question route

Gérard G a écrit sur fr.comp.reseaux.ip le 16/09/2005 dans
<mn.82d47d5980305da2.38624@estcasse.invalid> :

Perso, je ne connais pas ces routeurs mais:
ton image du dlink me laisse perplexe =>IKE Etablished.

Normalement, le tunnel se monte en 2 phases:
Négociation de la clé (IKE) puis Encapsulation du tunnel

D'après ta copie d'écran , je pense que tu es bloqué sur la 1ere phase.
Sur les routeurs que j'ai l'habitude d'utiliser, c'est souvent du à un
problème d'authentification/cryptage.
En effet il est possible d'avoir du 3DES,MD5 sur la phase 1 et totalement
autre chose sur la phase2 (3DES,DES,SHA1,etc...)

Tu n'as pas de logs sur ces routeurs??

Si, mais seulement sur le Dlink:

Logs du Dlink lors de l'établissement du tunnel (à lire de bas en
haut):
11:39:29 IKE Phase2 (IPSEC SA) established :
[192.168.60.0|86.192.218.10]<->[83.196.213.47|192.168.1.0]
11:39:29 Send IKE Q3(QHASH) : 192.168.1.0 --> 192.168.60.0
11:39:29 Try to match ESP with MODE:Tunnel PROTOCAL:ESP-3DES AUTH:MD5
HASH:Others PFS(Group):Group1
11:39:29 Receive IKE Q2(QRESP) :
[192.168.60.0|86.192.218.10]-->[83.196.213.47|192.168.1.0]
11:39:26 Send IKE Q1(QINIT) : 192.168.1.0 --> 192.168.60.0

Ca me semble bon, non ?
La phase 2 semble aboutir aussi.

La dernière ligne (donc la première en haut du log), bouffée par le
copier-coller, est:
inbound SPI = 0xe000010, outbound SPI = 0x188cc6e8
(les valeurs varient d'une connexion à l'autre).

Je me raccroche à ta prose comme un naufragé à une bouée ;-)

--
Jean Declercq
message rédigé sur un spam 100% recyclé

Bonjour,

jean declercq avait soumis l'idée :

Tu n'as pas de logs sur ces routeurs??

Si, mais seulement sur le Dlink:

Logs du Dlink lors de l'établissement du tunnel (à lire de bas en haut):
11:39:29 IKE Phase2 (IPSEC SA) established :
[192.168.60.0|86.192.218.10]<->[83.196.213.47|192.168.1.0]

effectivement, le tunnel a l'air d'être établi.

11:39:29 Send IKE Q3(QHASH) : 192.168.1.0 --> 192.168.60.0
11:39:29 Try to match ESP with MODE:Tunnel PROTOCAL:ESP-3DES AUTH:MD5
HASH:Others PFS(Group):Group1
11:39:29 Receive IKE Q2(QRESP) :
[192.168.60.0|86.192.218.10]-->[83.196.213.47|192.168.1.0]
11:39:26 Send IKE Q1(QINIT) : 192.168.1.0 --> 192.168.60.0

Ca me semble bon, non ?
La phase 2 semble aboutir aussi.

toutafé

La dernière ligne (donc la première en haut du log), bouffée par le
copier-coller, est:
inbound SPI = 0xe000010, outbound SPI = 0x188cc6e8
(les valeurs varient d'une connexion à l'autre).

Je me raccroche à ta prose comme un naufragé à une bouée ;-)

J'ai bien peur que la bouée soit trouée :D

--
Gérard G

Gérard G a écrit le 16/09/2005 dans
<mn.83277d598bd1a6ea.38624@estcasse.invalid> :

effectivement, le tunnel a l'air d'être établi.

Ca me semble bon, non ?
La phase 2 semble aboutir aussi.

toutafé

Je me raccroche à ta prose comme un naufragé à une bouée ;-)

J'ai bien peur que la bouée soit trouée :D

Bloup, bloup, bloup...
Damned ! ;-)
Merci quand-même pour ton aide, j'ai avancé dans mes recherches.

--
Jean Declercq
message rédigé sur un spam 100% recyclé

jean declercq wrote:

Bonjour,

Juste une petite question.
Je tente de mettre en place un tunnel vpn entre 2 routeurs (connexion
adsl, lan de chaque coté derrière les routeurs (192.168.1.0-réseau A et
192.168.60.0-réseau B).
D'après les status des 2 routeurs, le tunnel est bien établi, mais je
n'en fais rien, même pas un ping.
On m'a suggéré un tracert pour y voir plus clair.
Quand je le lance depuis le réseau A, ça s'arrête au routeur de A.
C'est normal ?
Je ne pense pas mais bon...

Merci d'avance.

(ceci est ma 2e tentative. Le post précédent ne semble pas avoir fonctionné)

Bonjour,

Tout d'abord dans la photo jointe du Bewan, on peut immédiatement voir
un problème.

Il n'y a aucun paquet transmis sur le VPN!

Peux tu avoir le même genre de stats côté DLINK ?


