Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN ne fonctionne pas en mode client à site

    Scheduled Pinned Locked Moved Français
    21 Posts 6 Posters 2.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • GertjanG
      Gertjan @amarechal
      last edited by

      @amarechal said in OpenVPN ne fonctionne pas en mode client à site:

      Depuis l'extérieur, je vois bien mes trames UDP arriver sur le NetGate

      Depuis l'extérieur ?
      Regarde plutôt dans les logs de OpenVPN : Status => System Logs => OpenVPN

      Coté client : poste toutes les logs.

      No "help me" PM's please. Use the forum, the community will thank you.
      Edit : and where are the logs ??

      1 Reply Last reply Reply Quote 0
      • A
        amarechal
        last edited by

        Oui c'est ce que je voulais dire :).

        Coté client j'ai ça:
        Tue Jul 17 13:53:59 2018 OpenVPN 2.4.6 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Apr 26 2018
        Tue Jul 17 13:53:59 2018 Windows version 6.1 (Windows 7) 64bit
        Tue Jul 17 13:53:59 2018 library versions: OpenSSL 1.1.0h 27 Mar 2018, LZO 2.10
        Tue Jul 17 13:53:59 2018 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
        Tue Jul 17 13:53:59 2018 Need hold release from management interface, waiting...
        Tue Jul 17 13:53:59 2018 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
        Tue Jul 17 13:53:59 2018 MANAGEMENT: CMD 'state on'
        Tue Jul 17 13:53:59 2018 MANAGEMENT: CMD 'log all on'
        Tue Jul 17 13:53:59 2018 MANAGEMENT: CMD 'echo all on'
        Tue Jul 17 13:53:59 2018 MANAGEMENT: CMD 'bytecount 5'
        Tue Jul 17 13:53:59 2018 MANAGEMENT: CMD 'hold off'
        Tue Jul 17 13:53:59 2018 MANAGEMENT: CMD 'hold release'
        Tue Jul 17 13:54:03 2018 MANAGEMENT: CMD 'username "Auth" "xxxxxxxxxxxxxx"'
        Tue Jul 17 13:54:03 2018 MANAGEMENT: CMD 'password [...]'
        Tue Jul 17 13:54:03 2018 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
        Tue Jul 17 13:54:03 2018 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
        Tue Jul 17 13:54:03 2018 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
        Tue Jul 17 13:54:03 2018 TCP/UDP: Preserving recently used remote address: [AF_INET]xx.xx.xx.xx:1194
        Tue Jul 17 13:54:03 2018 Socket Buffers: R=[8192->8192] S=[8192->8192]
        Tue Jul 17 13:54:03 2018 UDP link local: (not bound)
        Tue Jul 17 13:54:03 2018 UDP link remote: [AF_INET]xx.xx.xx.xx:1194
        Tue Jul 17 13:54:03 2018 MANAGEMENT: >STATE:1531828443,WAIT,,,,,,
        Tue Jul 17 13:55:03 2018 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
        Tue Jul 17 13:55:03 2018 TLS Error: TLS handshake failed
        Tue Jul 17 13:55:03 2018 SIGUSR1[soft,tls-error] received, process restarting
        Tue Jul 17 13:55:03 2018 MANAGEMENT: >STATE:1531828503,RECONNECTING,tls-error,,,,,
        Tue Jul 17 13:55:03 2018 Restart pause, 5 second(s)

        Et côté NetGate j'ai ça pour le log OpenVPN:
        Jul 17 13:55:02 openvpn 13896 xx.xx.xx.xx:32058 TLS Error: TLS handshake failed
        Jul 17 13:55:02 openvpn 13896 xx.xx.xx.xx:32058 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
        Et pour le log Firewall:
        pass/1528129645 Jul 17 13:55:07 WAN xx.xx.xx.xx:32063 xx.xx.xx.xx:1194 UDP

        GertjanG 1 Reply Last reply Reply Quote 0
        • A
          amarechal
          last edited by amarechal

          Et voici les logs quand je me connecte directement sur l'interface WAN:

