Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

L2TP

25 réponses
Avatar
Thomas
bonjour :-)


je cherche des gens qui utilisent L2TP

il y en a ?

--
j'agis contre l'assistanat, je travaille dans une SCOP !

10 réponses

1 2 3
Avatar
Pascal Hambourg
In article ,
Raphael Bouaziz wrote:

Il faut faire attention à la MTU.

Si le tunnel et la session montent mais que le trafic ne passe pas
c'est probablement un souci de MTU, qu'il faut gérer en réduisant
celle des interfaces derrière le VPN.


ah mince, il y a le même pb avec le L2TP ? :-(


Dès qu'il y a tunnel et donc encapsulation avec augmentation de la
charge protocolaire, il y a potentiellement des problèmes de MTU et de
fragmentation. Si on veut envoyer des datagrammes d'une certaine taille,
il faut fragmenter. Soit on fragmente avant encapsulation en ajustant
les MTU des extrémités du tunnel, soit on fragmente après encapsulation.
L'inconvénient de la fragmentation après encapsulation, c'est qu'elle
peut se produire n'importe où en chemin hors de ton contrôle, et que ça
peut mal se passer.

mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une freebox
non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !


Alors ça marche dans une certaine mesure ?

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre dégroupé et
non dégroupé, c'est qu'en non dégroupé la connexion transite dans un
tunnel L2TP entre le BAS de FT et le LNS de Free. Hors si ce tunnel L2TP
passe sur une lien ethernet de MTU 1500, ça implique qu'un paquet IP de
taille supérieure à 1460 (environ), une fois encapsulé, doit être
fragmenté pour passer sur ce lien. Mais il arrive que des paquets soient
perdus dans l'opération.

Des tests de ping de taille croissante devraient permettre de
différencier entre un problème de MTU et un problème de perte de paquets.


Avatar
Thomas
In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:

In article ,
Raphael Bouaziz wrote:

Il faut faire attention à la MTU.

Si le tunnel et la session montent mais que le trafic ne passe pas
c'est probablement un souci de MTU, qu'il faut gérer en réduisant
celle des interfaces derrière le VPN.


ah mince, il y a le même pb avec le L2TP ? :-(


Dès qu'il y a tunnel et donc encapsulation avec augmentation de la
charge protocolaire, il y a potentiellement des problèmes de MTU et de
fragmentation. Si on veut envoyer des datagrammes d'une certaine taille,
il faut fragmenter. Soit on fragmente avant encapsulation en ajustant
les MTU des extrémités du tunnel, soit on fragmente après encapsulation.
L'inconvénient de la fragmentation après encapsulation, c'est qu'elle
peut se produire n'importe où en chemin hors de ton contrôle, et que ça
peut mal se passer.


et on choisit de fragmenter avant encapsulation en réduisant le mtu
derrière le serveur ?

je pensais que le tunnel avait automatiquement un mtu suffisamment bas
pour ne pas avoir de pb de fragmentation à l'intérieur, et que le pb de
fragmentation était uniquement aux extrémités


mais au fait, pourquoi il n'y a pas de pb de mtu avec OpenVPN ?
il n'y a pas d'encapsulation ??



mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une freebox
non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !


Alors ça marche dans une certaine mesure ?


oui !
(je ne vois pas tellement ce que je peux rajouter)



est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre dégroupé et
non dégroupé, c'est qu'en non dégroupé la connexion transite dans un
tunnel L2TP entre le BAS de FT et le LNS de Free. Hors si ce tunnel L2TP
passe sur une lien ethernet de MTU 1500, ça implique qu'un paquet IP de
taille supérieure à 1460 (environ), une fois encapsulé, doit être
fragmenté pour passer sur ce lien. Mais il arrive que des paquets soient
perdus dans l'opération.

Des tests de ping de taille croissante devraient permettre de
différencier entre un problème de MTU et un problème de perte de paquets.


alors en fait,

comme ifconfig donne
ppp0: flags€51<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1444
inet 192.168.1.203 --> 192.168.1.1 netmask 0xffffff00
je croyais qu'il fallait mettre le mtu à 1444 sur l'ordi à l'autre bout
(et ça ne marchais pas mieux)

mais je viens de faire le test du ping (avec "ping -c 4 -s"), et
quand je suis sur le client et que je ping l'ordi derrière le serveur,
ça va jusqu'à 1400
et quand je suis derrière le serveur et que je ping le client, ça va
jusqu'à 1396

peux tu m'expliquer pourquoi c'est comme ça, stp ?

je dois bien laisser le mtu de l'ordi client à 1500 ?
je dois mettre le mtu de l'ordi derrière le serveur à combien ?

