions de rpm utilisés ou les recompilations noyaux necessaires...)
Je me porte volontaire pour les tests!

PS: je parle d un system un minimum securisé (serveur sous Linux) et interoperable (x509), sinon ya toujours cette solution:
http://www.generation-nt.com/index.php?cat=dossiers44
Mais un serveur vpn sous windows en PPTP c est pas trop mon truc!

Le tuto sera plus générique que çà...pas de "produit" spécifiquement cité...
Après on peut essayer de bosser sur ton souci ensemble...

A+

Votre réponse

Nom d'utilisateur

Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !

Le ton de votre message

Votre réponse

Smilies

Liste des smilies perso
Wiki smilies
Chercher un smiley

Options

Activer votre signature
Désactiver les smilies
Activer la notification par email du sujet

Aperçu

Vous avez perdu votre mot de passe ?

Vue Rapide de la discussion

Tiramissu75

renaud-twingo a écrit :

Le tuto sera plus générique que çà...pas de "produit" spécifiquement cité...
Après on peut essayer de bosser sur ton souci ensemble...

A+

renaud-twingo

Tiramissu75 a écrit :

Je pense pondre un tuto vu l'affluence des questions sur les vpn ...avec l'accord des modos of course

Tiramissu75

Je pense pondre un tuto vu l'affluence des questions sur les vpn ...avec l'accord des modos of course

Tiramissu75

si j'ai bien compris tes besoins, tu souhaites avoir la possibilité de joindre les PCs de tes potes via leur adresses IP privées et ce sans restriction?

Je n'apporte pas vraiment de réponse mais juste pour faire avancer ton schmilblik...

[PC utilisateur @IP privée]---[@IP privée Firewall @IP public]--- INTERNET---[@IP public ConcentrateurVPN @IP privée ]---[Serveur de fichier @IP privée]

Le pb est que dans l'établissement d'une connexion VPN (IPSec) entre le PC et le concentrateur

Je m'explique:

Il existe grosso merdo 2 types de VPN:
- les VPN IPSec
- les VPN SSL

Les VPNs IPSec peuvent s'établir entre:
- PC -to- LAN
- Lan -to- Lan
Le VPN consiste à chiffrer les datas et à encapsuler les paquets IP. Les IPs sources et/ou destination sont alors modifiées (@IP publiques) afin de garantir l'acheminement des paquets sur Internet.

La différence entre ces deux façons est qui va effectué le boulot de chiffrement et d'encapsulation ??

PC-to-LAN:
C'est le PC qui émet la requête qui a connaissance de ce que l'on nomme "DOMAINE D'ENCRYPTION". Il sait que pour joindre l'@IP privée 1 il faut qu'il envoie le paquet (après l'avoir chiffré) à l'@IP pub 1.
Dans le cas ou le PC-to-LAN, seule l'IP destination est remplacée par IP pub 1.
Le pb se pose quand tu es en LAN. Ton Firewall (ou ta passerelle Internet) va effectué du NAT afin que les paquets soient correctement routés sur Internet (surtout le paquet retour) au même titre que si tu visitais une page Web qcq.

LAN-to-LAN:
Ici, le PC qui émet la requête qui n'a pas connaissance du "DOMAINE D'ENCRYPTION". Il envoie la requête à sa passerelle par défaut et c'est cette dernière (ou un concentrateur VPN dédié) qui sait que pour joindre l'@IP privée 1 il faut qu'il envoie le paquet (après l'avoir chiffré) à l'@IP pub 1.

IPSec NAT Traversal est une fonctionnalité offerte par certains concentrateurs VPN afin de palier les pbs liés au translation en mode PC-to-LAN car dans les échanges IPSec (phase 1 de l'établissement IKE), le concentrateur distant va utilisé l'adresse IP contenue dans les couches applicatives (souvent udp 500) qui elle est une IP privée. Je rappelle que ton FW a translaté ton IP privée au niveau de la couche 3 mais pas dans le protocole applicatif. Cette IP privée n'étant pas routable sur Internet, le VPN ne peut s'établir.

