Partage

OpenVPN perd acces internet

11 janvier 2019 à 12:51:32

Bonjour,

J'ai installé un dossier partagé via openVPN sur un réseau distant. Je souhaite que le 2e site accède à ce dossier mais garde son acces internet habituel. Or la connexion internet se désactive quand openVPN client est connecté. Je comprends que j'ai un probleme de route, mais je ne sais pas comment le régler.

2e site adresse réseau : 192.168.0.0/255.255.255.0

adresse VPN Nas : 10.8.0.1

Table routage :

C:\Windows\system32>route print
===========================================================================
Liste d'Interfaces
 16...00 ff 51 36 63 c2 ......TAP-Windows Adapter V9
 15...b8 ac 6f 34 09 0b ......Intel(R) 82567LM-3 Gigabit Network Connection
  1...........................Software Loopback Interface 1
 12...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP
 13...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
 14...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #2
===========================================================================

IPv4 Table de routage
===========================================================================
Itinéraires actifs :
Destination réseau    Masque réseau  Adr. passerelle   Adr. interface Métrique
          0.0.0.0          0.0.0.0    192.168.0.254     192.168.0.23     20
         10.8.0.0    255.255.255.0         10.8.0.9        10.8.0.10    276
         10.8.0.1  255.255.255.255         10.8.0.9        10.8.0.10    276
         10.8.0.8  255.255.255.252         On-link         10.8.0.10    276
        10.8.0.10  255.255.255.255         On-link         10.8.0.10    276
        10.8.0.11  255.255.255.255         On-link         10.8.0.10    276
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
      192.168.0.0    255.255.255.0         On-link      192.168.0.23    276
      192.168.0.0    255.255.255.0         10.8.0.9        10.8.0.10    276
     192.168.0.23  255.255.255.255         On-link      192.168.0.23    276
    192.168.0.255  255.255.255.255         On-link      192.168.0.23    276
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link      192.168.0.23    276
        224.0.0.0        240.0.0.0         On-link         10.8.0.10    276
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link      192.168.0.23    276
  255.255.255.255  255.255.255.255         On-link         10.8.0.10    276
===========================================================================
Itinéraires persistants :
  Aucun

IPv6 Table de routage
===========================================================================
Itinéraires actifs :
 If Metric Network Destination      Gateway
  1    306 ::1/128                  On-link
 15    276 fe80::/64                On-link
 16    276 fe80::/64                On-link
 15    276 fe80::e585:778a:80fa:c9ae/128
                                    On-link
 16    276 fe80::e8d7:4a60:6f0d:60f0/128
                                    On-link
  1    306 ff00::/8                 On-link
 15    276 ff00::/8                 On-link
 16    276 ff00::/8                 On-link
===========================================================================
Itinéraires persistants :
  Aucun

Config openVPN client :

dev tun
tls-client

remote 88.186.124.XX 1194

# The "float" tells OpenVPN to accept authenticated packets from any address,
# not only the address which was specified in the --remote option.
# This is useful when you are connecting to a peer which holds a dynamic address
# such as a dial-in user or DHCP client.
# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it's
# default network gateway through the VPN.
# It means the VPN connection will firstly connect to the VPN Server
# and then to the internet.
# (Please refer to the manual of OpenVPN for more information.)

#redirect-gateway def1

# dhcp-option DNS: To set primary domain name server address.
# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

# If you want to connect by Server's IPv6 address, you should use
# "proto udp6" in UDP mode or "proto tcp6-client" in TCP mode
proto udp

script-security 2


comp-lzo

reneg-sec 0

cipher AES-256-CBC

auth SHA512

auth-user-pass
<ca>
-----BEGIN CERTIFICATE-----

Merci par avance pour votre aide

-
Edité par SylSun 11 janvier 2019 à 13:50:38

elalitte

11 janvier 2019 à 14:19:32

En fait, quand ton VPN est monté, il faut que tout ton traffic passe par une route par défaut qui sera ta passerelle habituelle, donc que ta route par défaut n'ait pas changé, et que tu aies une route spécifique qui passe par le tunnel pour le réseau distant (un truc du genre route add 192.168.0.0 netmask 255.255.255.0 10.8.0.9)

Eric Lalitte, Directeur d'IN'TECH Grand Dax - "Cours TCP/IP" - "La suite du cours TCP/IP" - Mon site, www.lalitte.com - Mailforkids.net, le site de messagerie protégé pour les enfants - La page Facebook d'IN'TECH

SylSun

14 janvier 2019 à 11:47:09

Bonjour, merci ; comment etre sure de la route par defaut ? j'ai l'impression que par defaut tout est redirigé sur le tunnel justement ?

