Tester sa connexion VPN WAN depuis le même LAN

Je viens de trouver sur le site d'apple tout simplement !!!
http://support.apple.com/kb/HT3944?viewlocale=fr_FR
Il faut mapper 2 ports uniquement : le 500 en UDP, et le 4500 en UDP.
Je viens de virer tous les autres mappages (1701 et 47 inclus) et n'ai laissé que ces deux la, et c'est bon !!


Donc je récapitule :
pour un VPN L2TP-IPSec serveur sur MacOS X Serveur Snow Leopard (10.6), il faut mapper 500-UDP et 4500-UDP vers le serveur interne

pour d'autres serveurs ou d'autres protocoles, c'est peut-être différents.

et je rajoute, pour répondre à la question de base "Tester sa connexion VPN WAN depuis le même LAN", une freebox permet le phénomène de loopback. cela signifie que, en local, mon VPN configuré pour attaquer mon IP publique se connecte, exactement comme en remote. pas besoin de mettre le serveur VPN en "mini.home" quand on est dedans.

Mais ceci n'est bien sur pas valable pour tous les FAI. à vérifier avec le votre.

Ha purée le 4500, dire qu'il est ouvert sur mon firewall et que je n'ai pas regardé…

Bon ben tu t'es débrouillé comme un chef tout seul, bravo et merci d'avoir posé la soluce pour les autres !

Un plaisir ! Si ca peut aider

toujours

Héhé

J'étais chez un ami ce weekend, qui n'est pas abonné chez le même fournisseur que le mien.
le mien permet de regarder la télé sur internet, quelques chaines, pourvu qu'on soit à la maison, derrière sa box.

et bien PAF ! du fond de mon lit chez cet ami, hop, VPN, et en avant la télé !!!

le VPN, ca roxx !

La vache ! Le débit était suffisant pour ça ??

super bon, pas une coupure, peut être deux trois gels de pixels de temps en temps, mais même pas de quoi dire "pouah c'est pas bon"

Ceci dit, le client, c'est un iphone 4. la télé envoyée est du bas débit à 1.7 Mbps.
Seule petite chose à dire, la différence avec de la TNT locale, c'était bien 10-15 secondes. Normal, il faut que ma freebox reçoive la télé, et que Mini la renvoie encore dans les tuyaux jusqu'à moi.

tu as quoi comme débit chez toi ?

une quinzaine de Mégabits, je crois.
et un bon gros méga en montée.
Ce qui d'ailleurs me fait penser que c'est en effet théoriquement pas évident que ca passe... mais bon, en l'occurrence, c'etait bon.

Hé bé, je suis impressionné là…

Mout a écrit:

Donc je récapitule :
pour un VPN L2TP-IPSec serveur sur MacOS X Serveur Snow Leopard (10.6), il faut mapper 500-UDP et 4500-UDP vers le serveur interne

pour d'autres serveurs ou d'autres protocoles, c'est peut-être différents.

Bonjour à tous,

Merci Mout pour ces précisions !

Je reviens seulement maintenant d'une longue absence sur le forum, et effectivement je confirme : pour se connecter en VPN L2TP-IPSec à un serveur OSX, seuls les ports 500-UDP et 4500-UDP sont à router.



De plus, via mon réseau local, j'arrive très bien à me connecter en utilisant l'adresse DNS de mon Serveur OSX (grâce à ma Freebox qui peut fonctionner en loopback).

La connection est établie entre le client sous 10.5.8 et le serveur sous 10.6.4.

Par contre, une fois la connexion VPN établie, je suis bien avancé, car je n'ai accès à rien... et mon client ne peut plus se connecter à Internet, ni rien du tout... Que faut-il faire pour cela ?

Dans l'idéal, j'aimerai que mon client passe par mon serveur pour accéder à tout le réseau local (y compris un NAS qui contient ma musique et mes photos), et passer par le serveur pour aller sur internet aussi.

Que dois-je faire ? Est ce que c'est une histoire de OPEN DIRECTORY ? Je n'ai jamais touché à ce service, qui est seulement activé.

Merci d'avance pour vos conseils !

Salut Kara,

Quel est l'état de ton pare-feu ? est-il allumé ? eteint ?
si allumé, quelles sont les regles pour le groupe d'adresse de ton réseau local ? c'est peut-être vers là que tu pourrais chercher.

Salut Mout,

Alors le pare-feu de OSX 10.6.4 Serveur est effectivement activé.

