Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

VPN et DNS

8 réponses
Avatar
Rémi Moyen
Salut,

Ce week-end j'ai eu la visite d'une personne qui a voulu se connecter
sur son portable (Mandriva) au VPN de sa boîte depuis chez moi. Ça n'a
pas vraiment marché, et j'aimerais comprendre pourquoi (même si la
personne est repartie et que je ne peux donc plus tester de trucs dans
l'immédiat).

Chez moi, mon modem établit la connexion à mon FAI, et sert ensuite de
gateway et serveur DNS pour tout le monde. Pas de firewall sur le modem,
pas de serveur DHCP, toutes les machines sont configurées en IP fixe
dans la plage des 10.0.0.*. Ça marche très bien avec mes autres machines
(diverses Debian).

Première étape, on boote le portable et on le configure avec une IP fixe
(inutilisée...) dans les 10.0.0.*, avec le bon gateway, masque de
sous-réseau et broadcast. Dans le resolv.conf, on met l'IP du modem.
Dans la table de DNS du modem, j'ajoute le portable. Tout ça marche
nickel, le portable accède à tout.

Deuxième étape, on lance le VPN. Il se connecte à la boîte (disons
example.com), demande les identifiants et n'affiche aucun message
inhabituel ou inquiétant. Un ping ou un ssh sur n'importe quelle machine
du réseau de la boîte marche si on utilise son IP. Par contre, si je
fais un 'ping toto' (où toto est une machine du réseau, qui répond si on
utilise son IP), j'ai un 'ping: unknown host toto'. Donc, tout à l'air
de bien marcher, sauf le DNS.

Quand on lance le VPN, il copie le resolv.conf dans resolv.conf.vpnsave
(ou un truc de ce genre) et met dans le resolv.conf un truc genre :

domain example.com
nameserver 10.0.0.42
search example.com

Ok pour les search/domain, mais le problème, c'est que 10.0.0.42, c'est
mon DNS à moi, pas celui de la boîte. Je corrige à la main en mettant le
DNS de la boîte, mais ça ne marche pas mieux, je suis toujours incapable
de résoudre n'importe quel nom de machine que ce soit. Alors... ?

Là, je ne sais plus quoi faire (et google ne m'aide pas particulièrement).

Le fait que le VPN fasse une copie du resolv.conf en se lançant me fait
dire qu'il doit bien utiliser ce fichier et pas un autre. Je me demande
vaguement dans quelle mesure ça ne pourrait pas venir du fait que mon
réseau est en 10.0.0.* et que le réseau interne de la boîte est en
10.*.*.*, donc qu'il y aurait un conflit quelque part. Ça me semble peu
probable, mais c'est la seul vague idée que j'ai...

Par ailleurs, chez quelqu'un d'autre avec un modem qui doit faire du
DHCP, le VPN marche parfaitement. Et chez moi, il n'y a vraiment que ce
problème de DNS.

Quelqu'un a-t-il une idée ?
--
Rémi Moyen

8 réponses

Avatar
Arol
"Rémi Moyen" a écrit dans le message de news:
Quelqu'un a-t-il une idée ?


Le "VPN" est un terme générique fourre tout.
Si ça n'a pas marché dans ton cas, c'est que ton client VPN a été
approximativement bon.

Par ailleurs, chez quelqu'un d'autre avec un modem qui doit faire du
DHCP, le VPN marche parfaitement.


Client sous windows ?

Avatar
Rémi Moyen
Arol wrote:
"Rémi Moyen" a écrit dans le message de news:
Quelqu'un a-t-il une idée ?


Le "VPN" est un terme générique fourre tout.
Si ça n'a pas marché dans ton cas, c'est que ton client VPN a été
approximativement bon.


Je veux bien (et je n'y connais rien en VPN), mais le même client sur la
même machine marche ailleurs.

Par ailleurs, chez quelqu'un d'autre avec un modem qui doit faire du
DHCP, le VPN marche parfaitement.


Client sous windows ?