          @IP client: 10.1.224.120
          @IP WAN: 10.1.224.60

          Côté Client:
          Tue Jul 17 14:37:30 2018 OpenVPN 2.4.6 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Apr 26 2018
          Tue Jul 17 14:37:30 2018 Windows version 6.1 (Windows 7) 64bit
          Tue Jul 17 14:37:30 2018 library versions: OpenSSL 1.1.0h 27 Mar 2018, LZO 2.10
          Enter Management Password:
          Tue Jul 17 14:37:30 2018 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
          Tue Jul 17 14:37:30 2018 Need hold release from management interface, waiting...
          Tue Jul 17 14:37:30 2018 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
          Tue Jul 17 14:37:30 2018 MANAGEMENT: CMD 'state on'
          Tue Jul 17 14:37:30 2018 MANAGEMENT: CMD 'log all on'
          Tue Jul 17 14:37:30 2018 MANAGEMENT: CMD 'echo all on'
          Tue Jul 17 14:37:30 2018 MANAGEMENT: CMD 'bytecount 5'
          Tue Jul 17 14:37:30 2018 MANAGEMENT: CMD 'hold off'
          Tue Jul 17 14:37:30 2018 MANAGEMENT: CMD 'hold release'
          Tue Jul 17 14:38:06 2018 MANAGEMENT: CMD 'username "Auth" "xxxxxxx"'
          Tue Jul 17 14:38:06 2018 MANAGEMENT: CMD 'password [...]'
          Tue Jul 17 14:38:06 2018 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
          Tue Jul 17 14:38:06 2018 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
          Tue Jul 17 14:38:06 2018 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
          Tue Jul 17 14:38:06 2018 TCP/UDP: Preserving recently used remote address: [AF_INET]10.1.224.60:1194
          Tue Jul 17 14:38:06 2018 Socket Buffers: R=[8192->8192] S=[8192->8192]
          Tue Jul 17 14:38:06 2018 UDP link local: (not bound)
          Tue Jul 17 14:38:06 2018 UDP link remote: [AF_INET]10.1.224.60:1194
          Tue Jul 17 14:38:06 2018 MANAGEMENT: >STATE:1531831086,WAIT,,,,,,
          Tue Jul 17 14:38:06 2018 MANAGEMENT: >STATE:1531831086,AUTH,,,,,,
          Tue Jul 17 14:38:06 2018 TLS: Initial packet from [AF_INET]10.1.224.60:1194, sid=cb0e4625 3d3cff5a
          Tue Jul 17 14:38:06 2018 VERIFY OK: depth=1, C=FR, ST=France, L=Courbevoie, O=xx, emailAddress=xx@xx, CN=ca, OU=xx
          Tue Jul 17 14:38:06 2018 VERIFY OK: depth=0, C=FR, ST=France, L=Courbevoie, O=xx, emailAddress=xx@xx, CN=ca-xx, OU=xx
          Tue Jul 17 14:38:06 2018 Control Channel: TLSv1.2, cipher TLSv1.2 ECDHE-RSA-AES256-GCM-SHA384, 2048 bit RSA
          Tue Jul 17 14:38:06 2018 [ca-xx] Peer Connection Initiated with [AF_INET]10.1.224.60:1194
          Tue Jul 17 14:38:08 2018 MANAGEMENT: >STATE:1531831088,GET_CONFIG,,,,,,
          Tue Jul 17 14:38:08 2018 SENT CONTROL [ca-xx]: 'PUSH_REQUEST' (status=1)
          Tue Jul 17 14:38:08 2018 PUSH: Received control message: 'PUSH_REPLY,route 192.168.2.0 255.255.254.0,dhcp-option DOMAIN xx,dhcp-option DNS 10.1.224.23,dhcp-option DNS 8.8.8.8,route-gateway 10.0.8.1,topology subnet,ping 10,ping-restart 60,ifconfig 10.0.8.2 255.255.255.0,peer-id 0,cipher AES-256-GCM'
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: timers and/or timeouts modified
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: --ifconfig/up options modified
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: route options modified
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: route-related options modified
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: peer-id set
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: adjusting link_mtu to 1624
          Tue Jul 17 14:38:08 2018 OPTIONS IMPORT: data channel crypto options modified
          Tue Jul 17 14:38:08 2018 Data Channel: using negotiated cipher 'AES-256-GCM'
          Tue Jul 17 14:38:08 2018 Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
          Tue Jul 17 14:38:08 2018 Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
          Tue Jul 17 14:38:08 2018 interactive service msg_channel=0
          Tue Jul 17 14:38:08 2018 ROUTE_GATEWAY 10.1.224.1/255.255.255.0 I=12 HWADDR=60:67:20:ee:a1:f0
          Tue Jul 17 14:38:08 2018 open_tun
          Tue Jul 17 14:38:08 2018 TAP-WIN32 device [VPN] opened: \.\Global{36866B68-789D-4BF5-A41B-E0D367A31A5C}.tap
          Tue Jul 17 14:38:08 2018 TAP-Windows Driver Version 9.21
          Tue Jul 17 14:38:08 2018 Set TAP-Windows TUN subnet mode network/local/netmask = 10.0.8.0/10.0.8.2/255.255.255.0 [SUCCEEDED]
          Tue Jul 17 14:38:08 2018 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.0.8.2/255.255.255.0 on interface {36866B68-789D-4BF5-A41B-E0D367A31A5C} [DHCP-serv: 10.0.8.254, lease-time: 31536000]
          Tue Jul 17 14:38:08 2018 Successful ARP Flush on interface [19] {36866B68-789D-4BF5-A41B-E0D367A31A5C}
          Tue Jul 17 14:38:08 2018 do_ifconfig, tt->did_ifconfig_ipv6_setup=0
          Tue Jul 17 14:38:08 2018 MANAGEMENT: >STATE:1531831088,ASSIGN_IP,,10.0.8.2,,,,
          Tue Jul 17 14:38:13 2018 TEST ROUTES: 1/1 succeeded len=1 ret=1 a=0 u/d=up
          Tue Jul 17 14:38:13 2018 MANAGEMENT: >STATE:1531831093,ADD_ROUTES,,,,,,
          Tue Jul 17 14:38:13 2018 C:\Windows\system32\route.exe ADD 192.168.2.0 MASK 255.255.254.0 10.0.8.1
          Tue Jul 17 14:38:13 2018 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=20 and dwForwardType=4
          Tue Jul 17 14:38:13 2018 Route addition via IPAPI succeeded [adaptive]
          Tue Jul 17 14:38:13 2018 Initialization Sequence Completed
          Tue Jul 17 14:38:13 2018 MANAGEMENT: >STATE:1531831093,CONNECTED,SUCCESS,10.0.8.2,10.1.224.60,1194,,