Cordialement

MiB75

Je n'était pas revenu. Merci d'avoir répondu. Je n'avais pas pensé à cette histoire de bande passante, latence, du au fait que tout passé par le serveur, et que donc il vallait mieux que le serveur soit aussi serveur de toutes les applis souhaitées. Comme on n'a pas de machine dédiées...

Pour splurf, certes pour les jeux récents, ce n'est pas une necessité, mais pour certains vieux jeux, qui ne gèrent que le lan si... Enfin, je crois...

splurf

regarde du côté de freeswan

mais je vois pas l'utilité d'un VPN pour jouer....

Tetedeiench

MiB75 a écrit :

Ok merci. J'attends quelqu'un d'autre alors :)

J'avais lu que le VPN n'ajoutait qu'une couche sécurité sur du NAT et que ça ajoutait un ping... Mais bon, ni connaissant pas grand chose...

Le VPN est une méthode permettant à un site distant d'accéder au réseau local ( d'une entreprise par exemple) en passant sur Internet, via des techniques de chiffrement afin de protéger les données envoyées et de les authentifier.

Cela induit d'ailleurs l'idée d'un serveur VPN ( en fait, en VPN, on a UN SEUL réseau de base et X satellites ) qui va se taper tout le chiffrement/déchiffrement des X satellites... un PC dédié est donc conseillé, surtout si vous voulez jouer :D

Inconvénient :

Si le réseau de base c'est toi, et tu es à lille. Y a un satellite à marseille, un autre à toulouse. Si marseille veut causer à toulouse, ca va FORCEMENT passer par lille, et donc, on a un goulot d'étranglement.

Bilan : celui qui a le réseau "de base" a intérêt d'avoir :
-De la puissance CPU disponible
-De la bande passante disponible

Je te conseillerai plus de faire tourner un serveur dédié quelque part et de mettre un mot de passe dessus perso.

Et surtout, si tu mets en place un VPN? fait tourner le serveur de jeu sur le réseau de base, sinon, bonjour l'egorgement....

MiB75

Ok merci. J'attends quelqu'un d'autre alors :)

J'avais lu que le VPN n'ajoutait qu'une couche sécurité sur du NAT et que ça ajoutait un ping... Mais bon, ni connaissant pas grand chose...

Tetedeiench

Je connais juste la théorie de mise en place d'un VPN, pas sa pratique :D

Quelqu'un d'autre que moi te répondra, mais tu n'as pas besoin d'autre chose qu'un VPN .

MiB75

Tu pourrais me dire un peu plus comment faire ??
C'est dans ajout de connection, j'ajoute une machine par son ip ??
Puis-je connecter plusieurs machine distante par windows pour en faire un LAN unique ??

Tetedeiench

Non, l'IPsec est une version sécurisée du protocole IP, pas encore tout à fait mûre.

Tout ce qu'il te faut, c'est effectivement un VPN. C'est la fonctionnalité de base du VPN : déclarer un site distant comme faisant partie d'un réseau LAN même si il ne l'est pas.

Windows supporte le VPN, au pire via des logiciels spécifiques, mais ca marchera uniquement avec lui.

MiB75

Bonjour,

Voilà, avec des amis on aimerait se créer un LAN virtuel, en grande partie pour jouer entre nous. On est une petite dizaine un peu partout en France, tous connectés à internet par cable ou dsl, et certains, dont moi, avons un routeur Linksys WRT54G. On est tous sous Win2000 ou XP Pro.

Je n'y connais pas grand chose dans le domaine. J'ai cherché un peu autour de VPN et NAT, et je suis tombé sur IPSec NAT Traversal (permettant notemment plusieurs clients sur le même serveur, si j'ai bien compris). Il semblerait que sous ce terme se cache la fonctionnalité que je recherche.

Quelqu'un pourrait-il m'expliquer comment faire pour arriver à mes fins ?? Faut-il un soft particulier ou windows seul suffit-il (j'ai cherché un peu et j'ai lu des posts sur kerio winroute firewall 5) ? Comment configurer le serveur, les clients ?? Y a-t-il des inconvénients/risques à faire cela ??

J'espère que vous pourrez m'aider.

Mickaël