Non, je voulais dire qu'avec le même portable Linux, branché chez
quelqu'un d'autre, le VPN marche normalement. C'était juste pour dire
que le problème est, à mon avis, vraiment lié à la configuration de mon
réseau plus qu'à celle du client VPN.
--
Rémi Moyen


Avatar
Arol
"Rémi Moyen" a écrit dans le message de news:
Non, je voulais dire qu'avec le même portable Linux, branché chez
quelqu'un d'autre, le VPN marche normalement. C'était juste pour dire
que le problème est, à mon avis, vraiment lié à la configuration de mon
réseau plus qu'à celle du client VPN.


Peut-être ton routeur qui bloque un port ?

Tu utilises quel client VPN sous linux ?

Avatar
Calimero
Rémi Moyen wrote:
Ok pour les search/domain, mais le problème, c'est que 10.0.0.42, c'est
mon DNS à moi, pas celui de la boîte.


Sûr que c'est pas celui de la boite ?
Bizarre que le VPN redéfinisse seulement la moitié de la config.

Là, je ne sais plus quoi faire (et google ne m'aide pas particulièrement).

Le fait que le VPN fasse une copie du resolv.conf en se lançant me fait
dire qu'il doit bien utiliser ce fichier et pas un autre. Je me demande
vaguement dans quelle mesure ça ne pourrait pas venir du fait que mon
réseau est en 10.0.0.* et que le réseau interne de la boîte est en
10.*.*.*, donc qu'il y aurait un conflit quelque part. Ça me semble peu
probable, mais c'est la seul vague idée que j'ai...


Ben si ton LAN est en 10.0.0.0/24 et que le VPN file aussi des IP en
10.0.0.0/24, c'est mal engagé et faut mettre en place les routes qui
vont bien.

Si par contre le VPN travaille en 10.0.1.0/24, ca devrait pas poser de
problème si ton netmask du LAN est /24.

C'est quoi comme VPN, sinon ? OpenVPN ? CIPE ? IPSec ?

--
@+
Calimero

Avatar
Rémi Moyen
Calimero wrote:
Rémi Moyen wrote:
Ok pour les search/domain, mais le problème, c'est que 10.0.0.42, c'est
mon DNS à moi, pas celui de la boîte.


Sûr que c'est pas celui de la boite ?


Oui, absolument certain.

Bizarre que le VPN redéfinisse seulement la moitié de la config.


Ben oui... ça m'a semblé tellement bizarre que j'ai vérifié plusieurs
fois, mais c'est bien le cas.

Le fait que le VPN fasse une copie du resolv.conf en se lançant me fait
dire qu'il doit bien utiliser ce fichier et pas un autre. Je me demande
vaguement dans quelle mesure ça ne pourrait pas venir du fait que mon
réseau est en 10.0.0.* et que le réseau interne de la boîte est en
10.*.*.*, donc qu'il y aurait un conflit quelque part. Ça me semble peu
probable, mais c'est la seul vague idée que j'ai...


Ben si ton LAN est en 10.0.0.0/24 et que le VPN file aussi des IP en
10.0.0.0/24, c'est mal engagé et faut mettre en place les routes qui
vont bien.


Ah ! Est-ce que tu pourrais m'expliquer un peu plus ? Je suis
particulièrement ignorant en matière de VPN et de réseau en général,
mais j'avais le sentiment que le VPN redéfinissait totalement les
connexions sortantes et que l'IP initiale de la machine sur le réseau
local n'avait pas d'importance ?

Bon, si j'ai l'occasion de retester, je passerais mon réseau local en
192.168.*.* avant.

Si par contre le VPN travaille en 10.0.1.0/24, ca devrait pas poser de
problème si ton netmask du LAN est /24.


Hmm... Je ne suis pas certain de la plage utilisée par le VPN.
10.quelque-chose, mais à part ça...

C'est quoi comme VPN, sinon ? OpenVPN ? CIPE ? IPSec ?


Heu... Un truc Cisco, je crois. Mais j'en sais pas plus, et comme le
portable est reparti (avec son propriétaire ;-) ), je ne peux plus tester.

Mais juste pour conclure, il te semble possible que ce soit un conflit
entre les plages d'IP utilisées par mon LAN et par celui de la boîte ?

