Reprise du message précédent :
Oui en fait j'essaie de joindre un serveur qui est sur le même réseau.
Non il n'y a pas de firewall. A moins que ce ne soit le routeur qui me bloque...

bon alors visiblement ce serait mon ta.kay qui bugueré alors j'ai testé en supprimant ta.key et en le commentant ds le fichier de config...mais apparemment il ne veut rien savoir.
Je vais donc essayer de tout réinstaller proprement mais cette fois-ci sans mettre en place l'authentification TLS !! on verra  bien...

> Sotaz Il faut ouvrir le port 1194 sur le routeur du serveur... si il n'est pas dans le meme reseau...
(Que donne un ping du serveur depuis le client, hors VPN...)
Sinon, il semblerait que tu ai des options incompatible entre le fichier client et celui serveur...
 
>Bagherra, je comprend pas bien la question qui n'est d'ailleurs pas formulé... Mais 1. Le masque me semble mauvais (255.255.255.0)
2. OpenVPN se charge de pousser la route pour le serveur...
Poste tes routes avant le batch STP
3. Penche toi sur FINDSTR sous windows et FOR /F "usebackq tokens=3 delims= " %%i IN (`find /c monfichier`) DO set myvar=%%i

 
Mon problème devrait être résolu par ton 3. Ma question était de pouvoir identifier la passerelle pour l'utiliser dans mons script.
 
Pout info : voilà comme on utilise OpenVpn.
Je viens d'un réseau exterieur sur mon serveur VPN qui pousse les routes de mes sous réseaux (push route... dans le .conf et tout les adresses ip sont publiques, pas de réseau privé).
A partir de là je suis connecté mais je peux pas accèder à mes sous reseaux. Voilà ce que j'avais trouvé pour que ça marche
 
"ATTENTION :
il faut impérativement ajouter une route pour utiliser le tunnel, qui
spécifie qu'il faut utiliser la passerelle pour aller dans le tunnel.
sinon, on essaye d'entrer dans le tunnel par le tunnel en quelque sorte.
 
route add -p ip_serveur_vpn mask 255.255.255.255 ip_passerelle_client"
 
 
 

A tu activer le routage sur le serveur ? (http://www.generation-nt.com/astuces/lire/49/activer-le-routage-ip-sous-windows/)
A tu donner les routes au serveur ? Il les lui faut pour qu'il sache ou envoyer les paquets pour les sous reseau !
(route et push "route..." dans le fichier serveur)
Car si les stations ont la route, elle essaye la route... puis devant l'echec, elles utilisent la passerelle par defaut...

 
Salut DJKoums,  
 
j'ai précisément le même problème. As-tu trouvé une solution?
 
Merci beacoup pour tout feedback.  
 
Merci,  
Fabianus

A tu construit l'aurite de certification ? (buid-ca.bat)
A tu un repertoire keys dans le repertoire easy-rsa ?
Peut tu creer le repertoire si il n'existe pas ?

[quotemsg=2676677,322,463198]> Sotaz Il faut ouvrir le port 1194 sur le routeur du serveur... si il n'est pas dans le meme reseau...
(Que donne un ping du serveur depuis le client, hors VPN...)
Sinon, il semblerait que tu ai des options incompatible entre le fichier client et celui serveur...
 
Euh il se trouve que le routeur qu'il y a dans la boite est un routeur de france telecom et impossible de les avoir pour savoir si on peut y accéder pour changer des paramètres.....  
J'ai fais un ping du client vers le serveur hors VPN et ça marche nikel.
Je pense que c'est le ta.kay qui me pose des soucis. Est ce que tu penses que si je le mets pas en place ça peut éventuellement fonctionner ?? de toute façon ça coûte rien d'essayer...!  

 
ca veut pas dire qu'il est possible de contacter le serveur en udp sur le port 1194...

oui je sais bien    
Je viens de tout réinstaller proprement en enlevant le ta.key et il me met toujours la même erreur lors de la connexion du client alors que je n'est pas mis en place d'authentification TLS....je ne comprend pas pourquoi il me donne toujours cette même erreur...

vire le TA.key et utisisent un scaner... ou un telnet.... sur le port 1194
Il faut ouvrir le port.... et s'il fait NAT, il est forcement fermé... (Quelle est l'adresse IP de la becane relie au routeur ?)

