OVH Cloud OVH Cloud

partage de connexion vpn

7 réponses
Avatar
Thomas
voilà quelle va etre ma configuration

1er site geographique :
des ordis et un routeur - serveur vpn

2eme site :
juste 2 ordis (un pc et un mac),
et comme on n'a pas assez d'argent pour acheter un 2eme routeur, on va
mettre le mac en client vpn, et le pc passera par le mac pour acceder au
1er site


la question est :

est ce que ca sera possible de partager la connexion vpn avec le pc qui
est branché sur ethernet ?
(comme ce qui serait possible si c'etait une connexion par modem rtc pas
par vpn)

ou est ce que je dois faire un "relais tcp" sur le mac, pour que le pc
se connecte au mac, et que le mac se connecte à l'ordi du 1er site ?

--
si je dors : wakeonlan -i tDeContes.hd.free.fr 00:03:93:AF:45:AE
(seulement dans le 1/4 h où mon ordi est mis en veille,
donc je vous invite à réclamer à free : l'acces à arp -s,
ou la possibilité de rediriger le NAT sur l'adresse de broadcast :-) )

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"

7 réponses

Avatar
Grrrr
On Thu, 09 Dec 2004 01:44:54 +0100, Thomas wrote:

voilà quelle va etre ma configuration

1er site geographique :
des ordis et un routeur - serveur vpn

2eme site :
juste 2 ordis (un pc et un mac),
et comme on n'a pas assez d'argent pour acheter un 2eme routeur, on va
mettre le mac en client vpn, et le pc passera par le mac pour acceder au
1er site


la question est :

est ce que ca sera possible de partager la connexion vpn avec le pc qui
est branché sur ethernet ?
(comme ce qui serait possible si c'etait une connexion par modem rtc pas
par vpn)

ou est ce que je dois faire un "relais tcp" sur le mac, pour que le pc
se connecte au mac, et que le mac se connecte à l'ordi du 1er site ?


Je rebondis sur le sujet pour demander ce que vous utilisez comme VPN sur
OSX. J'ai regardé les solutions comme openvpn, ipsec,..., qui semblent
toutes avoir des avantages et des inconvénients. Mon but est de relier
des machines diverses à travers des réseaux peu fiables, dont des macs
sous OS X.
Qu'en pensez vous ?
Qu'utilisez vous ?

Avatar
Thomas
In article (Dans l'article)
,
Grrrr wrote (écrivait) :

Je rebondis sur le sujet pour demander ce que vous utilisez comme VPN sur
OSX. J'ai regardé les solutions comme openvpn, ipsec,..., qui semblent
toutes avoir des avantages et des inconvénients. Mon but est de relier
des machines diverses à travers des réseaux peu fiables, dont des macs
sous OS X.
Qu'en pensez vous ?
Qu'utilisez vous ?


ben moi d'abord sous 10.3 je vais utiliser le truc integré

sinon, je prendrais les avis pour moi aussi, sous 10.2 :-)

--
si je dors : wakeonlan -i tDeContes.hd.free.fr 00:03:93:AF:45:AE
(seulement dans le 1/4 h où mon ordi est mis en veille,
donc je vous invite à réclamer à free : l'acces à arp -s,
ou la possibilité de rediriger le NAT sur l'adresse de broadcast :-) )

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"

Avatar
manu
Grrrr wrote:

Je rebondis sur le sujet pour demander ce que vous utilisez comme VPN sur
OSX.


Cisco VPN client, avec coté serveur le daemon racoon de ipsec-tools
(celui de KAME n'est pas interoperable avec le client VPN cisco, et le
concentrateur d'accès VPN de Cisco est une horreur du point de vue de
l'administration)

Une nouveauté recente dans ce client est l'introduction de
l'authentification hybride (que cisco appelle mutual group
athentication), qui permet au client de s'authentifier avec un login/mot
de passe et au serveur de s'authentifier par certificat. On sort donc
enfin de l'ignoble alternative précédente, qui campe bien savec les
clients L2TP/IPsec de Windows et MacOS X: soit un mot de passe de groupe
(connu pour être non sûr), soit des certificats coté serveur *et* coté
client, ce qui peut être assez difficile à déployer.

--
Emmanuel Dreyfus
Le cahier de l'admin BSD 2eme ed. est dans toutes les bonnes librairies
http://www.eyrolles.com/Informatique/Livre/9782212114638/livre-bsd.php


Avatar
Grrrr
On Thu, 09 Dec 2004 08:21:52 +0100, Emmanuel Dreyfus wrote:

Grrrr wrote:

Je rebondis sur le sujet pour demander ce que vous utilisez comme VPN sur
OSX.


