Navigation

    Netgate Discussion Forum
    • Register
    • Login
    • Search
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search

    Erreur contrôle IP FTP/OpenVPN

    Français
    3
    28
    2770
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      djinlemage last edited by

      Erreur contrôle IP FTP/VPN

      Bonjour,

      Je rencontre un souci de configuration ou paramétrage.

      Contexte :
      Pro

      Je vous explique le cas :

      J’ai un réseau LAN sur une plage d’adresse 192.168.1.0/24

      1 routeur opérateur en 192.168.1.3
      1 serveur FTP en 192.168.1.200
      1 Firewall PfSense en IP WAN 192.168.1.28 et en IP LAN 192.168.1.13

      Ce Firewall me sert pour les connexions VPN des clients externes via OpenVPN.

      Le VPN est paramétré avec un tunnel 10.0.8.0/24 avec un port spécifique, disons 4040 en UDP.

      La connexion VPN marche à merveille, mes clients se connectent pour les bureaux à distance, accès fichier et messagerie sans souci.
      Par contre, j’ai un applicatif tiers qui transfert des fichiers via FTP. Mon souci, c’est que via le VPN, le serveur FTP me donne le message d’erreur (pour les tests, j’ai monté un serveur Filezilla) :

      421 Rejected command, requested IP address does not match control connection IP.

      J’imagine qu’il y a un problème de route ou de NAT mais je ne vois pas quel paramétrage je pourrais faire pour résoudre ce problème (je parle de configuration réseau pas spécifiquement de PfSense)

      En local, tout fonctionne bien.

      Ce que j’ai testé :

      Passer le serveur en passif
      Faire du NAT mais là je suis pas sur des paramètres que j’ai dû mettre (quelle IP NATé vers laquelle)
      Un tracert me donne :

      C:\Windows\System32>tracert 192.168.1.200
        1    40 ms    39 ms    40 ms  10.0.8.1
        2    40 ms    39 ms    39 ms  192.168.1.200

      En gros pas grand chose.

      Merci d’avance de votre aide

      1 Reply Last reply Reply Quote 0
      • C
        ccnet last edited by

        1 Firewall PfSense en IP WAN 192.168.1.28 et en IP LAN 192.168.1.13

        Cela ne peut pas fonctionner correctement. Les numéros de réseaux Lan et Wan doivent être différents. Relisez la documentation.

        Le VPN est paramétré avec un tunnel 10.0.8.0/24 avec un port spécifique, disons 4040 en UDP.

        Cela a t il une utilité particulière ?

        Quel type de FTP ?

        1 Reply Last reply Reply Quote 0
        • D
          djinlemage last edited by

          Bonjour,

          Merci de votre retour.

          Cela ne peut pas fonctionner correctement. Les numéros de réseaux Lan et Wan doivent être différents. Relisez la documentation.

          Le souci est que le routeur de l’opérateur à un adresse sur le réseau 192.168.1.x et que mon réseau également.
          Du coup j'ai tenté… et comme l'acces VPN fonctionne de la sorte ...

          Cela a t il une utilité particulière ?

          Je vous avoue que j'ai scrupuleusement suivi des tutos

          Quel type de FTP ?

          Pour les tests, il s'agit de Filezilla serveur

          Merci encore

          1 Reply Last reply Reply Quote 0
          • C
            ccnet last edited by

            Je répète, l'adressage de wan et de lan n'est ps bon. Les réseaux doivent être différents impérativement.
            Il faut changer votre adressage d'un côté ou de l'autre. Depuis des années j'indique sur ce forum que l'usage des réseaux 192.168.0.0 et 192.168.1.0 est à éviter, voire à proscrire. Tout le monde les utilise et l'on est régulièrement confronté à des conflits d'adressage plus ou moins compréhensibles.

            Type de FPT : actif ou passif ?

            FTP est un protocole à proscrire aussi d'ailleurs car très peu sûr. Et compliqué.

            Je vous avoue que j'ai scrupuleusement suivi des tutos

            Donc sans savoir a priori ?

            1 Reply Last reply Reply Quote 0
            • D
              djinlemage last edited by

              Donc sans savoir a priori ?

              Tout a fait, mon métier n'est pas le réseau.
              Apres si vous me dites le pourquoi du comment je suis bien sur prêt à en apprendre plus et même demandeur :) .