--
j'agis contre l'assistanat, je travaille dans une SCOP !



Avatar
Thomas
In article <fe5j2d$2sqf$,
Pascal Hambourg wrote:

Albert ARIBAUD wrote:

Si OpenVPN te convient, il fonctionne, au choix en UDP ou TCP,


ah bon :-)
c'est quoi les avantages de l'un et de l'autre ?


TCP et UDP ont tous deux l'avantage d'être beaucoup plus simples à faire
passer à travers les firewalls/NAT qu'IPSec ou les tunnels GRE de PPTP.


pour PPTP, j'avais compris qu'il y avait GRE à coté de TCP et UDP, et
que les routeurs devaient savoir le gérer,
mais pour IPSec, qu'est ce qu'il y a de particulier ?

TCP a l'avantage de la fiabilité, mais je me suis laissé dire que
l'encapsulation de TCP dans TCP pouvait causer des problèmes en cas de
perte de paquets.

et il permet même de faire du pontage.



OpenVPN laisse le choix que le VPN soit vu soit comme une liaison point
à point routée (mode TUN), comme avec PPTP, soit comme une liaison
ethernet (mode TAP). En mode TAP, il est possible de ponter le VPN avec
le réseau local comme à travers un switch afin qu'ils ne fassent plus
qu'un même domaine de broadcast. Cela permet de faire passer très
simplement les protocoles non routables comme Netbios et même les
protocoles non IP comme IPX.


merci :-)


cela dit, je l'ai installé avec macports, pour voir, et c'est assez
imbuvable

est ce qu'il existe une interface x11 ?

est ce que qqn pourrait m'aider à démarrer en me donnant un fichier de
config minimal, svp ?
(j'ai pas encore décidé si j'allais me lancer là dedans)

--
j'agis contre l'assistanat, je travaille dans une SCOP !



Avatar
Thomas
In article
,
Thomas wrote:

In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une freebox
non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !


Alors ça marche dans une certaine mesure ?


oui !
(je ne vois pas tellement ce que je peux rajouter)


comme j'ai décrit dans le fil dont j'ai donné le lien


j'ai fait un test en déplaçant mon ordi portable, comme ça je suis sur
que le pb ne vient pas de l'ordi

le serveur est derrière une freebox non dégroupée
- quand le client est derrière une freebox dégroupée, je peux
transporter autant de données que je veux dans les 2 sens, sauf pb de
priorités *
- quand le client est derrière une freebox non dégroupée, je peux
transporter de très petites quantités de données dans les 2 sens, je
peux transporter de grandes quantités de données du serveur au client,
mais je ne peux pas transporter de grandes quantités de données du
client au serveur


* c'est interrompu (pause) des que qqn telecharge qqch sur le serveur
web, qui est derrière le serveur PPTP, derrière une freebox non dégroupée

et curieusement,
sur un autre ordi derrière une freebox non dégroupée, sans PPTP, toutes
connexions étant ssh (pour free),
si j'uploade qqch en sftp, puis que je me connecte avec vnc, l'upload
est interrompu le temps que vnc consomme de la BP

c'est curieux parce que là il n'y a pas de saturation de bp (je veux
dire, l'un sature dans un sens et l'autre dans l'autre sens)
en tout cas, je ne pense pas que ça puisse être un pb de mtu, puisqu'il
n'y a pas de vpn !
et je me demande comment fait free pour déterminer les priorités,
puisque c'est 2 connexions ssh ....




est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre dégroupé et
non dégroupé, c'est qu'en non dégroupé la connexion transite dans un
tunnel L2TP entre le BAS de FT et le LNS de Free. Hors si ce tunnel L2TP
passe sur une lien ethernet de MTU 1500, ça implique qu'un paquet IP de
taille supérieure à 1460 (environ), une fois encapsulé, doit être
fragmenté pour passer sur ce lien. Mais il arrive que des paquets soient
perdus dans l'opération.