Cisco VPN client, avec coté serveur le daemon racoon de ipsec-tools
(celui de KAME n'est pas interoperable avec le client VPN cisco, et le
concentrateur d'accès VPN de Cisco est une horreur du point de vue de
l'administration)

Une nouveauté recente dans ce client est l'introduction de
l'authentification hybride (que cisco appelle mutual group
athentication), qui permet au client de s'authentifier avec un login/mot
de passe et au serveur de s'authentifier par certificat. On sort donc
enfin de l'ignoble alternative précédente, qui campe bien savec les
clients L2TP/IPsec de Windows et MacOS X: soit un mot de passe de groupe
(connu pour être non sûr), soit des certificats coté serveur *et* coté
client, ce qui peut être assez difficile à déployer.


J'aurais du préciser "solutions libres"....
Je ne suis pas client CISCO et ne pense pas (j'espère !) le devenir ;-)

Pourquoi ne pas utiliser l'implémentation d'IPSEC livrée avec OSX ?
Parce qu'il n'y a pas d'interface graphique ? Ou y a-t-il un problème
plus profond ? Parce que justement il ne permet pas cette authentification
hybride ?


Avatar
manu
Grrrr wrote:

J'aurais du préciser "solutions libres"....
Je ne suis pas client CISCO et ne pense pas (j'espère !) le devenir ;-)


En fait Cisco ne vends pas son client, il le donne dans certaines
conditions à ses clients.

Pourquoi ne pas utiliser l'implémentation d'IPSEC livrée avec OSX ?
Parce qu'il n'y a pas d'interface graphique ? Ou y a-t-il un problème
plus profond ? Parce que justement il ne permet pas cette authentification
hybride ?


Non, le racoon de MacOS X est celui de KAME, qui ne fait pas
d'authentifcation hybride (donc c'est soit mot de passe de groupe, soit
certificat sur le client). Il ne fait pas non plus de Xauth, et ISAKMP
mode config, mais ca c'est remplacé par L2TP. Reste que ce qui se passe
en L2TP bénéficie de la sécurité de la phase 1, qui est douteuse avec
des mots de passe de groupe, ou pénible à deployer avec des certificats.

ipsec-tools est un fork de racoon où j'ai intégré l'authentifcation
hybride, Xauth, ISAKMP mode config et d'autres trucs utiles. On peut
l'utiliser comme client et comme serveur. Je ne sais pas si ca compile
bien sous MacOS X, par contre.

--
Emmanuel Dreyfus
Le cahier de l'admin BSD 2eme ed. est dans toutes les bonnes librairies
http://www.eyrolles.com/Informatique/Livre/9782212114638/livre-bsd.php


Avatar
Thomas
In article (Dans l'article) <1gojw4k.cglxmzxrh1axN%,
(Emmanuel Dreyfus) wrote (écrivait) :

plein de choses interessantes pour quand j'aurais à gerer un truc bien
plus gros et complexe



sinon, personne n'a la reponse à ma question ?
(qui relevait plus de l'ergonomie mac os x que de la technologie vpn)

--
si je dors : wakeonlan -i tDeContes.hd.free.fr 00:03:93:AF:45:AE
(seulement dans le 1/4 h où mon ordi est mis en veille,
donc je vous invite à réclamer à free : l'acces à arp -s,
ou la possibilité de rediriger le NAT sur l'adresse de broadcast :-) )

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"
Avatar
Thomas
In article (Dans l'article)
,
Thomas wrote (écrivait) :

voilà quelle va etre ma configuration

1er site geographique :
des ordis et un routeur - serveur vpn

2eme site :
juste 2 ordis (un pc et un mac),
et comme on n'a pas assez d'argent pour acheter un 2eme routeur, on va
mettre le mac en client vpn, et le pc passera par le mac pour acceder au
1er site


la question est :

est ce que ca sera possible de partager la connexion vpn avec le pc qui
est branché sur ethernet ?
(comme ce qui serait possible si c'etait une connexion par modem rtc pas
par vpn)

ou est ce que je dois faire un "relais tcp" sur le mac, pour que le pc
se connecte au mac, et que le mac se connecte à l'ordi du 1er site ?


pour info, la réponse est "non" :-(

--
si je dors : wakeonlan -i tDeContes.hd.free.fr 00:03:93:AF:45:AE
(seulement dans le 1/4 h où mon ordi est mis en veille,
donc je vous invite à réclamer à free : l'acces à arp -s,
ou la possibilité de rediriger le NAT sur l'adresse de broadcast :-) )

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"