J'aurais juste une question....peut être stupide....  
En fait le VPN attribue une adresse IP en 10.8.X.X c'est bien ça ?? donc c'est normal que la connexion réseau dans favoris réseau soit en IP automatique ??
De plus lorsque je désinstalle Open VPN des machines pour recommencer plus proprement dès le début, j'ai constaté qu'il ne supprimer pas les fichier OpenVPN dans Program Files, est ce que cela pourrait poser des soucis lors de la réinstallation du VPN ?? même si je les supprime à la main (ce que je fais depuis le début) ?? pe etre qu'il en reste ailleurs qu'il pourrait enregistrer....d'ou le fait qu'il me donne toujours la même erreur de TLS ?
Je sais pas si c'est bien clair...Dsl    
Merci d'avance  

 
 
J'ai bien viré le ta.key et c'est pour ça que je trouve bizarre qu'il me redonne la même erreur alors qu'il n'y a aucune trace de ce fichier.....  
Justement je ne peux pas accéder à mon routeur car c un routeur de France Telecom il faut donc que je passe par eux pour voir avec eux si le port est bien ouvert....:s
Bah toutes les bécanes sont reliées au routeur....en 192.168.1.xxx
Euh par contre......qu'est ce que tu entend par scanner ?? et je ne me rappelle plus exactement les commandes pour le telnet mais qd je fais telnet 192.168.xxx.xxx 1194 (avec l'adresse de mon routeur ou d'une autre bécane) il me dit impossible d'ouvrir une connexion sur le port 1194.....  
Merci pour tes infos mugnier102

Il faut faire le telent depuis l'exterieur... (comme tu l'a fait en interne... )
Donc il fait du nat et faut que tu te demerde avec FT...
C'est sur, le port n'est pas ouvert (Il faut le diriger sur une adresse interne ou DMZ)
(Le TA.KEY permet au serveur de ne pas repondre a toute demande illegitime)
Ouvre le port et apres on verra tes fichiers de config...

Ok daccord bah j'essaie de joindre quelqu'un de chez FT depuis ce matin, mais il se renvoie tous la balle....  
Enfin je me débrouille et après jte tiens au courant.
En tout cas merci pour ton aide    
 

au pire, tu installes un ethereal sur ton serveur et tu voies si tu as des paquets qui passent...
 
Enfin si t'as pas fait de redirection de port ni d'ouverture sur ton routeur, ca va etre évident de le faire fonctionner...

C'est un routeur cisco professionnelle ?
C'est une livebox pro ? ou public ?
T'a pas un serveur web dessus ?
(http://192.168.1.1 ou 192.168.1.254)
ou un telnet ton_ip_gateway ?

Non c un ancien routeur de france telecom speedstream (même eux sont incapable de dire ce que c'est...)
Il n'y a pas de serveur web.
Quand j'essaie d'accéder à mon routeur avec http://192.168.1.1 bah ça me met impossible d'afficher la page alors que mon routeur marche vu qu'on a le net....même FT n'a pas pu me dire pourquoi j'arrivais pas à aller dessus...  
Le telnet me donne impossible d'ouvrir une connexion a l'hote....par aucun port d'ailleurs !!!

Ok... passe en mail prive... je te donne file un scanneur pour voir si il y a quelque chose d'ouvert...
Mais j'espere que tu a au moins une etiquette dessous avec le mot de passe par defaut !

Par hasard est ce que quelqu'un a déjà eus l'occaz de mettre en place le VPN inclue dans Windows ?? et oui obligé de me contenter de ça pour l'instant...  
En effet j'aimerais essayer de le mettre en place pour voir si ça peut tenir la route....j'aimerais également savoir niveau sécurité ?? est-il relativement bien sécurisé ?? et également le nombre de client que l'on peut connecté ?? sachant qu'il faudrait que je puisse en connecter au moins une cinquantaine...  
Merci d'avance pour vos avis...

Le VPN windows pose quelque problemes....  
1. Une station XP n'accepte qu'un seul client
2. Deux clients ne peuvent donc pas communiquer entre eux
3. Il te faut donc une version serveur
4. Il faut ouvrir des ports dans le par-feu !!!
BOn.. en bref... le plus simple, change ton routeur !
 