Des tests de ping de taille croissante devraient permettre de
différencier entre un problème de MTU et un problème de perte de paquets.


alors en fait,

comme ifconfig donne
ppp0: flags€51<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1444
inet 192.168.1.203 --> 192.168.1.1 netmask 0xffffff00
je croyais qu'il fallait mettre le mtu à 1444 sur l'ordi à l'autre bout
(et ça ne marchais pas mieux)

mais je viens de faire le test du ping (avec "ping -c 4 -s"), et
quand je suis sur le client et que je ping l'ordi derrière le serveur,
ça va jusqu'à 1400
et quand je suis derrière le serveur et que je ping le client, ça va
jusqu'à 1396


ça, c'était avec l'ordi derrière une freebox non dégroupée

avec moi, derrière une freebox dégroupée,
quand je suis chez moi et que je ping l'ordi derrière le serveur, ça va
jusqu'à 1428
et quand je suis derrière le serveur et que je me ping, c'est très
bizarre :
ça va bien jusqu'à 1428
et ensuite ça va à moitié jusqu'à 1432 !
et après ça ne marche plus du tout


[:~] amelie% ping -c 16 -s 1432 192.168.1.202
PING 192.168.1.202 (192.168.1.202): 1432 data bytes
1440 bytes from 192.168.1.202: icmp_seq=0 ttlc time 0.882 ms
1440 bytes from 192.168.1.202: icmp_seq=2 ttlc time0.308 ms
1440 bytes from 192.168.1.202: icmp_seq=4 ttlc time2.216 ms
1440 bytes from 192.168.1.202: icmp_seq=6 ttlc time9.315 ms
1440 bytes from 192.168.1.202: icmp_seq=8 ttlc time9.427 ms
1440 bytes from 192.168.1.202: icmp_seq ttlc time2.746 ms
1440 bytes from 192.168.1.202: icmp_seq ttlc time0.758 ms
1440 bytes from 192.168.1.202: icmp_seq ttlc time0.792 ms

--- 192.168.1.202 ping statistics ---
16 packets transmitted, 8 packets received, 50% packet loss
round-trip min/avg/max/stddev = 189.315/192.055/200.882/3.521 ms


c'est pareil avec 1429, que les paquets avec icmp_seq pair qui passent

c'est très curieux, il y aurais qqch de différent entre les paquets de
ping avec icmp_seq pair ou impair ???


sinon,
selon toi, la différence de taille acceptée entre dégroupé et non
dégroupé, c'est à cause du L2TP de FT en non dégroupé ?

mais, pourquoi c'est pas la même taille dans les 2 sens ??



peux tu m'expliquer pourquoi c'est comme ça, stp ?

je dois bien laisser le mtu de l'ordi client à 1500 ?
je dois mettre le mtu de l'ordi derrière le serveur à combien ?


ces questions restent d'actualité

si t'as besoin que je fasse d'autres tests ...

--
j'agis contre l'assistanat, je travaille dans une SCOP !



Avatar
Thomas
In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une freebox
non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre dégroupé et
non dégroupé, c'est qu'en non dégroupé la connexion transite dans un
tunnel L2TP entre le BAS de FT et le LNS de Free.


mais, pourquoi ce tunnel PPTP serait capable de passer par 1 tunnel L2TP
sans pb, mais pas par 2 tunnels L2TP de suite ??

--
j'agis contre l'assistanat, je travaille dans une SCOP !


Avatar
Albert ARIBAUD
Le Tue, 09 Oct 2007 15:42:14 +0200, Thomas a écrit:

In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une
freebox non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre dégroupé
et non dégroupé, c'est qu'en non dégroupé la connexion transite dans
un tunnel L2TP entre le BAS de FT et le LNS de Free.


mais, pourquoi ce tunnel PPTP serait capable de passer par 1 tunnel L2TP
sans pb, mais pas par 2 tunnels L2TP de suite ??


Parce que les deux tunnels sont différents, et les équipements qui les
réalisent réagissent différemment aux paquets dépassant le MTU/MSS ?

Amicalement,
--
Albert.



Avatar
Thomas
In article ,
Albert ARIBAUD wrote:

Le Tue, 09 Oct 2007 15:42:14 +0200, Thomas a écrit:

In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une
freebox non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre dégroupé
et non dégroupé, c'est qu'en non dégroupé la connexion transite dans
un tunnel L2TP entre le BAS de FT et le LNS de Free.


mais, pourquoi ce tunnel PPTP serait capable de passer par 1 tunnel L2TP
sans pb, mais pas par 2 tunnels L2TP de suite ??


Parce que les deux tunnels sont différents,


même quand les 2 freebox sont sur le même dslam ??

--
j'agis contre l'assistanat, je travaille dans une SCOP !




Avatar
Albert ARIBAUD
Le Tue, 09 Oct 2007 16:30:30 +0200, Thomas a écrit:

In article ,
Albert ARIBAUD wrote:

Le Tue, 09 Oct 2007 15:42:14 +0200, Thomas a écrit:

In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une
freebox non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre
dégroupé et non dégroupé, c'est qu'en non dégroupé la connexion
transite dans un tunnel L2TP entre le BAS de FT et le LNS de Free.


mais, pourquoi ce tunnel PPTP serait capable de passer par 1 tunnel
L2TP sans pb, mais pas par 2 tunnels L2TP de suite ??