Merci de ta réponse !
--
Rémi Moyen


Avatar
Rémi Moyen
Arol wrote:

Non, je voulais dire qu'avec le même portable Linux, branché chez
quelqu'un d'autre, le VPN marche normalement. C'était juste pour dire
que le problème est, à mon avis, vraiment lié à la configuration de mon
réseau plus qu'à celle du client VPN.


Peut-être ton routeur qui bloque un port ?


À priori mon routeur ne bloque rien du tout.

Tu utilises quel client VPN sous linux ?


Bonne question... un truc Cisco, c'est tout ce dont je me rappelle, et
la machine n'est plus à la maison ce soir, je ne peux pas chercher plus
dans l'immédiat (encore que je peux transmettre des questions au
propriétaire).
--
Rémi Moyen


Avatar
Calimero
Rémi Moyen wrote:
Ah ! Est-ce que tu pourrais m'expliquer un peu plus ? Je suis
particulièrement ignorant en matière de VPN et de réseau en général,
mais j'avais le sentiment que le VPN redéfinissait totalement les
connexions sortantes et que l'IP initiale de la machine sur le réseau
local n'avait pas d'importance ?


VPN est un concept très générique d'encapsulation. Après, ce que t'en
fais...
Tu peux monter un tunnel vers une unique IP en face (tu auras une
route pour une unique IP), un réseau... ou alors carrément travailler
un niveau en-dessous, en couche 2 ("ethernet virtuel", si tu veux)
pour faire passer de l'IPX/SPX, AppleTalk sans utiliser du tout
d'adresses IP.

Bref, on peut faire un peu ce qu'on veut.

Après, pour les plages IP, routes et masques, en gros, tu as du
configurer le PC de ton pote avec une conf du genre:
IP: 10.0.0.30
Netmask: 255.255.255.0
==> ca s'écrit aussi 10.0.0.30/24
Passerelle par défaut: 10.0.0.1 (ton routeur)
DNS: 10.0.0.42 (ton DNS)

Sous un linux, tu as alors un route pour 10.0.0.0/24 qui "pointe" vers
eth0 (ta carte réseau): "tout trafic vers 10.0.0.0/24 va vers la carte
réseau".
Et tu as la gateway par défaut qui "pointe" vers 10.0.0.1 : "tout
trafic qui n'a pas de route spécifique doit aller vers 10.0.0.1, mon
routeur, vers internet".

Si maintenant le VPN fournit des routes qui entrent en conflit
(réseau, mask, metric...) tu peux te retrouver à envoyer les paquets
destinés au VPN vers ton LAN ou Internet, ou un peu toute combinaison
avec ces trois ensembles.

Avec "route -n" (typiquement dans /sbin, donc pas forcément dans le
path d'un user simple), tu peux voir les routes qui sont définies.

Bon, si j'ai l'occasion de retester, je passerais mon réseau local en
192.168.*.* avant.


C'est sans doute le plus simple si tu veux pas trop tatonner avec les
routes.

Heu... Un truc Cisco, je crois. Mais j'en sais pas plus, et comme le
portable est reparti (avec son propriétaire ;-) ), je ne peux plus tester.

Mais juste pour conclure, il te semble possible que ce soit un conflit
entre les plages d'IP utilisées par mon LAN et par celui de la boîte ?


Ca peut arriver, oui.

--
@+
Calimero

Avatar
Rémi Moyen
Calimero wrote:

Ah ! Est-ce que tu pourrais m'expliquer un peu plus ? Je suis
particulièrement ignorant en matière de VPN et de réseau en général,


VPN est un concept très générique d'encapsulation. Après, ce que t'en
fais...
[snip les explications]


Merci pour toutes ces précisions, je comprends un peu mieux pourquoi ça
peut ne pas marcher dans mon cas...

Bon, si j'ai l'occasion de retester, je passerais mon réseau local en
192.168.*.* avant.


C'est sans doute le plus simple si tu veux pas trop tatonner avec les
routes.


Oui, je préférerais éviter de me plonger là-dedans. Là, j'aurais juste à
changer l'IP de mes 3 machines et 2-3 autres trucs (le DNS et les
montages NFS et ça devrait être plus ou moins tout).

Encore merci, j'ai plus qu'à attendre le prochain voyage pour tester !
--
Rémi Moyen