              Je répète, l'adressage de wan et de lan n'est ps bon. Les réseaux doivent être différents impérativement.

              Je l'avais bien compris dès le départ, et j'ai fait la demande auprès de mon opérateur pour me mettre a disposition un patte du routeur sur une adresse de type 172.16.1.x

              Le FTP de test est en mode passif

              1 Reply Last reply Reply Quote 0
              • J
                jdh last edited by

                Il y a plusieurs erreurs (que les débutants commettent souvent).

                • Utilisation du formulaire A LIRE EN PREMIER : je recommande cette présentation car elle donne un cadre …
                • mise en place du firewall : le firewall DOIT avoir 2 cartes réseaux (WAN/LAN), chacun dans un réseau physique et logique différent
                • utilisation de protocole sans en connaitre les limites : FTP est vieux, complexe et unsecure; il est (presque) banni par la team pfSense !

                Firewall :
                Le bon mode est :
                Internet <-> Modem ou Routeur ou Box <-> (WAN) pfSense (LAN) <-> réseau interne

                Donc soit vous changez les adresses de votre LAN soit vous changez juste l'adresse de votre routeur (et de WAN forcément).

                FTP :
                Il serait meilleur de créer un serveur SFTP plutôt qu'un serveur FTP : le client (extérieur) serait le même : FileZilla (client) sait se connecter à un serveur FTP comme un serveur SFTP !
                Si vous ne savez pas faire, il est NECESSAIRE de

                • vous informer sur les modes de fonctionnements, les contraintes, ...
                • consulter les pages de docs sur pfSense et FTP,
                • agir en conséquence.

                Ce n'est pas impossible à faire mais je vous encourage à réfléchir à SFTP ...

                Albert EINSTEIN : Si vous ne pouvez pas l'exprimer simplement, c'est que vous ne le comprenez pas assez bien. (If you can’t explain it simply, you don’t understand it well enough.)

                1 Reply Last reply Reply Quote 0
                • D
                  djinlemage last edited by

                  Merci de votre retour plus que rapide.

                  Nous sommes bien d'accord sur le principe de 2 réseaux différents, encore une fois j'en avais connaissance mais n’étant pas maître de la situation au niveau adressage WAN et ayant un certain nombre de périphériques avec des adresses statiques j'ai tenté. Mea Culpa

                  Pour le FTP , ce n'ai pas un choix mais une contrainte du serveur avec lequel je doit échanger qui est maintenu par une entreprise tier et qui ne changera pas.

                  Dans tout les cas, je suis en train de voir avec mon opérateur pour me mettre a disposition une patte du routeur sur une autre adresse IP.

                  Je reviens vers vous après cette manipulation faite

                  1 Reply Last reply Reply Quote 0
                  • C
                    ccnet last edited by

                    Si vous pouvez obtenir une configuration où l'ip publique est sur l'interface Wan de Pfsense, c'est aussi bien.

                    1 Reply Last reply Reply Quote 0
                    • D
                      djinlemage last edited by

                      Bonjour,

                      Bon, mon opérateur m'a fait la modification.

                      J'ai donc maintenant la configuration suivante :

                      Routeur opérateur :

                      Ip LAN 172.16.0.1

                      PFSense :
                      Ip LAN :  192.168.1.28
                      Ip WAN : 172.16.0.10

                      Par contre, du coup  mon VPN ne fonctionne plus.
                      J'ai bien modifier l'ip publique dans la configuration d'OpenVPN sur le poste client

                      J'ai l'erreur :
                      Mon Jan 09 10:32:25 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
                      Mon Jan 09 10:32:25 2017 TLS Error: TLS handshake failed

                      Pour tester si la redirection de port est bonne, j'ai créé une réglé du Firewall pour accès depuis le WAN à l'interface d'administration et ça fonctionne donc coté opérateur, nous sommes bon.

                      Je n'ai rien vu de notable dans la configuration d'OpenVPN sur PFSense qui pourrait bloquer après la modification de l'IP WAN.

                      Pour vérifier ma config, j'ai aussi tenté de remettre mon ancienne adresse IP WAN de PFSense (dans le même réseau que le LAN) et cela fonctionne.

                      Ai je oublié quelques chose ?