Et si tu veut 50 client... je pencherai vers une solution materielle...
(Cela depend du traffic reel donc du nombre de paquer a encodé et de leur tailles) Combien de sites different ? 50 ?

 
Ah ouais donc on abandonne le VPN windows... Et je suppose que la version serveur est payante ?? biensur....  
Mon responsable envisage de changer de routeur. Je pense aussi que ce sera le mieux !
Est ce que tu pourrais éventuellement me conseiller sur des routeurs qui pourraient convenir...?  
Je voudrais interconnecter 2 sites ensemble (Paris et Toulouse) + des clients distants (avec des portables je parle)....pour le nombre exact je peux pas dire on m'a juste dis une cinquantaine....et pour les paquets échangés ils font en fonction de ce que leur débit peut suporté (donc du 1méga pr toulouse et 8 mégas pr Paris) sachant qu'ils peuvent s'échanger des fichiers vidéos...!
Merci par avance  

Serveur => Windows serveur + lisense d'acces des client...
Bon... donc 8mg vers internet pour paris ? Pas de l'adsl ça ! Fibre ou dédié (sdsl, RNIS...)! Mais on va se baser sur la fibre... plus simple et de toute facon, ce sera le standard a la fin de l'année ;-)
Combien de client simultané ? Si c'est pour de la video, serveur vers client ?
Bon de toute facon, je vais avoir du mal a te dire... Le plus simple pour commencer et sans doute de partir sur un vieux PC (1ghz) avec une distribution IPCOP + le plugin OpenVPN... (Cela supporte dejà pas mal de clients a mon avis... si il tourne pas sous m$, pas d'interface graphique, pas d'autre chose a faire que l'encodage... avec de preference 512Mb de ram..)
Si en plus ton modem est separé du routeur... tu peut le reutiliser !
Tu te contente de lui mettre quelque carte reseau a l'interieur... 2 mini mais 3 te permettra de monter le serveur plus facilement...
En bref tu devrait avoir cela dans tes placard...
1 => Vers le modem (dans le modem, on pontera ou on mettra l'ipcop en DMZ)
2 => Vers le reseau local
3 => Vers le serveur du VPN
Je coupe donc le serveur du reseau local avec 3 carte... ce qui est mieux pour la securite mais accessoire (mais que fait tu alors si un portable est volé ?)
Sinon, en materielle, tu a dans le catalogue MISCO quelque reference... mais 267€ HT bien sur ;-) pour le modem routeur VPN 50 tunnel Netgear... Donc pas besoin de se precipiter... T'a bien un modem adsl a moins de 100€ TTC qui traine... et qui servira tant que tu est en ADSL ce qui te permet d'en avoir un en reserve de toute facon... pas inutile...
(PS Continue en prive pour ne pas trop allonger le forum...)
 

OUi enfin à toi de voir. Moi je teste le serveur vpn sous 2003 et j'avoue que c'est quand même pas mal....
 

 
 
Aaaaah ta testé le vpn inclu dans Windows ?? intéressant !!!
et donc ça tient la route pour l'instant ?? par contre d'après ce qu'on m'a dit ça ne supporte pas beaucoup de machine....  Comme tu l'as vu je dois en supporter une cinquantaine....combien pr toi ???  

 
J'ai pas dit que c'etait mal... juste un peu cher !
(Et puis au niveau securité, avec M$ je doute...)
 
L'avantage indeniable, c'est le non besoin d'installer un client sur chaque PC...

Bon de retour sur openvpn. J'ai par erreur relancé une commande build-ca au lieu d'un build-key (sans arrivé à terme)
Depuis impossible de recréer un certificat client qui fonctionne.  
J'arrive bien à créer des certicats clients à priori bons (ils ne font pas 0Ko) mais la connection reste au jaune il bloque sur la négociation d'une clé tls.
 
Je me demandais si c'est possible d'avoir deux ca.crt sur le serveur ? Car j'aimerais bien en créer un nouveau mais sans que celà impacte les connexions qui fonctionnent actuellement....

Je l'ai fait hier...
Tu commence par renomer ca.crt en ca1.crt... pour le nom de fichiers
et dans le fichier de config...
Et apres, t'est tranquille...
Mais 2-3 points...
 
Il faut tout faire en ligne de commande (Demarrer / CMD)... en effet pour le fichier de config openssl, windows ne sait pas interpreter correctement l'extension .cnf meme apres affichage des extensions
A tu bien le fichier ca.key ? C'est lui qui contient la clé privé utilisé pour signer les certificat ?