Les règles activées concernant le réseau local sont les suivantes :

- Le VPN L2TP : protocole ESP, ports 500, 1701 et 4500 tous en UDP;
- Multicast DNS: port 5353 en UDP;
iTunes: 64407, 6000, 3689 (partage de musique), plage 42000-42999 (diffusion en continu via iTunes Radio), 6002 (AirTunes) tous en TCP sauf le 6002 en UDP;

Mais je me rends compte que c'est peut être le port 1701 qui n'est pas routé sur ma FreeBox, ce qui expliquerait le fait que ça ne fonctionne pas. Je vais voir et vous tiens au jus !

Kara

il faut que tu autorises HTTP (et HTTPS) pour le réseau local, de manière à pouvoir surfer à travers Mini quand ton VPN est monté.

Je n'ai pas fini tous mes tests, mais apparemment, il faut explicitement autoriser les choses que tu veux faire en VPN, pour le groupe d'adresses réseau local. Ce qui fait que dans l'état actuel de ton pare-feu, en VPN tu devrais avoir acces à ta musique (partage de musique) et aux radios iTunes.

Si tu essayes en éteignant ton pare-feu, tout devrait rouler.

la freebox n'a pas besoin de 1701, ni ton VPN L2TP.

Salut Mout,

Merci pour ta réponse, tu es rapide, et comme dirais Franck, c'est Top Mout-Mout !

Concernant le port 1701, je pensais non pas au groupe du réseau local, mais à la connexion en loopback via Internet !

Ce port 1701 semble indispensable, car il s'agit du support du tunneling non ? Intitulé : Protocole Layer - Two Tunneling Protocol.

Je vais activer également en local les ports HTTP et HTTPS pour voir si cela me permet de surfer.

Kara

je n'ai pas 1701 sur ma freebox et mon VPN fonctionne bien. je le teste en ecrivant ces lignes (enfin, cette ligne !)

Mout a écrit:

je n'ai pas 1701 sur ma freebox et mon VPN fonctionne bien. je le teste en ecrivant ces lignes (enfin, cette ligne !)

Et est ce que tu es en VPN via Internet, c'est à dire en utilisant l'adresse DNS de ton serveur (IP Fixe de ta box) et donc en loopback ?

Je ne comprends pas, car si j'ai bien compris le sens du port 1701, c'est de transporter les flux de données échangées en VPN L2TP IPSEC non ?

Au fait, j'y pense : les règles concernant le groupe "Quelconque" (Any) prévalent sur les autres groupes (10-net et 192-net) non ?

Et le groupe 10-net, correspond au réseau VPN établi entre le serveur et un machine distante qui le contacte via Internet non ?

Kara a écrit:

Au fait, j'y pense : les règles concernant le groupe "Quelconque" (Any) prévalent sur les autres groupes (10-net et 192-net) non ?

Et le groupe 10-net, correspond au réseau VPN établi entre le serveur et un machine distante qui le contacte via Internet non ?

Non, pas exactement.
En fait, et d'après ce que j'ai compris, dans le parefeu, le groupe 192.168-net concerne ton réseau local.
le groupe 10-net est présent dans le monde Apple parce que, par exemple, sans config, une aiport extreme distribuera du 10. chez toi, il devrait ne servir à rien.
et enfin, Any, c'est le reste du monde, en gros l'Internet.

donc, dans Any, tu mets tes règles publiques, celles que tu acceptes depuis l'internet. VPN L2TP, évidemment, et puis FTP si tu héberges un serveur FTP accessible de l'internet ; http si tu as un petit site Web...

et dans 192.168-net, tes règles depuis ton réseau local : SMB, VNC, Admin Server... Ne pas oublier les services que tu veux pouvoir faire en VPN, par exemple le surf = ouvrir HTTP et HTTPS

Attention : apparemment, il faut expliciter les permissions pour l'accès depuis VPN, et pas cocher "Autoriser tout le trafic"


Ensuite, dans la config de ton VPN, tu vas indiquer les adresses IP que tu vas donner à ton client VPN. le mieux est de mettre une plage DHCP pour ton réseau local, et une autre plage dans le meme réseau, pour le VPN.
Par exemple, chez toi, tu distribues de 192.168.0.10 à 0.50, via la freebox. En VPN, tu donnes 192.168.0.100 à 0.120. et ca, c'est le serveur VPN qui s'en charge. pas la freebox.

Ainsi tes clients VPN seront dans le meme réseau IP que les machines de ton réseau local.

Citation :

Et est ce que tu es en VPN via Internet, c'est à dire en utilisant l'adresse DNS de ton serveur (IP Fixe de ta box) et donc en loopback ?

J'étais tellement via l'internet que 1/c'était mon iphone, et 2/ j'étais au travail, et 3/ meme pas en France... Donc oui, en utilisant l'adresse publique de ma freebox.