Ma config est

* lieu 1 NAS sur une FREEBOX

* lieu 2 PCs sur FREEBOX

* lieux autres : toutes sortes de box

Alors je ne suis pas sûre de comprendre mais voici ce que j'ai fait sur le lieu 2 : j'ai ajouté une route spécifique mais qui ne passe pas par le tunnel,pour acceder à la box locale :

route add 192.168.0.0 mask 255.255.255.0 192.168.0.254

Et ca marche pour tous les PCs fixes. Ouf.

Maintenant j'ai 2 questions sur cette add route que je ne maitrise pas :

- est ce que un PC portable à qui j'ajoute cette ligne, va pouvoir se connecter ailleurs sur une autre box sans probleme ? Je pense que oui ? Car soit la box locale aura une passerelle 192.168.0.254 comme la box Free du réseau distant auquel cas cela devrait fonctionner ; soit elle aura une adresse en 192.168.1.X et ca marchera tout seul ?

- j'ai 2 portables que j'ai testé dans un 3e lieu avec une box sosh (192.168.1.x) : sans ajouter add route cela fonctionne ; par contre quand je reviens dans le lieu 2 (box Free) je n'ai plus internet ; alors j'ajoute ma route mais rien ...

J'espère ne pas etre trop confuse dans mes explications, merci

elalitte

14 janvier 2019 à 14:10:02

En fait je pense que pour ces questions, il faut que tu comprennes bien ce qu'est le routage et comment il fonctionne. Tu peux aller voir mon cours à ce sujet. Une fois que tu auras compris, tu devrais pouvoir régler tous les cas que tu rencontreras.

SylSun

14 janvier 2019 à 20:59:42

Bonjour Eric,

J'ai trouvé ton cours sur le routage, je comprends mieux la table d'adressage, merci.

Sachant que je veux garder le traffic par défaut vers la box, et utiliser le tunnel uniquement pour un partage de dossier, je constate que mes clients ont bien une passerelle par défaut juste :

Destination réseau    Masque réseau  Adr. passerelle   Adr. interface Métrique
          0.0.0.0          0.0.0.0    192.168.0.254     192.168.0.23     20

J'ai lu pas mal de cours sur le routage, et je n'ai surement pas tout compris, et c'est ma premiere experience in situ. La confrontation avec la réalité est intéressante !

Ce que je ne comprends pas dans mon cas de figure c'est que :

1/ je n'ai pas demandé sur le clients "#redirect-gateway def1" par defaut, alors pourquoi les ordis perdent leur connexion locale à la box ?

2/ est ce que le "add route" que j'ai fait est juste pour pallier à ce probleme ? Il a l'air inutile pourtant vu que la route par défaut est juste ?

En tous les cas j'ai 2 portables qui ne vont plus sur internet sur une box Free quand ils sont connectés au tunnel ...

Pourtant :

1/ ils ont une IP correcte 192.168.0.23 et une passerelle correcte 192.168.0.254

2/ Ils vont sur une internent quand je les branche sur une box sosh ...

Alors est ce que ce serait le DNS qui se "perd" ?

Merci

-
Edité par SylSun 15 janvier 2019 à 7:43:04

elalitte

15 janvier 2019 à 17:00:16

Peux-tu mettre les tables de routage complètes ? Là c'est difficile de savoir sans avoir les adressages de tes réseaux.

SylSun

16 janvier 2019 à 9:56:01

Bonjour Eric,

Quelles tables de routage dois je mettre ? Client ?

elalitte

16 janvier 2019 à 10:35:16

Oui les clients, car c'est eux qui vont faire le choix d'envoyer leurs paquets dans le tunnel ou non.