J'ai une idée qui vaux la peine d'essayer. Ça devrait fonctionner.


Tu as deux réseaux dans le même subnet (A et B), soit le 192.168.1.0/24,
autant au site A qu'au site B. D'apres moi, lorsqu'un VPN est monté
entre les 2 routers, le subnet DISTANT sera routé VERS L'INTERFACE
VIRTUEL du VPN.

Exemple pas rapport avec ton cas, cas typique je crois.

Réseau A : 10.10.10.0/24
Réseau B : 192.168.1.0/24

Lorsque vpn est mponté Dans la table de routage de A, il y aura en quelque par quelque chose
comme suit :

10.10.10.0/24 ---VIA---> INTERFACE ETHERNET LOCAL
192.168.1.0/24 ---VIA---> INTERFACE VIRTUELLE VPN
0.0.0.0 ---VIA---> INTERNET (ISP)

et dans le router B on retrouvera possiblement

192.168.1.0/24 ---VIA---> INTERFACE ETHERNET LOCAL
10.10.10.0/24 ---VIA---> INTERFACE VIRTUELLE VPN
0.0.0.0 ---VIA---> INTERNET (ISP)


PAR CONTRE, dans ton cas, tu as les deux même subnets, soit
192.168.1.0/24. Donc je me demande comment les tables de routes
régissent. J'ai l'impression que peut être que tout est redirigé vers
ton LAN. Ça expliquerait l'absence de traffique en sortie.


-=TEST À FAIRE=-

Change ton subnet lan distant, peu importe si c'est au router A ou B.
(ex: 192.168.100.0/24) Met quelque chose de totalement différent.

Comme je te dis, ceci est pure spéculation.
Dapres moi ces router fonctionnent comme suit :

Si ta destination est sur le subnet local, alors ça sort sur cet interface.

Si c'est le subnet sur réseau Distant VPN, alors ça sort pas l'interface
virtuel de ce VPN.

Pour le reste, default gateway vers internet.


SVP, si quelqu'un s'y connait en ce type de VPN, manifestez vous !

Reviens nous vite !

Bonne chance !

ViC

PS: es tu capable de nous fournir les tables de routage de ces routers ?
J'en doute.

Gérard G a écrit le 16/09/2005 dans
<mn.83277d598bd1a6ea.38624@estcasse.invalid> :

Bonjour,

jean declercq avait soumis l'idée :

Tu n'as pas de logs sur ces routeurs??

Si, mais seulement sur le Dlink:

Logs du Dlink lors de l'établissement du tunnel (à lire de bas en haut):
11:39:29 IKE Phase2 (IPSEC SA) established :
[192.168.60.0|86.192.218.10]<->[83.196.213.47|192.168.1.0]

effectivement, le tunnel a l'air d'être établi.

11:39:29 Send IKE Q3(QHASH) : 192.168.1.0 --> 192.168.60.0
11:39:29 Try to match ESP with MODE:Tunnel PROTOCAL:ESP-3DES AUTH:MD5
HASH:Others PFS(Group):Group1
11:39:29 Receive IKE Q2(QRESP) :
[192.168.60.0|86.192.218.10]-->[83.196.213.47|192.168.1.0]
11:39:26 Send IKE Q1(QINIT) : 192.168.1.0 --> 192.168.60.0

Ca me semble bon, non ?
La phase 2 semble aboutir aussi.

toutafé

La dernière ligne (donc la première en haut du log), bouffée par le
copier-coller, est:
inbound SPI = 0xe000010, outbound SPI = 0x188cc6e8
(les valeurs varient d'une connexion à l'autre).

Je me raccroche à ta prose comme un naufragé à une bouée ;-)

J'ai bien peur que la bouée soit trouée :D

Mais tu m'as quand-même donné une idée.
Lundi je vais mettre en place un serveur syslog sur le lan du bewan
pour regarder ce qu'il me dit.

S'il y a du nouveau, je tiendrai au courant.

Au fait, personne n'a fait de remarque sur le HC éventuel de ce fil sur
ce forum.
Je serais donc en charte ici (c'est pas que j'ai envie de me faire
jetter, mais simplement par curiosité ;-) ?

--
Jean Declercq
message rédigé sur un spam 100% recyclé

jean declercq a écrit le 17/09/2005 dans
<mn.8c127d59133108db.35528@wanadoo.fr> :

Je serais donc en charte ici (c'est pas que j'ai envie de me faire jetter,
mais simplement par curiosité ;-) ?

Ce qui ne doit pas m'empêcher de quoter correctement.
Désolé...

--
Jean Declercq
message rédigé sur un spam 100% recyclé

Salut,

Au fait, personne n'a fait de remarque sur le HC éventuel de ce fil sur
ce forum.

Les tunnels de routage IP comme IPSec sont en charte ici.
La configuration des routeurs IP est en charte ici.

Hey Jean !

Peux tu me dire si tu as pris connaissance de mon dernier post (voir
ci-dessous)

Je suis très convaicu que ça règlera ton problème.

Tiens moi au courant SVP.

