Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    [Résolu]-[OpenVPN] Site à site - plantage

    Scheduled Pinned Locked Moved Français
    16 Posts 2 Posters 7.1k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • C
      ccnet
      last edited by

      J'ai comme l'impression que le problème vient du proxy configuré sur la pfsense distante (squid+havp).

      Le proxy ne concerne que les flux TCP/80 et éventuellement 443. Or le vpn SSL est en principe en UDP/1194 bien que dans votre cas il semble que ce soit le port 1193.

      Pouvons nous déjà confirmer les éléments de base de la configuration de part et d'autre ?
      En particulier les valeurs, dans les champs "Remote network" et "Local network" de la configuration du serveur vpn. Ces valeurs permettent de mettre en place les bonnes informations de routage.

      1 Reply Last reply Reply Quote 0
      • B
        bezourox
        last edited by

        Côté serveur:

        Protocole : TCP
        Port : 1193 (le port 1194 étant utilisé pour les connexions roadwarriors)
        Pool d'adresses : 10.0.16.0/24
        Remote network : 10.145.7.0/24
        DNS-Domainname : mondomaine.local
        DNS-Server : 10.163.135.14
        NTP- Server : 10.163.135.14

        Je ne peux pas renseigner le "Local Network" car il est grisé…
        Côté client, plus accès à l'interface graphique... je restaure ma pfsense et te basarde ça.

        1 Reply Last reply Reply Quote 0
        • B
          bezourox
          last edited by

          Bonjour,

          La suite de la configuration ci dessous.
          Coté client :

          Côté serveur:

          Protocole : TCP
          Port : 1193 (le port 1194 étant utilisé pour les connexions roadwarriors)
          Adresse IP : IP publique pfsense réseau central
          Interface IP : 10.145.7.0/24
          Remote network : 10.163.135.0/24
          Proxy Host : -
          Proxy port : 3128

          1 Reply Last reply Reply Quote 0
          • C
            ccnet
            last edited by

            Tout cela me semble correct. Il va falloir commencer à faire des captures de trames pour voir ce qui se passe vraiment sur les interfaces des différents Pfsense.
            Qu'en est il du filtrage sur les interfaces VPN ? Sont elles visibles ?

            1 Reply Last reply Reply Quote 0
            • B
              bezourox
              last edited by

              Bonjour,

              Côté filtrage, rien de configuré.
              Sur la pfsense serveur, j'ai autorisé any vers any sur le port 1193.
              Sur la pfsense client, pas de règle de filtrage.

              Dès que j'applique la configuration sur la pfsense cliente indiquée ci-dessus, cette dernière n'est plus accéssible via le réseau (ssh/http).
              Comment puis je faire un des captures de trames intéressantes ? J'ai un hub à disposition, celà peut sans doute m'aider.

              1 Reply Last reply Reply Quote 0
              • C
                ccnet
                last edited by

                Sur la pfsense serveur, j'ai autorisé any vers any sur le port 1193.

                Sur l'interface wan et bien sur TCP dans votre cas ?

                Comment puis je faire un des captures de trames intéressantes ?

                Pfsense comporte l'utilitaire qui va bien : Diagnostics: Packet Capture. Le résultat peut être ensuite exploité avec Wireshark. Une fois le tunnel monté il faut voir sur chaque interface impliquée ce qui se passe avec un simple ping.

                1 Reply Last reply Reply Quote 0
                • B
                  bezourox
                  last edited by

                  Pour la pfsense serveur, Oui, TCP sur interface WAN.
                  De toute façon les logs de la pfsense serveur montrent bien que le tunel se monte correctement.

                  C'est au niveau de la pfsense cliente que ça coince, et mon problème c'est que n'ayant plus l'accès à l'interface web après activation du tunel, je ne peux pas faire de diagnostic :s

                  1 Reply Last reply Reply Quote 0
                  • B
                    bezourox
                    last edited by

                    Sur la pfsense cliente, voici ce que je vois avec pftop :

                    Je vois bien une connexion sur le port 1193 en TCP avec l'adresse IP publique de ma pfsense serveur.
                    alors pourquoi se retrouve t'elle en rideau et ne veut même plus répondre sur le réseau…

                    1 Reply Last reply Reply Quote 0
                    • C
                      ccnet
                      last edited by

                      Je vois bien une connexion sur le port 1193 en TCP avec l'adresse IP publique de ma pfsense serveur.

                      Il est normal qu'elle s'arrête ici puisque c'est l'extrémité de votre tunnel.

                      Il faudrait maintenant voir (ping) ce qui se passe si l'on tente de joindre une machine du réseau 10.163.135.0/24.