Parce que les deux tunnels sont différents,


même quand les 2 freebox sont sur le même dslam ??


Elles ont alors un même point de départ du tunnel, mais pas forcément un
même point d'arrivée, qui est au choix du FAI. Je ne serais pas surpris
si une fbx ND en IP fixe allait sur un équipement distinct (et peut-être
différent) de celui sur lequel aboutit une fbx ND en IP dynamique, par
exemple.

Amicalement,
--
Albert.





Avatar
Thomas
In article ,
Albert ARIBAUD wrote:

Le Tue, 09 Oct 2007 16:30:30 +0200, Thomas a écrit:

In article ,
Albert ARIBAUD wrote:

Le Tue, 09 Oct 2007 15:42:14 +0200, Thomas a écrit:

In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière une
freebox non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière une
freebox dégroupée !

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre
dégroupé et non dégroupé, c'est qu'en non dégroupé la connexion
transite dans un tunnel L2TP entre le BAS de FT et le LNS de Free.


mais, pourquoi ce tunnel PPTP serait capable de passer par 1 tunnel
L2TP sans pb, mais pas par 2 tunnels L2TP de suite ??


Parce que les deux tunnels sont différents,


même quand les 2 freebox sont sur le même dslam ??


Elles ont alors un même point de départ du tunnel, mais pas forcément un
même point d'arrivée, qui est au choix du FAI.


le serveur PPTP est derriere celle là :
lns-bzn-51f-81-56-128-208.adsl.proxad.net

on a des pb quand on se connecte au serveur en étant derrière celles là :
lns-bzn-50f-81-56-196-203.adsl.proxad.net
lns-bzn-51f-81-56-143-238.adsl.proxad.net

81-56-128-208 et 81-56-128-208 sont sur le même DSLAM
d'ailleurs les 2 ont "51f"


avec ça, c'est encore possible que les tunnels L2TP soient différents ?

et ça dépendrait de qui ? de free ou de FT ?

--
j'agis contre l'assistanat, je travaille dans une SCOP !






Avatar
Albert ARIBAUD
Le Tue, 09 Oct 2007 19:53:24 +0200, Thomas a écrit:

In article ,
Albert ARIBAUD wrote:

Le Tue, 09 Oct 2007 16:30:30 +0200, Thomas a écrit:

In article ,
Albert ARIBAUD wrote:

Le Tue, 09 Oct 2007 15:42:14 +0200, Thomas a écrit:

In article <fe5k6v$2tb6$,
Pascal Hambourg wrote:


mais c'est quand même bizarre,
il semble y avoir ce pb de mtu si le client vpn est derrière
une freebox non dégroupée,
mais il n'y a pas du tout ce pb si le client vpn est derrière
une freebox dégroupée !

est ce que ça peut quand même être un pb de mtu, du coup ??


Ce n'est pas exclu. Comme on te l'a dit une différence entre
dégroupé et non dégroupé, c'est qu'en non dégroupé la connexion
transite dans un tunnel L2TP entre le BAS de FT et le LNS de
Free.


mais, pourquoi ce tunnel PPTP serait capable de passer par 1
tunnel L2TP sans pb, mais pas par 2 tunnels L2TP de suite ??


Parce que les deux tunnels sont différents,


même quand les 2 freebox sont sur le même dslam ??


Elles ont alors un même point de départ du tunnel, mais pas forcément
un même point d'arrivée, qui est au choix du FAI.


le serveur PPTP est derriere celle là :
lns-bzn-51f-81-56-128-208.adsl.proxad.net


C'est une IP fixe ?

on a des pb quand on se connecte au serveur en étant derrière celles là
: lns-bzn-50f-81-56-196-203.adsl.proxad.net
lns-bzn-51f-81-56-143-238.adsl.proxad.net


Même question.

81-56-128-208 et 81-56-128-208 sont sur le même DSLAM d'ailleurs les 2
ont "51f"


Pas significatif.

avec ça, c'est encore possible que les tunnels L2TP soient différents ?


Dans au moins un des cas je le soupçonne : celui où les préfixes des
reverse que tu donnes sont différents (lns-bzn-50f et lns-bzn-51f).

et ça dépendrait de qui ? de free ou de FT ?


De Free, car en ND, le BAS FT (qui terminent le tunnel L2TP côté abonné)
est toujours le même pour un abonné donné, tandis que le LNS Free n'est
pas nécessairement le même.

Ce serait utile de savoir quelles sont les box qui sont en IP fixe et
celles qui ne le sont pas.

Amicalement,
--
Albert.







1 2 3