Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Problème Nat avec OPENVPN

    Scheduled Pinned Locked Moved Français
    25 Posts 4 Posters 2.3k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • J
      jdh
      last edited by

      (On a pas encore la présentation que je recommande …)

      On a avancé :

      D'après ce que vous présentez (mal),

      • quel matériel dispose de l'adresse ip publique ? CISCO
      • par conséquence, avez vous agit sur ledit matériel pour que le flux arrive au pfSense ?

      Maintenant, il faut répondre à la deuxième question ...

      D'ailleurs vous l'écrivez vous-même 'Je répété que pfsense n'est pas connecté directement à internet'

      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

      1 Reply Last reply Reply Quote 0
      • A
        abrougui
        last edited by

        non j'ai pas agis sur l'edit materiel, tout ce que je peux faire au niveau du materiel c'est que je peux ouvrir les ports.
        Le fournisseur m'interdit de faire une modification à leur matériel

        1 Reply Last reply Reply Quote 0
        • C
          chris4916
          last edited by

          Donc, comme je le disais, ton serveur OpenVPN est correctement configuré pour écouter sur l'interface WAN de pfSense.
          Le package d'assistance à la création des bundle client prend par défaut l'IP de la conf du serveur pfSense. Mais tu DOIS le modifier pour remplacer ça par ton IP publique ou un fqdn si à cette IP correspond une entrée DNS.

          Et il faut sur le routeur cisco rediriger le flux entrant sur le port que tu as configuré pour que ce flux arrive sur l'interface WAN de pfSense. C'est tout  ;)

          Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

          1 Reply Last reply Reply Quote 0
          • J
            jdh
            last edited by

            Le fournisseur m'interdit de faire une modification à leur matériel

            Si le fournisseur ne permet pas de faire un renvoi de trafic, il FAUT en changer …

            J'ai indiqué les 2 premières étapes, une 3ième a été indiqué :

            • CISCO
            • transfert de flux à faire dans le CISCO
            • paramétrer le client

            Tout cela est basique ...

            Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

            1 Reply Last reply Reply Quote 0
            • A
              abrougui
              last edited by

              J'ai changé ma connexion, maintenant je peux faire la modification au niveau de mon modem.
              ce que j'ai fait dans le fichier de configuration openVPN c'est que j'ai changer l'adresse locale par celle publique comme l'indique ici :

              dev tun
              persist-tun
              persist-key
              cipher AES-256-CBC
              auth SHA1
              tls-client
              client
              resolv-retry infinite
              remote """""ADRESSE PUBLIQUE"""" 1194 udp
              lport 0
              verify-x509-name "splendid-annex.local" name
              auth-user-pass
              pkcs12 pfSense-udp-1194-VPN.p12
              tls-auth pfSense-udp-1194-testVPN-tls.key 1
              remote-cert-tls server

              et dans la pièce jointe ma configuration modem.

              Mais voici la résultat du connexion :

              Wed Nov 15 15:59:28 2017 OpenVPN 2.4.4 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Sep 26 2017
              Wed Nov 15 15:59:28 2017 Windows version 6.2 (Windows 8 or greater) 64bit
              Wed Nov 15 15:59:28 2017 library versions: OpenSSL 1.0.2l  25 May 2017, LZO 2.10
              Wed Nov 15 15:59:31 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]"""ADRESSE PULIQUE""":1194
              Wed Nov 15 15:59:31 2017 UDP link local (bound): [AF_INET][undef]:0
              Wed Nov 15 15:59:31 2017 UDP link remote: [AF_INET]""""ADRESSE PUBLIQUE""":1194
              Wed Nov 15 16:00:32 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
              Wed Nov 15 16:00:32 2017 TLS Error: TLS handshake failed
              Wed Nov 15 16:00:32 2017 SIGUSR1[soft,tls-error] received, process restarting

              NAT.png
              NAT.png_thumb

              1 Reply Last reply Reply Quote 0
              • J
                jdh
                last edited by

                Il y a 3 étapes :