Merci

ViC



ViC wrote:

jean declercq wrote:

Bonjour,

Juste une petite question.
Je tente de mettre en place un tunnel vpn entre 2 routeurs (connexion
adsl, lan de chaque coté derrière les routeurs (192.168.1.0-réseau A
et 192.168.60.0-réseau B).
D'après les status des 2 routeurs, le tunnel est bien établi, mais je
n'en fais rien, même pas un ping.
On m'a suggéré un tracert pour y voir plus clair.
Quand je le lance depuis le réseau A, ça s'arrête au routeur de A.
C'est normal ?
Je ne pense pas mais bon...

Merci d'avance.

(ceci est ma 2e tentative. Le post précédent ne semble pas avoir
fonctionné)

Bonjour,

Tout d'abord dans la photo jointe du Bewan, on peut immédiatement voir
un problème.

Il n'y a aucun paquet transmis sur le VPN!

Peux tu avoir le même genre de stats côté DLINK ?


J'ai une idée qui vaux la peine d'essayer. Ça devrait fonctionner.


Tu as deux réseaux dans le même subnet (A et B), soit le 192.168.1.0/24,
autant au site A qu'au site B. D'apres moi, lorsqu'un VPN est monté
entre les 2 routers, le subnet DISTANT sera routé VERS L'INTERFACE
VIRTUEL du VPN.

Exemple pas rapport avec ton cas, cas typique je crois.

Réseau A : 10.10.10.0/24
Réseau B : 192.168.1.0/24

Lorsque vpn est mponté > Dans la table de routage de A, il y aura en quelque par quelque chose
comme suit :

10.10.10.0/24 ---VIA---> INTERFACE ETHERNET LOCAL
192.168.1.0/24 ---VIA---> INTERFACE VIRTUELLE VPN
0.0.0.0 ---VIA---> INTERNET (ISP)

et dans le router B on retrouvera possiblement

192.168.1.0/24 ---VIA---> INTERFACE ETHERNET LOCAL
10.10.10.0/24 ---VIA---> INTERFACE VIRTUELLE VPN
0.0.0.0 ---VIA---> INTERNET (ISP)


PAR CONTRE, dans ton cas, tu as les deux même subnets, soit
192.168.1.0/24. Donc je me demande comment les tables de routes
régissent. J'ai l'impression que peut être que tout est redirigé vers
ton LAN. Ça expliquerait l'absence de traffique en sortie.


-=TEST À FAIRE=-

Change ton subnet lan distant, peu importe si c'est au router A ou B.
(ex: 192.168.100.0/24) Met quelque chose de totalement différent.

Comme je te dis, ceci est pure spéculation.
Dapres moi ces router fonctionnent comme suit :

Si ta destination est sur le subnet local, alors ça sort sur cet interface.

Si c'est le subnet sur réseau Distant VPN, alors ça sort pas l'interface
virtuel de ce VPN.

Pour le reste, default gateway vers internet.


SVP, si quelqu'un s'y connait en ce type de VPN, manifestez vous !

Reviens nous vite !

Bonne chance !

ViC

PS: es tu capable de nous fournir les tables de routage de ces routers ?
J'en doute.

ViC a écrit le 17/09/2005 dans
<KyXWe.52548$Rd5.1446034@weber.videotron.net> :

Hey Jean !

Salut ViC

Peux tu me dire si tu as pris connaissance de mon dernier post (voir
ci-dessous)

Oui, en fait le premier était bien passé, et j'y avais répondu là:
Message-ID: <mn.82327d599d6e4b8c.14737@wanadoo.fr>

Je suis très convaicu que ça règlera ton problème.

Comme je t'avais répondu, les deux subnets sont différents, ce qui

semble bien être une condition indispensable au bon fonctionnement du
tunnel.
Et comme répondu à Gérard, je vais tenter lundi de voir les logs du
Bewan.
Merci en tout cas pour ton aide et ton interêt à mes soucis.
A bientôt pour de nouvelles news fraiches.

--
Jean Declercq
message rédigé sur un spam 100% recyclé

jean declercq a écrit sur fr.comp.reseaux.ip le 17/09/2005 dans
<mn.8c617d591499d7a9.35528@wanadoo.fr> :

A bientôt pour de nouvelles news fraiches.

En voilà, mais je sais pas quoi en faire.
J'ai monté mon petit serveur syslog du coté du Bewan, et un ping vers
le réseau A me donne ça:
Local User: 192.168.60.1 -> 192.168.1.155 (ICMP) Echo
Local User: 192.168.60.1 -> 192.168.1.155 (ICMP) Echo
Local User: 192.168.60.1 -> 192.168.1.155 (ICMP) Echo
Local User: 192.168.60.1 -> 192.168.1.155 (ICMP) Echo

J'ai écrémé...

Donc le ping depuis une station du réseau B (en 60) vers le réseau A
(en 1) par bien vers le routeur.
Puis plus rien (comme sur le Dlink)

Je continue à chercher... (mais ça commence à me plaire, ce trux)

--
Jean Declercq
message rédigé sur un spam 100% recyclé