Et oui c'est celà qui bloque, mon ca.key date d'aujourd'hui ainsi que mon ca.crt...
Donc c'est pour celà que mes anciens certificats fonctionnent mais pas les nouveaux...
 
Donc le truc c'est qu'au niveau du serveur je mets ca1.crt + pour les clients ca1.crt ? Et il signera avec le nouveau ca.key ?
 

 Pour Ca.crt et ca.key le nom de fichiers (Je ne parle pas du common name...) n'a d'importance que dans le sens ou il est utilisée dans le fichier de config .ovpn...
Donc tu renomme => tu adapte les fichiers de config... et c'est bon
 
ca.crt et ca.key sont specifie dans le fichier de config de openssl ...
(dans le repertoire easy-rsa, le fichier openssl.cnf) Donc faut faire gaffe a les changer également dans le fichier openssl.cnf si tu les renoment ici...

Bon ca marche pas je sais pas si j'ai fait ce qu'il fallait  
1. je crée un nouveau certif d'autorité avec
build-ca
 
2. Je crée un nouveau certif client avec
build-key nom
 
3. Je renomme le certif ca.crt en ca2.crt je le mets au niveau du dossier config du serveur je rajoute
dans serveur.opvpn la ligne ca ca2.crt. Même chose pour client.opvpn.
 
Bon et maintenant plus rien ne marche ni les anciens ni les nouveaux ...

Bon à priori celà ne colle pas si on configure server.openvpn avec deux certifcats ca.crt.
J'ai mis
ca ca.crt
ca ca2.crt
 
Mes anciens certifs ne peuvent plus négocier la liaison sauf si j'enleve ca ca2.crt...
Quelqu'un à une idée pour gérer deux certifs d'autorités ???

Euh visiblement FT a ouvert le port 1194.....mais j'ai toujours la même erreur lors de la tentative de connexion d'un client !!!
De plus en faisant un telnet sur ce port là il me dit toujours impossible d'ouvrir une connexion....je ne comprend pas, normalement il devrait pouvoir établir une connexion vu que le port est ouvert, non ?? ou alors c'est mon serveur qui bloque (un port n'est pas ouvert ??) car même si je fais un telnet de 127.0.0.1 ça ne marche pas non plus.....  
Dans ces cas là comment ouvrir un port sur un serveur ?? c'est Open VPN qui est censé ouvrir le port qu'il faut non ???
 
 

Sur le net, j'ai trouvé des sites pour tester les ports ouverts sur ma machine, et apparemment aucun port n'est ouvert.....pourtant OpenVPN est lancé, il devrait au moins y avoir le port 1194 non ?? je ne comprend pas trop là.... jsuis dans le flou....  
Et puis je cherche comment ouvrir des ports sur un machine mais bon....    Si quelqu'un peut m'orienter un peu....  
Merci d'avance

Ton firewall ?  La seule chose que j'ai configuré en tant que serveur openvpn c'est un nat pour le protocole
udp. Et ca marche....

 
J'ai pas de firewall (ni sur mon serveur, ni sur mes clients --> tout est désactivé...), la seule chose que j'ai débloquer c'est que comme le routeur appartient à FT bah je leur ai demandé d'ouvrir ce port là, mais visiblement il se passe grand chose.....!!!

C'est quoi ta topologie ?

Essaye déjà de le faire tourner avec 2 poste en local... En changeant bien l'ip serveur...

Dit halo21, cela te dirait pas de me dire ou tu place ca.crt, server.key, server.crt server.ovpn ? J'espere que tu les met dans le repertoire config ! Meme chose pour ca2.crt, server2.key, server2.crt server2.ovpn
Moi cela tourne !!!
 
Ou sinon ca2.crt, client1.crt, client1.key, client1.ovpn

En fait il faut un server2.key aussi ?bon il est là le prob....
 

 
En fait j'ai :
un serveur sous Windows 2000 Pro avec une adresse IP en 192.168.xxx.xxx
un client sous Windows XP Pro SP2 avec une adresse IP en 192.168.xxx.xxx
Ils sont tous les 2 sur le même réseau....et ils sont connectés à un routeur France Telecom
 
Voilou....si t'as d'autres questions...