SylSun

16 janvier 2019 à 11:10:10

Bonsoir Eric et merci pour ton aide,

Voici les routes d'un portable qui se connecte au VPN depuis partout, et qui perd internet sur les réseaux FREE (sachant que le serveur distant est chez free également)

Liste d'Interfaces
 20...00 ff a0 ff f3 ab ......TAP-Windows Adapter V9
 14...4c ed de 45 06 c8 ......Microsoft Virtual WiFi Miniport Adapter
 13...4c ed de 45 06 c8 ......Carte réseau Broadcom 802.11n
 10...88 ae 1d f8 d9 33 ......Realtek PCIe FE Family Controller
  1...........................Software Loopback Interface 1
 21...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #2
 18...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
 12...00 00 00 00 00 00 00 e0 Carte Microsoft 6to4
 15...00 00 00 00 00 00 00 e0 Carte Microsoft 6to4 #2
 22...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #5
 37...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #6
===========================================================================

IPv4 Table de routage
===========================================================================
Itinéraires actifs :
Destination réseau    Masque réseau  Adr. passerelle   Adr. interface Métrique
          0.0.0.0          0.0.0.0    192.168.0.254     192.168.0.15     25
         10.8.0.0    255.255.255.0         10.8.0.9        10.8.0.10     20
         10.8.0.1  255.255.255.255         10.8.0.9        10.8.0.10     20
         10.8.0.8  255.255.255.252         On-link         10.8.0.10    276
        10.8.0.10  255.255.255.255         On-link         10.8.0.10    276
        10.8.0.11  255.255.255.255         On-link         10.8.0.10    276
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
      192.168.0.0    255.255.255.0         On-link      192.168.0.15    281
      192.168.0.0    255.255.255.0         10.8.0.9        10.8.0.10     20
     192.168.0.15  255.255.255.255         On-link      192.168.0.15    281
    192.168.0.255  255.255.255.255         On-link      192.168.0.15    281
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link         10.8.0.10    276
        224.0.0.0        240.0.0.0         On-link      192.168.0.15    281
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link         10.8.0.10    276
  255.255.255.255  255.255.255.255         On-link      192.168.0.15    281
===========================================================================
Itinéraires persistants :
  Aucun

IPv6 Table de routage
===========================================================================
Itinéraires actifs :
 If Metric Network Destination      Gateway
  1    306 ::1/128                  On-link
 20    276 fe80::/64                On-link
 13    281 fe80::/64                On-link
 13    281 fe80::1824:1874:7919:ac7c/128
                                    On-link
 20    276 fe80::b89b:6aad:8c7f:9ef8/128
                                    On-link
  1    306 ff00::/8                 On-link
 20    276 ff00::/8                 On-link
 13    281 ff00::/8                 On-link
===========================================================================
Itinéraires persistants :
  Aucun

Pourtant l'P dynamique est juste :

-
Edité par SylSun 16 janvier 2019 à 20:29:10

elalitte

17 janvier 2019 à 9:19:58

Pourtant, sa route par défaut est bien 192.168.0.254.

Peux-tu mettre la conf du serveur openvpn et du client ?

SylSun

17 janvier 2019 à 16:58:17

Bonsoir,

Voici les routes d'un portable qui se connecte au VPN depuis partout, et qui perd internet sur les réseaux FREE (sachant que le serveur distant est chez free également)

Liste d'Interfaces
 20...00 ff a0 ff f3 ab ......TAP-Windows Adapter V9
 14...4c ed de 45 06 c8 ......Microsoft Virtual WiFi Miniport Adapter
 13...4c ed de 45 06 c8 ......Carte réseau Broadcom 802.11n
 10...88 ae 1d f8 d9 33 ......Realtek PCIe FE Family Controller
  1...........................Software Loopback Interface 1
 21...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #2
 18...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
 12...00 00 00 00 00 00 00 e0 Carte Microsoft 6to4
 15...00 00 00 00 00 00 00 e0 Carte Microsoft 6to4 #2
 22...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #5
 37...00 00 00 00 00 00 00 e0 Carte Microsoft ISATAP #6
===========================================================================