          Log serveur OpenVPN:
          Jul 17 14:38:04 openvpn 13896 xx/10.1.224.120:60251 MULTI_sva: pool returned IPv4=10.0.8.2, IPv6=(Not enabled)
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 [xx] Peer Connection Initiated with [AF_INET]10.1.224.120:60251
          Jul 17 14:38:04 openvpn user 'xx' authenticated
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_GUI_VER=OpenVPN_GUI_11
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_TCPNL=1
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_COMP_STUBv2=1
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_COMP_STUB=1
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_LZO=1
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_LZ4v2=1
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_LZ4=1
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_NCP=2
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_PROTO=2
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_PLAT=win
          Jul 17 14:38:04 openvpn 13896 10.1.224.120:60251 peer info: IV_VER=2.4.6

          Log Firewall
          pass/1528129645 Jul 17 14:38:04 WAN 10.1.224.120:60251 10.1.224.60:1194 UDP

          1 Reply Last reply Reply Quote 0
          • J
            jdh
            last edited by

            Le formulaire A LIRE EN PREMIER indique qu'il faut indiquer pas mal de choses ... (même ce qui semble inutile !)

            Si un PC connecté directement à WAN fonctionne alors que le même pc en distant ne fonctionne pas, c'est que ce qui est devant WAN ne fait pas sa part de boulot ...