                      1 Reply Last reply Reply Quote 0
                      • C
                        ccnet last edited by

                        Il faut a minima modifier l'interface d'écoute de votre serveur vpn puisque votre ip Wan à changé.

                        1 Reply Last reply Reply Quote 0
                        • D
                          djinlemage last edited by

                          Dans la config OpenVPN, j'ai bien l'interface WAN qui est paramétrée (comme précedement)
                          J'ai vérifier dans les règles VPN du Firewall et j'ai bien l'interface WAN paramétrée.

                          Je ne sais pas si ça à son importance mais pour l'interface WAN, j'ai juste modifier l'IP et la passerelle.

                          Pas taper pas taper :) !

                          Merci en tous cas.

                          1 Reply Last reply Reply Quote 0
                          • C
                            ccnet last edited by

                            Que disent les logs du vpn ?
                            Vous feriez peut être aussi vite en recréant un serveur vpn.

                            1 Reply Last reply Reply Quote 0
                            • D
                              djinlemage last edited by

                              Les logs sont vide.
                              J'en déduit que je n'ai pas de demande d'authentification et que de l’extérieur, je ne joins pas PFSense.

                              N'arrivant pas à contacté mon VPN depuis l'adresse public, j'ai mis mon poste sur la plage 172.16.0.0 et la le OpenVPN se connecte correctement (avec des logs !!!)
                              Donc le problème doit se poser entre l'interface WAN et le routeur de l'operateur mais comme j'ai dit plus haut, j'ai reussi à me connecter à l'interface d'administration de PFSense depuis mon ip public.

                              Je me perd du coup …

                              Merci en tous cas.

                              1 Reply Last reply Reply Quote 0
                              • D
                                djinlemage last edited by

                                Je viens de tilter, l'interface d'administration que j'ai testé sur le port 9090 depuis l'ip plublic est en TCP …
                                Du coup, l'ouverture de port sur le routeur opérateur n'est pas correcte...

                                Dites moi si je me trompe !

                                1 Reply Last reply Reply Quote 0
                                • C
                                  ccnet last edited by

                                  @djinlemage:

                                  Dites moi si je me trompe !

                                  Je n'ai pas compris ce que vous vouliez dire.

                                  1 Reply Last reply Reply Quote 0
                                  • D
                                    djinlemage last edited by

                                    Je voulais dire que si l'interface d'admin fonctionne via l'IP plublic c'est que le routeur est mal paramétre car l'interface d'admin est accessible via TCP

                                    1 Reply Last reply Reply Quote 0
                                    • C
                                      ccnet last edited by

                                      Sur Pfsense par défaut, l'interface d’administration n’est accessible que sur l'interface lan, ce qui est fortement souhaitable. Idéalement on devrait dédier une interface à l’administration. C'est une autre histoire.
                                      Port TCP/9090, cela ne concerne pas Pfsense à moins que vous l'ayez changé.

                                      1 Reply Last reply Reply Quote 0
                                      • D
                                        djinlemage last edited by

                                        Bonjour,

                                        J'ai avancé mais je me heurte à un souci :

                                        De mon poste client, je me connecte correctement à mon VPN via mon IP public. En effet l’opérateur s'est trompé dans le paramétrage.

                                        Par contre avec le paramétrage que j'ai je ne vois pas le LAN derrière PFSense mais je ping l'interface LAN de PFSense (192.168.1.13)

                                        Pour résume :

                                        Wan : 172.16.0.1
                                        Lan : 192.168.1.13

                                        Regle Firewall :
                                        Wan
                                        Protocol  Source Port Destination Port         Gateway Queue Schedule Description
                                        IPv4 UDP *         * WAN address 4040        *         none         OpenVPN OpenVPNDescription wizard

                                        Lan
                                        Protocol Source Port Destination Port         Gateway Queue Schedule Description

                                        • *         * LAN Address 80/22 *         *                 Anti-Lockout Rule
                                          IPv4 * LAN net * *                 *         *         none                 Default allow LAN to any rule  
                                          IPv6 * LAN net * *                 *         *         none                 Default allow LAN IPv6 to any rule

                                        OpenVPN
                                        Protocol Source Port Destination Port         Gateway Queue Schedule Description
                                        IPv4        *         * *                 *         *         *         none OpenVPN OpenVPNDescription wizard

                                        Config OpenVPN :

                                        Protocol : UDP
                                        Device Mode : tun
                                        Interface : Wan
                                        Local port : 4040
                                        IPv4 Tunnel Network : 10.0.8.0/24
                                        IPv4 Local network(s) : 192.168.1.0/24
                                        Dynamic IP : coché
                                        Address Pool : coché
                                        Topology : Subnet

                                        DNS Default Domain : coché en 192.168.1.200

                                        Ai je oublié quelque chose ?

