Need help for ikev2 passtrough VPN
-
Bonjour,
Après 15 ans sur Debian, je viens de découvrir pfsense comme passerelle et je suis très content de cet essai .... sauf pour 2 ou 3 choses que je n'arrive pas encore à faire fonctionner.
Contexte :
A usage personnel / professionel j'ai 2 ESX avec 2 Pfsense en HA avec CARP reliés sur 2 connexions Internet Fibre Orange (direct DHCP sur pfsense) + Freebox en mode bridge (CARP + VIP ip publique).
Le tout fonctionne très bien pour Internet depuis le LAN ou les VMs en DMZ (vlan par interface sur Pfsense) même si je rencontre quelques problèmes de configuration de VLAN entre Vcenter et Pfsense mais je ne pense pas que cela rentre en ligne de compte pour mon problème.
Problème :
Depuis mon poste Windows10, je cherche à lancer un VPN IKEV2 (thegreenbow) vers un hôte distant en utilisant donc Pfsense uniquement en VPN passthrough ... mais ça ne marche pas.
Si j'isole la freebox (passée en mode routeur pour l'occasion) du réseau Pfsense et que je connecte le Win10 dessus ça marche direct.
Par contre en utilisant le NAT Pfsense, que ce soit en NAT fibre Orange ou en NAT freebox (mode bridge) rien ne marche je ne peux pas lancer le VPN.
La configuration est classique avec les règles NAT output de base pour VPN.
J'avais bien vu des paquets UDP bloqués par le firewall, puis autorisés mais rien.
J'ai tenté une redirection des paquets entrants depuis l' hôte distant vers le Win10 mais rien de plus.
J'ai aussi tenté de jouer avec 'Disable hardware checksum offload' mais rien de plus.Quand je fais un tcpdump sur la passerelle je constate, au milieu des échanges, ces paquets qui semblent poser problème :
Côté WAN on voit arriver 3 requêtes simultanées :
[...]
20:11:49.972108 IP XXXXXXXXX.4500 > YYYYYYYYYYY.9415: NONESP-encap: isakmp: child_sa ikev2_auth[R]
20:11:49.972136 IP XXXXXXXXX > YYYYYYYYYYY: ip-proto-17
20:11:49.972142 IP XXXXXXXXX > YYYYYYYYYYY: ip-proto-17
[...]Par contre côté LAN, les paquets ip-proto-17 (ESP ?) ont disparu :
[...]
20:11:44.972186 IP YYYYYYYYYYYYYYYY.4500 > 192.168.100.215.4500: NONESP-encap: isakmp: child_sa ikev2_auth[R]
[...]Voilà.
En espérant avoir donné assez d'informations pour vous permettre de m'orienter dans mes recherches de solution à mes problème.
Merci d'avance.
Sam. -
Bonjour,
Mes excuses pour le titre en anglais.
Par réflexe j'avais commencé à rédiger en anglais ... mais j'ai oublié de modifier le titre ;-).Sam.