            Et comme vous n'avez rien écrit sur ce sujet, pensant que ça va être bon, ...

            pc <-> box1 <-> Internet <-> box2 <>- WAN pfsense

            Il ne faut rien négliger :

            • le firewall du pc ?
            • la box 1 laisse-t-elle passer le flux ?
            • la box2 forward-elle le flux ?

            Au moins la config client et serveur semble correcte ...

            Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

            1 Reply Last reply Reply Quote 0
            • A
              amarechal
              last edited by

              Au temps pour moi, merci pour le rappel.

              Voici les éléments:
              Contexte : association, Administrateur Système et un peu Réseaux, nouvelle solution.

              Besoin : Permettre un accès VPN aux utilisateurs qui doivent prendre la main à distance en RDP ou client Web à des machines virtuelles pour se former et également accéder à des partages de fichiers locaux.

              Schéma : pc client <-> box1 <-> Internet <-> box 2 <-> WAN pfsense <-> LAN
              La box1 est celle du client. Pour mes tests j'utilise soit le partage de connexion de mon téléphone, soit mon accès adsl perso.
              La box2 est géré par le SI du batiment qui nous héberge, je n'ai pas la main dessus. Hier ils ont créé un règle de firewall entrante sur le port 1194 et depuis, je reçois des paquets sur le pfsense mais rien ne passe en sortie.

              WAN : 1, NetGate SG-3100, routeur/concentrateur OpenVPN, 1 IP publique

              LAN : 2 vlan, pas d'autre réseaux , adressage IPv4, dhcp fourni et dns local

              DMZ : néant

              WIFI : néant

              Autres interfaces :

              Règles NAT : aucune en plus de celles créées automatiquement

              Règles Firewall :0_1531836315095_screenshot.338.jpg
              0_1531836345918_screenshot.339.jpg

              Packages ajoutés : néant

              Merci.

              1 Reply Last reply Reply Quote 0
              • J
                jdh
                last edited by

                @amarechal said in OpenVPN ne fonctionne pas en mode client à site:

                La box2 est géré par le SI du batiment qui nous héberge, je n'ai pas la main dessus. Hier ils ont créé un règle de firewall entrante sur le port 1194

                Le formulaire est une base : les débutants doivent y mettre même ce qui leur parait inutile : je connais pas mais je remplis car ça peut aider ceux qui connaissent !
                Vous avez juste rempli le minimum.

                Au milieu, vous avez (enfin) décrit des éléments essentiels :

                • le fait que vous ne gérez pas 'box2' est un sérieux handicap pour créer un accès VPN
                • 'hier' a été fait une modif : cette modif était nécessaire, tous vos essais antérieurs ne pouvaient fonctionner !

                'Box2' doit être configuré pour autoriser le flux udp/1194 (je suppose) en sortie et en entrée avec un 'port forward' vers WAN.
                Bien évidemment, le client doit être configuré pour accéder à l'ip publique de 'box2' et non l'ip wan de pfSense (ip privée).

                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                1 Reply Last reply Reply Quote 0
                • A
                  amarechal
                  last edited by

                  Merci pour votre aide. Effectivement le client contacte bien l'adresse IP publique :).
                  Pour la box2, je suis en attente de modification par le SI du bâtiment. J'étudie une façon de passer par un accès autonome internet pour le VPN mais pas évident.
                  Sur le boitier SG-3100, j'ai vu qu'il est possible de connecter une carte WWAN et je me dis que je pourrais utiliser ce type d'accès réservé au VPN. Ceci étant, je ne trouve pas de documentation sur les cartes compatibles ni de retour d'expérience.
                  Je suis partant pour essayer mais je dois au préalable acheter la bonne carte :).
                  Si vous avez des références je suis preneur :).