                • identifier le boitier qui est entre Internet et WAN : fait : CISCO
                • renvoyer le trafic dans ce boitier : fait : à corriger UDP seulement
                • configurer le client : à affiner (évidemment l'ip publique, mais vérifier les 'sous' protocoles …)

                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                1 Reply Last reply Reply Quote 0
                • A
                  abrougui
                  last edited by

                  J'ai pas bien compris la 3éme étape

                  1 Reply Last reply Reply Quote 0
                  • J
                    jdh
                    last edited by

                    La 3ième étape concerne la correspondance entre config client et config serveur : adresse ip publique côté client, ….

                    Chaque ligne de la config client doit correspondre à ce qui est prévu d'après la config côté serveur :
                    exemple :
                    coté Serveur : si Use TLS coché, le contenu de TLS Key doit être dans le fichier indiqué à la ligne 'tls-auth fichier 1' côté client
                    et ainsi de suite ...

                    Puisque vous n'avez fourni que TRES peu d'informations ...
                    Ici il aurait fallu une copie d'écran de VPN > OpenVPN ... pour vérifier si votre conf client est correcte (mais je n'ai pas le temps ...).

                    (J'ai une ligne 'proto udp' dans mes fichiers de conf et pas 'udp' sur la ligne 'remote' ...)

                    Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                    1 Reply Last reply Reply Quote 0
                    • A
                      abrougui
                      last edited by

                      Pour La partie Serveur

                      ![openvpn 1.png](/public/imported_attachments/1/openvpn 1.png)
                      ![openvpn 1.png_thumb](/public/imported_attachments/1/openvpn 1.png_thumb)
                      ![openvpn 2.png](/public/imported_attachments/1/openvpn 2.png)
                      ![openvpn 2.png_thumb](/public/imported_attachments/1/openvpn 2.png_thumb)
                      ![openvpn 3.png](/public/imported_attachments/1/openvpn 3.png)
                      ![openvpn 3.png_thumb](/public/imported_attachments/1/openvpn 3.png_thumb)
                      ![openvpn 4.png](/public/imported_attachments/1/openvpn 4.png)
                      ![openvpn 4.png_thumb](/public/imported_attachments/1/openvpn 4.png_thumb)
                      ![openvpn 5.png](/public/imported_attachments/1/openvpn 5.png)
                      ![openvpn 5.png_thumb](/public/imported_attachments/1/openvpn 5.png_thumb)
                      ![openvpn 6.png](/public/imported_attachments/1/openvpn 6.png)
                      ![openvpn 6.png_thumb](/public/imported_attachments/1/openvpn 6.png_thumb)

                      1 Reply Last reply Reply Quote 0
                      • A
                        abrougui
                        last edited by

                        Partie Client export:

                        ![openvpn 7.png](/public/imported_attachments/1/openvpn 7.png)
                        ![openvpn 7.png_thumb](/public/imported_attachments/1/openvpn 7.png_thumb)
                        ![openvpn 8.png](/public/imported_attachments/1/openvpn 8.png)
                        ![openvpn 8.png_thumb](/public/imported_attachments/1/openvpn 8.png_thumb)

                        1 Reply Last reply Reply Quote 0
                        • A
                          abrougui
                          last edited by

                          juste demandez moi ce que vous voulez et je vais faire un imprime écran

                          1 Reply Last reply Reply Quote 0
                          • C
                            chris4916
                            last edited by

                            Sur la première copie d'écran que tu montre, "client connection behavior" / "hostname resolution" contient "interface IP address"
                            C'est de champ qu'il faut modifier pour y mettre ton IP publique afin que ton client pointe sur la bonne adresse.

                            Je ne sais pas comment l'expliquer mieux que ça  ::)

                            Ensuite, vérifie donc que la requête de ton client arrive bien au serveur OpenVPN, coté pfSense

                            Jah Olela Wembo: Les mots se muent en maux quand ils indisposent, agressent ou blessent.