                                        Merci d'avance

                                        @ccnet:

                                        Sur Pfsense par défaut, l'interface d’administration n’est accessible que sur l'interface lan, ce qui est fortement souhaitable. Idéalement on devrait dédier une interface à l’administration. C'est une autre histoire.
                                        Port TCP/9090, cela ne concerne pas Pfsense à moins que vous l'ayez changé.

                                        Oui je l'ai changé pour etre sur que l'ip plublic redirigée bien vers PFSense mais j'ai remise à l’état d'origine

                                        1 Reply Last reply Reply Quote 0
                                        • D
                                          djinlemage last edited by

                                          Je viens de voir que dans le client OpenVPN j'ai ces messages :
                                          Tue Jan 10 11:30:51 2017 Authenticate/Decrypt packet error: bad packet ID (may be a replay): [ #14 ] – see the man page entry for --no-replay and --replay-window for more info or silence this warning with --mute-replay-warnings

                                          1 Reply Last reply Reply Quote 0
                                          • D
                                            djinlemage last edited by

                                            Je suis repartie de zero avec une nouvelle installation du serveur.

                                            Malheureusement, même résultat
                                            Je peux me connecter ais pas accéder au réseau LAN à part l'interface d'admin de PFSense

                                            Auriez vous une idée ?

                                            Merci

                                            1 Reply Last reply Reply Quote 0
                                            • D
                                              djinlemage last edited by

                                              Bonjour,

                                              Après mon re départ, j'ai fait un schéma et des Screenshots pour que cela soit plus parlant (désolé de pas avoir fait ça des le début …)

                                              J’espère que ça pourra vous aider.



                                              ![Interface LAN.png](/public/imported_attachments/1/Interface LAN.png)
                                              ![Interface LAN.png_thumb](/public/imported_attachments/1/Interface LAN.png_thumb)
                                              ![Interface WAN.png](/public/imported_attachments/1/Interface WAN.png)
                                              ![Interface WAN.png_thumb](/public/imported_attachments/1/Interface WAN.png_thumb)



                                              1 Reply Last reply Reply Quote 0
                                              • C
                                                ccnet last edited by

                                                Je viens de regarder votre schéma. Il y a encore quelque chose qui ne peut pas fonctionner correctement. Vous avez le même numéro de réseau de part et d'autre du lien vpn.
                                                Comment imaginez vous que Pfsense (ou n'importe quel équipement IP) puisse choisir de router via le vpn des paquets alors que les destinations sont accessibles localement ?
                                                Décidément vous êtes fâché avec les bases de l'adressage réseau. Cf ce que je disais plus haut sur l'adressage en 192.168.1.0/24, tout comme 192.168.0.0/24 …

                                                1 Reply Last reply Reply Quote 0
                                                • D
                                                  djinlemage last edited by

                                                  Merci de votre retour

                                                  Je comprend très bien ce que vous dites mais avec mes faibles connaissances réseau : ce n'est pas le but d'un routeur de faire cela ?
                                                  Comme dit plus haut je ne suis pas un expert mais je pense q'un paramétrage est possible non ?

                                                  De plus encore une fois avec mes connaissances limitées, on passe bien par un IP du type 10.0.8.0 qui fait le lien.

                                                  1 Reply Last reply Reply Quote 0
                                                  • C
                                                    ccnet last edited by

                                                    Je comprend très bien ce que vous dites mais avec mes faibles connaissances réseau

                                                    Nous arrivons à un stade où vis connaissances sont trop faibles par rapport au problème que vous essayer de traiter.
                                                    Vous pourriez lire cela : http://caleca.developpez.com/

                                                    ce n'est pas le but d'un routeur de faire cela ?

                                                    .
                                                    Un routeur est fait pour interconnecter des réseaux différents.
                                                    Regardez comment est conçu et spécifié IP, quelles sont ces règles de fonctionnement et vous comprendrez que votre question n'est pas la bonne.