IPv4 Table de routage
===========================================================================
Itinéraires actifs :
Destination réseau    Masque réseau  Adr. passerelle   Adr. interface Métrique
          0.0.0.0          0.0.0.0    192.168.0.254     192.168.0.15     25
         10.8.0.0    255.255.255.0         10.8.0.9        10.8.0.10     20
         10.8.0.1  255.255.255.255         10.8.0.9        10.8.0.10     20
         10.8.0.8  255.255.255.252         On-link         10.8.0.10    276
        10.8.0.10  255.255.255.255         On-link         10.8.0.10    276
        10.8.0.11  255.255.255.255         On-link         10.8.0.10    276
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
      192.168.0.0    255.255.255.0         On-link      192.168.0.15    281
      192.168.0.0    255.255.255.0         10.8.0.9        10.8.0.10     20
     192.168.0.15  255.255.255.255         On-link      192.168.0.15    281
    192.168.0.255  255.255.255.255         On-link      192.168.0.15    281
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link         10.8.0.10    276
        224.0.0.0        240.0.0.0         On-link      192.168.0.15    281
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link         10.8.0.10    276
  255.255.255.255  255.255.255.255         On-link      192.168.0.15    281
===========================================================================
Itinéraires persistants :
  Aucun

IPv6 Table de routage
===========================================================================
Itinéraires actifs :
 If Metric Network Destination      Gateway
  1    306 ::1/128                  On-link
 20    276 fe80::/64                On-link
 13    281 fe80::/64                On-link
 13    281 fe80::1824:1874:7919:ac7c/128
                                    On-link
 20    276 fe80::b89b:6aad:8c7f:9ef8/128
                                    On-link
  1    306 ff00::/8                 On-link
 20    276 ff00::/8                 On-link
 13    281 ff00::/8                 On-link
===========================================================================
Itinéraires persistants :
  Aucun

Pourtant l'P dynamique est juste :

***************************

Bonjour Eric,

voici le server.conf

# Serveur TCP/443
mode server
proto tcp
port 443
dev tun
 
# Clés et certificats
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
tls-auth ta.key 0
cipher AES-256-CBC
 
# Réseau
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
 
# Sécurite
user nobody
group nogroup
chroot /etc/openvpn/jail
persist-key
persist-tun
comp-lzo
 
# Log
verb 3
mute 20
status openvpn-status.log
log-append /var/log/openvpn.log

Voici le client.conf

	
# Client
 
client
 
dev tun
 
proto tcp-client
 
remote xx.234.148.191 443
 
resolv-retry infinite
 
cipher AES-256-CBC
 
  
 
# Clés
 
ca ca.crt
 
cert client2.crt
 
key client2.key
 
tls-auth ta.key 1
 
  
 
# Sécurite
 
nobind
 
persist-key
 
persist-tun
 
comp-lzo
 
verb 3

Comme tu le dis dans mon 2e post, l'idéal serait que je puisse mettre les routes sur le serveur.

Auquel cas je ne sais pas comment le libeller ...

Merci

-
Edité par SylSun 17 janvier 2019 à 17:10:14

elalitte

17 janvier 2019 à 17:29:23

A priori le "redirect-gateway" est censé faire passer tout le traffic dans le tunnel, ce qu'on ne veut pas. Tu devrais donc l'enlever, puis pousser une route vers ton réseau distant qui passe par le tunnel

SylSun

17 janvier 2019 à 21:22:36

Bonsoir Eric,

Donc à la place de

# Réseau
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120

je mets

# Réseau
server 10.8.0.0 255.255.255.0
#FREE
push "dhcp-option DNS 212.27.40.240"
#ORANGE
push "dhcp-option DNS 80.10.246.2"
keepalive 10 120

? Merci

elalitte

18 janvier 2019 à 11:15:51

Oui mais il faut aussi pousser une route pour le réseau local.

Je ne connais pas la syntaxe exacte, mais quelque chose comme ça:

push "route 192.168.X.X 255.255.255.0 10.8.0.9 1"

SylSun

18 janvier 2019 à 13:40:52

Bonjour Eric,

J'ai cherché la syntaxe.

* Peux tu me dire à quoi correspond 10.8.0.9, est ce là que je mets l'adresse du NAS ?, Ce qui serait 10.8.0.1

*Il faut que je le fasse pour les 2 types de réseaux (free et orange)?