                            1 Reply Last reply Reply Quote 0
                            • A
                              abrougui
                              last edited by

                              Toujours la meme chose:
                              Sat Nov 18 09:31:02 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
                              Sat Nov 18 09:31:02 2017 TLS Error: TLS handshake failed
                              Sat Nov 18 09:31:02 2017 SIGUSR1[soft,tls-error] received, process restarting

                              Vraiment ça m’embête. je l'ai fais sur un CENTOS mais avec pfsense….

                              1 Reply Last reply Reply Quote 0
                              • J
                                jdh
                                last edited by

                                Usuellement TLS-ERROR vient du fait que la clé du fichier n'est pas celle de la config server.
                                Avez-vous vérifié ? Voire refait votre fichier ?
                                Voire ajusté la nego ? (le plus simple c'est pas de négo = 1 seul protocole)

                                Si vous attendez que ça vous tombe tout cuit …

                                (Perso j'ai eu une expérience malheureuse avec Client Export, donc je fait à la main : copie, création d'un fichier, ...)

                                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                                1 Reply Last reply Reply Quote 0
                                • A
                                  abrougui
                                  last edited by

                                  Vous pouvez m'expliquer svp un peut plus.
                                  Merci
                                  Et est ce que c'est normale que j'ai pas Shared Key Server??

                                  ![Sans titre.png_thumb](/public/imported_attachments/1/Sans titre.png_thumb)
                                  ![Sans titre.png](/public/imported_attachments/1/Sans titre.png)

                                  1 Reply Last reply Reply Quote 0
                                  • C
                                    ccnet
                                    last edited by

                                    Ce n'est ni anormal, ni normal. C'est une question de choix de configuration. Comme vous gérez des certificats propres à chaque utilisateur, c'est cohérent. Mais cela montre que vous ne comprenez pas bien le fonctionnement de la partie VPN SSL
                                    Dans vos paramétrages, SHA1 est à proscrire car défaillant aujourd'hui.
                                    Il me semble que vos paramètres sont incorrects. Relisez donc ce que vois dit jdh …

                                    1 Reply Last reply Reply Quote 0
                                    • J
                                      jdh
                                      last edited by

                                      je réécris :
                                      TLS Error survient quand, côté serveur, la clé indiquée (TLS Key), ne correspond pas à, côté client, la clé fournie par le fichier (tls-auth fichier 1).
                                      (TLS error <-> TLS Key <-> tls-auth : il n'y a pas une logique ?)

                                      Avez vous vérifié ?

                                      Comme c'est la première étape (comme on peut le voir sur le log), c'est la première chose à vérifier …

                                      NB : avez vous réfléchi (et organisé correctement) vos certificats :
                                      la logique est d'avoir

                                      • une autorité de certification
                                      • un certificat de serveur (pour le serveur OpenVPN)
                                      • un certificat client  (indiqué dans la config client)

                                      L'impression est que vous attendez qu'on fasse le boulot à votre place ...

                                      Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                                      1 Reply Last reply Reply Quote 0
                                      • A
                                        abrougui
                                        last edited by

                                        ce que j'ai fais c'est que j'ai suivis des tuto.
                                        et rien n'a marché, je vous ai dis que j'ai utilisé avant la pptp mais après la mise à jours rien ne fonctionne.
                                        Je vous ai utiliser tout les imprimes écran.
                                        Pour les certificats, j'ai 3 certif comme vous le dite.
                                        J'ai suivi tout les tuto disponible.

                                        1 Reply Last reply Reply Quote 0
                                        • C
                                          ccnet
                                          last edited by

                                          ce que j'ai fais c'est que j'ai suivis des tuto.

                                          Peut être ne serait il pas inutile d'essayer de comprendre ce que vous faites, plutôt que de suivre des "tutos".

                                          1 Reply Last reply Reply Quote 0
                                          • A
                                            abrougui
                                            last edited by

                                            ne vous inquiétez pas je comprend tout ce que je fais. mais bon oubli.
                                            ça ce voit que vous êtes professionnel.
                                            Merci

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.