                                                    je pense q'un paramétrage est possible non ?

                                                    Ce que vous pensez est une chose et la réalité des fonctionnements de TCP/IP en est une autre.

                                                    on passe bien par un IP du type 10.0.8.0 qui fait le lien.

                                                    Là encore mauvaise compréhension et méconnaissance du fonctionnement normal d'un réseau ip. Le lien donné plus haut pourrait vous éclairer.

                                                    Dans certains cas il y a une solution. Je le sais pour l'avoir déjà fait et avoir une configuration de ce type en production chez un client. Rien ne dit que c'est votre cas et d'autre part c'est très au delà de vos capacités techniques actuelles. C'est une solution qui utilise un lien Ipsec, mais ce n'est pas pour cea que çà fonctionne magiquement.

                                                    1 Reply Last reply Reply Quote 0
                                                    • D
                                                      djinlemage last edited by

                                                      Merci de m'avoir rabaisser autant.
                                                      J’étais persuadé que les forums était un lieu d’échange et d'ENTRAINDE mais malheureusement comme vous le dites si bien la magie n’opère pas…..

                                                      1 Reply Last reply Reply Quote 0
                                                      • C
                                                        ccnet last edited by

                                                        Vous avez tort de le prendre de cette façon. Il est évident que vous ne maitrisez pas le sujet. Aujourd'hui. En travaillant avec le lien que je vous ai communiqué vous pourriez gagner beaucoup de temps et cesser de tourner en rond. Et comprendre.

                                                        J’étais persuadé que les forums était un lieu d’échange et d'ENTRAINDE

                                                        Proverbe :
                                                        Donne un poisson au pauvre, il mangera un jour.
                                                        Apprend lui à pécher, il mangera toute sa vie.

                                                        J'ajouterai qu'un problème bien compris est à moitié résolu.

                                                        Ne comptez pas sur moi pour vous donner une solution en 3 clics pour résoudre votre problème. Elle n'existe pas.
                                                        Ce que vous pensez est une chose et la réalité des protocoles en est une autre. Pour vous en sortir je vous conseille d'appréhender la réalité des protocoles. Ce sera beaucoup plus simple.

                                                        1 Reply Last reply Reply Quote 0
                                                        • D
                                                          djinlemage last edited by

                                                          Je ne le prends pas mal !

                                                          Pour vous situer le contexte global (qui finalement n'a pas d’intérêt dans la mise en place de la solution mais à le mérite de situer "mon état d'esprit" :

                                                          Je suis le seul informaticien à gère une entreprise de plus de 100 users , une 70ene de postes, une 15ene de serveurs, une flotte mobiles conséquente et plusieurs site distant (réseau, switch etc …).
                                                          Bref, je ne cherche pas et je n'ai jamais chercher une solution clé en main ou toute faite.

                                                          J'ai une contrainte de temps du fait de l'activité de mon poste et malheureusement pas le temps de passer une formation complète sur l’architecture réseau.

                                                          Si la seule solution est de

                                                          • soit change tout le plan d'adressage du réseau du site
                                                          • ou soit de passer sur de l'IPSec

                                                          Dans ce cas, je prendrais la première solution mais pas avant 4-6 mois le temps de voir la faisabilité, le changement des équipements en IP statics et surtout voir l'impact sur les chemins réseau pour les users.

                                                          Bref du coup, pour l'instant, je reste sur mon PFSense bancale avec ses 2 interfaces dans le LAN 192.168.1.x
                                                          Le VPN fonctionne mais pas le FTP, je m'en arrangerais et c'est impactant que les solution au dessus.

                                                          Merci

                                                          1 Reply Last reply Reply Quote 0
                                                          • C
                                                            ccnet last edited by

                                                            Changer le plan d’adressage est de loin la meilleure solution. Vous réglerez une fois pour toute une source de problèmes récurrents. Je le redis, évitez les réseaux 192.168.0.0 et 192.168.1.0 (idem avec 10.0.0.0). Prenez ce qui vous parle mais en dehors des réseaux courants. Si 192.168.164.0/24 vous plait, alors en voiture ! Vous pouvez même le jouer aux dés.

                                                            1 Reply Last reply Reply Quote 0
                                                            • First post
                                                              Last post