                  1 Reply Last reply Reply Quote 0
                  • GertjanG
                    Gertjan @amarechal
                    last edited by

                    T"as ça :
                    @amarechal said in OpenVPN ne fonctionne pas en mode client à site:

                    Tue Jul 17 13:55:03 2018 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

                    Il te faut "google.fr" et "openvpn TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)" puis te tombe direct sur ceci : https://openvpn.net/index.php/open-source/faq/79-client/253-tls-error-tls-key-negotiation-failed-to-occur-within-60-seconds-check-your-network-connectivity.html

                    Conclusion probable : je te conseille de vérifier que ce "box2", que les connections "entrant" venant "du monde entier", utilisant la porte "1194" et protocole "UDP" sont bien rédigé vers l'IP "WAN" de ton pfSense, porte "1194".
                    Effectivement, il faut un règle "firewall" pour faire entrer le flux (UDP, porte 1194) et un règle NAT pour rédiger CE flux vers l'IP de pfSense.
                    Qu'un règle parafeu ne va pas le faire.

                    Je te conseille de faire quelques tests simple, comme : amène ce pfSense chez toi - t'as forcement un router chez toi, comme moi.
                    Un règle dans ton "router FAI" comme, exemple :
                    0_1531910817425_69f64b63-a2ca-4a43-ba15-16556f3e1617-image.png
                    (Il s'agit de mon router, qui établie la connexion entre mon FAI, et mon pfSense)
                    Un test pareil te permet de tester l'ensemble avant de le déployer dans un environnement où tu gère pas toutes les paramètres.

                    No "help me" PM's please. Use the forum, the community will thank you.
                    Edit : and where are the logs ??

                    1 Reply Last reply Reply Quote 0
                    • A
                      amarechal
                      last edited by

                      Bonjour,

                      Merci pour l'idée. J'ai effectivement apporté le pfsense chez moi derrière ma freebox.
                      Sur cette dernière, j'ai configuré une redirection de port et le NAT et là le VPN.
                      J'ai connecté mon ordinateur portable à internet via le partage de connexion de mon téléphone et j'ai pu me connecter au VPN sans soucis.

                      Voici le schéma: ordi <-> téléphone 4G <-> internet <-> ma_freebox <-> pfsense

                      Grace à ce test, j'ai la confirmation que ma configuration OpenVPN est ok et surtout que mon problème actuel est effectivement sur la box2 qui est un firewall Sophos UTM 9 de ce que j'ai pu avoir comme information.

                      Je vais donc voir le responsable de cette box2 pour qu'il fasse les bons réglages.

                      A suivre :).

                      1 Reply Last reply Reply Quote 0
                      • TataveT
                        Tatave
                        last edited by

                        Salut salut

                        Pour faire un résumer de votre problématique et de sa résolution et a titre pédagogique pour vous comme pour nous et d'autre.
                        Je vous propose et vous demande que vous réalisiez un tutoriel du paramétrage de votre vpn (sans les ip reelles il s'entend bien), en n'hésitant pas sur l'usage et la prise de screen et schéma pour montrer la progression votre tutoriel.

                        Soit à la suite de ce sujet ou soit sur un autre topic.

                        C'est aussi un bon moyen de démontrer que vous avez compris. D'autre part cela permettra à d'autre qui ne maitrise pas de ne pas trop galérer sur le sujet et servir de base.

                        Cordialement.

                        aider, bien sûre que oui
                        assister, évidement non !!!

                        donner à manger à un homme, ne lui permettra que de survivre qu'un temps.
                        apprendre à un homme comment cuisiner, il sera vivre.

                        1 Reply Last reply Reply Quote 0
                        • TataveT
                          Tatave
                          last edited by

                          Salut salut

                          @kalimo étant pas l'initiateur de ce poste je vous demande d'en ouvrir un avec votre problématique
                          plus clairement exposé, en respectant les pré requit demandé pour cette section, étant donnée que vous n'avez pas l'air de comprendre et savoir mieux expliquer votre demande, cela s'avère impératif que vous y fournissiez le plus d'information

                          nota votre schéma n'est visible

                          Cordialement

                          aider, bien sûre que oui
                          assister, évidement non !!!

                          donner à manger à un homme, ne lui permettra que de survivre qu'un temps.
                          apprendre à un homme comment cuisiner, il sera vivre.

                          1 Reply Last reply Reply Quote 0
                          • First post
                            Last post
                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.