connexion réseau EN VPN

[jlyv]

Bonjour tout le monde : voici mon probléme : j'ai un magasin et je dois me mettre en relation par réseau virtuel vers mon siége social pour me brancher sur une application unix (adresse IP commençant par 195) au siége : windows 98 et provider wanadoo ,adresse ip fixe

au magasin trois ordinateurs fonctionnant sous XP sans probléme en réseau intérieur avec un routeur ZYWALL 1 et un modem/routeur netgear 602 connexion free avec adresse ip fixe pour essayer de se connecter sur le siége (toutes les adresses IP commençant par 192)

malgrés avoir changé plusieurs fois de modem ,routeur il m'est toujours impossible de créer le tunnel vpn .

du magasin j'intérroge facilement le zywall du siége et vice versa : au dela impossible de pouvoir passerderriére le zywall.

La question que je me pose ,est ce que pour créer un vpn l'adresse ip 195 est accepté ,car j'ai des doutes étant donné que dans mes recherches je vois partout 192 .De ce fait le siége serait obligé de changer leur adresses.

J'ai éssayé en reconfigurant tout le matériel ,ordinateur ,routeur,modem en mettant l'adresse 195 m^me probléme.

Est ce quelqu'un à la solution ? merci beaucoup JEAN LUC

[Greywolf]

type de VPN ? (L2TP, PPtP, IPSec ???)

qui fait passerelle VPN de chaque côté?

 

le tunnel crypté est créé entre les interfaces publiques des passerelles VPN, à leur charge ensuite d'adapter la table de routage pour les subnet privés (partie pouvant également être cryptée si l'on veut assurer une sécu d'un client VPN à l'autre)

 

Avec si peu d'infos, on ne peut rien.

 

Si tu peux réexpliquer la topologie de chaque réseau, tes explications me semblent un peu embrouillées: tu as un routeur ZYWALL et le netgear de ton côté et le siège passe par un autre ZYWALL?

 

//ton adresse commençant par 192 ne serait-t-elle pas une 192.168.x.y/255.255.255.0 auquel cas c'est une classe C privée on ne peut plus classique et tu n'as rien à craindre à nous révéler comment est fait l'adressage privé de ton subnet... Enfin dans le cas où tu souhaite un peu d'aide.

D'ailleurs, y'a pas un admin réseau compétent à ton siège?

[Greywolf]

Merci de tes conseils et afin de te donner de plus amples renseignements

voici la shématique informatique.

Le magasin se présente comme ceci:

provideur FREE dégroupé

Modem/Routeur NETGEAR DM 602

Routeur ZYWALL 1 (ou se trouve branché deux autres ordinateurs. Soit une

totalité de trois ordinateurs sur le lieu.

le modem /routeur NETGEAR DM 602 est branché sur le zywall1 et le zywall sur

la carte réseau de l'ordinateur 1

ordinateur 2 sur zywall

ordinateur 3 sur zywall

tous les ordinateurs sont sous windows XP

Une IP FIXE donné par free

le ZYWALL / ADRESSE IP : 192.168.......

encapsulation mode : TUNNEL

SPI =9

IP SEC PROTOCOL = ESP

encrytpion : DES

authentification algoritm SHA1

la mode active est coché

IP sec Keying mode = MANUEL

 

du coté du siége:

un modem : BEWAN

un zywall 10

avec pour  adresse IP : 217.128......

juste derriére le zywall un hub (pour plusieurs ordinateurs)

qui est branché sur un applicatif UNIX (justement celui dont j'ai besoin de

me relier) avec une adresse IP  : 195.0......

 

n'étant "fortich" dans la matiére  ,ou est le probléme pour pour passer le

zywall ?

perte de cheveux abondantes !

merci

 

 

OK bon je te promets rien, surtout à distance comme ça.

 

Le Zywall-1 possède, d'après sa fiche, un client IPSEC en natif; c'est donc lui qui devrait établir le lien VPN vers la passerelle VPN du siège (qui est? le zywall10? c'est une implémentation IPSec zywall?)

 

=> est-ce comme cela que tu as abordé le problème ou tu veux configurer un windows XP?

 

Le zywall-1 possède deux interfaces : une côté routeur/modem NETGEAR (que nous appellerons WAN) et les interfaces LAN (192.168.x.y/24)sur lesquelles se branchent tes PC windows XP.

 

L'interface WAN du zywall possède quelle adresse? celle attribuée par Free (auquel cas le modem netgear tranfère son @IP publique, i.e celle de Free, à l'interface wan du routeur) ou une adresse privée conférée par ce même routeur (auquel cas, il va y avoir de la translation d'adresse à gérer au niveau du Netgear)

 

Dans cette optique, il conviendrait de régler le netgear pour qu'il route automatiquement les protocoles IP50 et IP51 (ESP et AH) ainsi que UDP500 (protocole d'échange de clés) vers le Zywall1.

 

Les informations IPSec que tu mentionnes sont celles du Zywall1 ou celle d'un réglage d'un PC WinXP?

 

l'encryption en DES simple est typiquement microsoftienne (à cause d'un brevet sur les encryptions ne s'appliquant qu'aux E.U.), les implémentations d'IPSec sur d'autres plates formes utilisent en général 3DES.

 

Chaque passerelle est-elle en mesure de proposer une liste de protocoles commune (encryption, hachage, échange de clés) ?

 

Le SPI que tu indiques est-elle celle des équipements Zywall? (l'IANA a réservé les SPI de 0 à 255 bien que seules les SPI 0 et 1 le soient réellement). => ça correspond à quoi comme association de sécurité (SA): IP source (PCs WinXP?), IP destination (passerelle VPN du siège?), protocole/port (tous?), Tunnel, ESP?

 

l'authentification se réalise comment? par clé partagée(PSK), échange de clés publiques, certificats?

 

Y a-t-il des serveurs de noms de chaque côté des passerelles afin d'assurer la recherche et le routage correct vers les PC des sous-réseaux situés derrière chaque passerelle VPN?

 

Y-a-t-il des options de debug ou de journalisation des évènements au niveau du Zywall1 qui permettrait de tester pas à pas la connexion? => ça coince à l'échange des clés, l'établissement du tunnel, le routage à travers les sous-réseaux?

 

Si le zywall établit correctement la connexion VPN avec le siège, il devrait être capable de router les requetes de tes PC win XP vers les adresses privées des PC du sous-réseau du siège. Le souci vient p.e. du netgear

 

une FAQ intéressante ici (notamment pour activer le broadcast netbios à travers le tunnel VPN et la configuration du Zywall derrière un routeur NAT):

http://us.zyxel.com/support/supportnote/zy...100/index_f.php

 

Le Zywall1 ne permet apparemment l'établissement d'un tunnel VPN utilisable uniquement pour un seul PC du LAN (ça doit se trouver dans la SA pour savoir lequel)

Modifié le 14 juin 2004 par Greywolf