Cela te parait il correct :

# Réseau
server 10.8.0.0 255.255.255.0

#FREE
push "dhcp-option DNS 212.27.40.240"

#ORANGE
push "dhcp-option DNS 80.10.246.2"

#reseau local
push "route 192.168.1.0 255.255.255.0 10.8.0.1"
push "route 192.168.0.0 255.255.255.0 10.8.0.1"

keepalive 10 120

Merci Eric

elalitte

18 janvier 2019 à 13:45:38

Alors l'idée est de faire en sorte que ta machine cliente passe par le tunnel pour accéder au réseau distant.

Si le réseau distant est en 192.168.32.0/24 et que la passerelle dans le tunnel est 10.8.0.9 (ce qui semble être le cas sur tes copies d'écran) alors la seule route à ajouter sera:

push "route 192.168.32.0 255.255.255.0 10.8.0.9"

Il ne faut surtout pas mettre 192.168.0.0 comme réseau à joindre car c'est déjà ton réseau local (ta passerelle pour aller sur Internet est 192.168.0.254)

SylSun

18 janvier 2019 à 21:39:17

OK, je vois bien la passerelle en 10.8.0.9

Mais comment savoir l'adresse de mon réseau distant (192.168.32.0) ? Merci ...

-
Edité par SylSun 18 janvier 2019 à 21:39:39

elalitte

21 janvier 2019 à 10:26:00

Ah ça toi seule peut le connaître. Si c'est un réseau sur lequel tu peux aller tu peux regarder la configuration des machines, sinon il faut demander à quelqu'un sur place. Ou te connecter à une machine distante et regarder sa configuration réseau.

SylSun

21 janvier 2019 à 11:07:36

Bonjour Eric,

Donc il s'agit de l'adresse réseau locale de la passerelle du site distant où se trouve le NAS ? Ou bien l'adresse réseau locale du NAS (192.168.0.2). En effet c'est le meme adressage en 192.168.0.x sur le site du NAS et un des autres sites d'où on accede (d'où les problemes j'imagine)

Et cela permet à tous ceux qui accedent au tunnel de parcourir le NAS donc ...

-
Edité par SylSun 21 janvier 2019 à 13:30:04

elalitte

21 janvier 2019 à 14:38:08

Ah oui c'est un souci si c'est le même adressage local et distant, dans ce cas pour que ça fonctionne, il faudra mettre en place une configuration en double NAT et c'est assez complexe à comprendre et à mettre en oeuvre...

Tu ne peux pas changer l'adressage sur le site distant ?

Ou alors si tu ne dois accéder qu'au NAS? tu pourrais rajouter une adresse IP au NAS dans un autre réseau, et rajouter une adresse IP au serveur VPN dans ce même réseau pour qu'ils puissent communiquer. Ainsi en utilisant cette adresse pour accéder au NAS ça devrait fonctionner.

SylSun

22 janvier 2019 à 15:38:57

Bonjour Eric,

Grâce à tes explications, j'ai fini par comprendre que c'etait au niveau serveur qu'il fallait travailler, et empecher que le fait d'etre connecté au tunnel accede à internet.

Je suis revenue sur le fichier de configuration du serveur et me suis rendu compte que je ne le trouvais plus ... En effet sur Synology le reglage serveur se fait par des menus,et je pense que le fichier que j'ai fourni dans ce post était un vieux fichier à moi ... Mea Culpa.

J'ai donc parcouru les menus de config et découvert une option à désactiver : "autoriser au client l'accès au serveur LAN"

Depuis tous les accès ont l'air OK ! J'aurais bien aimé voir le fichier de config qui a été créé, mais bon je crois que je comprends mieux le fonctionnement. Il faudra que je travaille pour ma prochaine installation les tables de routage ...

J'attends quelques jours pour marquer ce sujet résolu, mais cela semble bien parti.

Merci encore pour ton aide

-
Edité par SylSun 23 janvier 2019 à 16:31:07

elalitte

23 janvier 2019 à 11:25:19

Bravo !

SylSun

23 janvier 2019 à 16:32:40

J'ai recenscé mes questionnements et me suis permis de te citer : https://1formanet.com/blog-creation-site-internet/reseaux-partage-de-dossiers-via-openvpn-chez-synology/

elalitte

24 janvier 2019 à 10:19:23

Super, merci pour la citation !