                      1 Reply Last reply Reply Quote 0
                      • B
                        bezourox
                        last edited by

                        Tests effectués depuis la pfsense cliente :

                        ping sur sa propre interface LAN : OK
                        ping de son serveur DNS : OK
                        ping du serveur DNS distant : ping:sendto:No buffer space available

                        1 Reply Last reply Reply Quote 0
                        • C
                          ccnet
                          last edited by

                          De quelle ip vers quelle autre ? Vous avez l'adressage en tête moi pas, je préfère des données sans ambiguïté.

                          ping du serveur DNS distant : ping:sendto:No buffer space available

                          Plus ennuyeux.
                          http://forum.pfsense.org/index.php/topic,5975.0.html

                          1 Reply Last reply Reply Quote 0
                          • B
                            bezourox
                            last edited by

                            Adresse IP LAN pfsense cliente : 10.145.7.17
                            Adresse IP WAN pfsense cliente : 10.145.7.18
                            Adresse IP Routeur site client : 10.145.7.252

                            Adresse IP LAN pfsense serveur : 10.163.135.17
                            Adresse IP WAN pfsense serveur : x.x.x.x (ip fixe publique)

                            Ping de 10.145.7.17 vers 10.145.7.17 : OK
                            Ping de 10.145.7.17 vers 10.145.7.1 (DNS) : OK
                            Ping de 10.145.7.17 vers 10.145.7.252 (paserelle) : timeout
                            Ping de 10.145.7.17 vers 10.163.135.14 : ping:sendto:No buffer space available

                            Le fait de passer par un routeur entre le WAN de la pfsense et la porte internet, est je pense une source à problème, mais plutôt au niveau du VPN en lui même.
                            Je ne vois pas pourquoi côté LAN de l'affaire je n'accède plus à cette pfsense…

                            Pour le lien qui parle de "No buffer space available", j'ai du mal à cerner le problème.

                            1 Reply Last reply Reply Quote 0
                            • B
                              bezourox
                              last edited by

                              Bonjour,

                              Alors je reviens après quelques recherches et tests.
                              J'ai détecté une première erreur en me rendant sur le site distanten question :
                              La pfsense est derrière un routeur et non un modem, donc la configuration ci-dessus ne pouvait pas fonctionner.
                              Maintenant le schéma est le suivant :

                              Réseau local distant  –  Lan pfsense  --  Wan pfsense  --  Routeur Netgear  --  Wan pfsense principal
                              10.145.7.0/24            10.145.7.17/24  192.168.1.110/24    192.168.1.100/24      IP publique fixe

                              Test effectués depuis la pfsense :
                              ping 10.145.7.17 (lan pfsense) : OK
                              ping 192.168.1.110 (wan pfsense) : OK
                              ping 10.92.168.1.100 (routeur netgear) : OK
                              ping www.google.fr : OK

                              Enfin un comportement normal, donc je reprends la mise en place de mon tunel VPN.
                              Et suite à l'enregistrement de la conf VPN client, de nouveau plus accès à l'interface d'administration.

                              Côté pfsense du site central, voici mes 2 dernières lignes de log:
                              Jun 15 11:25:53 openvpn[384]: Initialization Sequence Completed
                              Jun 15 11:26:03 openvpn[384]: WARNING: 'ifconfig' is used inconsistently, local='ifconfig 10.0.16.1 10.0.16.2', remote='ifconfig 10.145.7.1 10.145.7.2'

                              Je pingue la pate Lan de la pfsense (10.145.7.17) depuis tous les postes, sauf depuis le PC depuis lequel j'ai validé la conf VPN cliente…
                              Mais impossible depuis n'importe quel poste d'accéder à l'interface d'administration...

                              Certaines choses m'échappent, tout celà ne me parait pas vraiment cohérent...

                              1 Reply Last reply Reply Quote 0
                              • B
                                bezourox
                                last edited by

                                NB : 10.145.7.1 et 10.145.7.2 sont déja des adresses prises sur le réseau.
                                Je viens de m'apercevoir que depuis la pate Lan de la pfsense (j'y accède encore via mon vSpere client), je pingue toutes les IP locales, sauf ces 2 IP… un conflit d'adresses ?

                                1 Reply Last reply Reply Quote 0
                                • B
                                  bezourox
                                  last edited by

                                  Bonjour,

                                  Problème résolu.
                                  Le problème vennait de ces adresses qui sont déjà prises sur le réseau.
                                  Il faut rajouter dans les options de openVPN:

                                  Coté openVPN serveur : –ifconfig 10.0.16.1 10.145.7.4;
                                  Coté openVPN client : --ifconfig 10.145.7.4 10.0.16.1;

                                  Cette option permet de définir les adresses IP des extrémités du tunel.

                                  Il me reste des problèmes de filtrage, mais ça sera l'objet d'un autre post.
                                  Merci encore ccnet

                                  1 Reply Last reply Reply Quote 0
                                  • First post
                                    Last post
                                  Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.