Deux R

[StéphanH]

Bonjour,

Une question que je soumets à votre sagacité ...

Le contexte :

Deux maisons équipées comme suit :

Maison 0 :

Un routeur 0 / Gateway / DHCP : 192.168.0.1 (255.255.255.0)

Le NAS 0 (IP Fixe 192.168.0.100)

Maison 1 :

Un routeur 1 / Gateway / DHCP : 192.168.1.1 (255.255.255.0)

Le NAS 1 (IP Fixe 192.168.1.100)

J'ai ouvert un tunnel Open VPN du NAS0 sur le NAS1 (en autorisant le réseau local 0 à utiliser ce VPN au niveau du paramétrage du tunnel). Le NAS0 obtient du NAS1 l'adresse 192.168.2.1.

Ma question est :

Comment faire pour qu'un équipement du LAN 0 puisse accéder à un équipement du LAN 1 en passant par le VPN ? Dois-je créer sur le routeur 0 un règle de routage du sous réseau du LAN1 vers ??? qui ?? le NAS 1 ???

Question subsidiaire : Et du réseau local 1 vers le 0, comment faire ? sachant que le routeur 1 est une Livebox Play (donc pas de routage de sous réseau possible)

Le premier qui répond gagne toute ma considération !!!

Merci ...

Modifié le 13 juillet 2014 par St

[catimimi]

Bonjour,

Personnellement, j'ai une configuration similaire, la différence est que j'établis le VPN entre deux routeurs Netgear FVS336G, mais je pense que ma configuration est applicable dans ton cas.

-routeur 1 : 192.168.64.250/255.255.192.0

-routeur 2 : 192.168.128.250/192.168.192.0

avec ces masques, j'ai deux plages de 64 adresses qui ne se recouvrent pas.

A travers le VPN, le réseau 1 a accès aux 64 adresses du réseau 2 et réciproquement.

Pourquoi choisir 192.168.64.xxx et 192.168.138.xxx ? Tout simplement pour être capable d'établir un VPN avec une Box configurée de façon classique en 192.168.0.1 ou 192.168.1.1.

Espérant t'avoir aidé.

Cordialement.

Michel.

[StéphanH]

Merci beaucoup Catimini pour ta réponse rapide.

Je crains toutefois que cela dépasse mes compétences...

Mon routeur 0 (DLink DWR 921) ne me permet pas de monter de VPN si le WAN est en 3G (et oui, je remplace mon satellite par de la 3G) ...

Je monte donc le VPN entre le NAS0 et le NAS1.

Et là, j'arrive aux limites de mes compétences ...

Je ne comprends pas l'impact du choix de tes sous réseau ...

[StéphanH]

Je progresse :

Sur mon routeur 0, j'ai créée une règle de routage du sous réseau 192.168.1.0 (255.255.255.0) sur le NAS0 (192.168.0.100) => ça marche !!! Depuis mon réseau 0, je peux accéder aux machines du réseau 1

Reste à trouver comment faire l'autre sens ... sachant que la Livebox ne permet pas de router un sous réseau ...

[StéphanH]

Bonjour,

Personnellement, j'ai une configuration similaire, la différence est que j'établis le VPN entre deux routeurs Netgear FVS336G, mais je pense que ma configuration est applicable dans ton cas.

-routeur 1 : 192.168.64.250/255.255.192.0

-routeur 2 : 192.168.128.250/192.168.192.0

avec ces masques, j'ai deux plages de 64 adresses qui ne se recouvrent pas.

A travers le VPN, le réseau 1 a accès aux 64 adresses du réseau 2 et réciproquement.

Pourquoi choisir 192.168.64.xxx et 192.168.138.xxx ? Tout simplement pour être capable d'établir un VPN avec une Box configurée de façon classique en 192.168.0.1 ou 192.168.1.1.

Espérant t'avoir aidé.

Cordialement.

Michel.

Bonjour Michel,

Je reprends ton exemple personnel dont j'essaie de comprendre la finalité.

Je ne comprends pas le masque que tu indiques pour ton routeur 2 (en rouge) ...

Ton idée n'est elle pas d'avoir un réseau global pour tes deux maisons avec deux sous réseaux inclus (Maison 1 = 192.168.0.1 / masque 255.255.252.0, Maison 2 = 192.168.1.1 / masque 255.255.252.0).

Mais qu'indiques-tu comme sous réseau pour établir ton VPN ?

merci ...

Modifié le 13 juillet 2014 par St

[catimimi]

Bonjour,

Pour chacune de mes maisons, je dispose de 64 sous réseaux de 192.168.64.xxx à 192.168.127.xxx pour l'Ile de France et de 192.168.128.xxx à 192.168.191.xxx

pour la Bretagne. Ces sous réseaux sont accessibles à partir des deux extrémités du VPN.

Pour établir le VPN, je n'indique pas un sous réseau, mais un bloc de sous-réseaux défini par le masque 255.255.192.0. J'ai ainsi un réseau global de 128 sous réseaux, 64 à chaque extrémité.

Ton masque 255.255.2.0 n'est pas valide, il signifie que le bit 2 doit être identique à celui de ton adresse 192.168.0.1,il autorise donc les adresses 192.168.0.xxx, 192.168.2.xxx ..... et donc toutes les adresses paires

Le masque 255.255.3.0 indique que les bits 1 et 2 doivent être identiques à ceux de ton adresse 192.168.1.1, il autorise donc 192.168.1.xxx, 192.168.5.xxx ... et donc toutes les adresses modulo 4.

Si tu veux un seul sous réseau à chaque extrémité, il te faut un masque de 255.255.255.0.

Cordialement.

Michel.

[StéphanH]

Oup's, je crois que j'ai corrigé mes masques dans mon post précédant pendant que tu répondais ... Est-ce mieux ?

Mon idée est bien d'avoir un seul réseau dans chaque maison, mais que les deux se voient mutuellement.

Pour le VPN, je ne sais pas quoi faire. Le serveur VPN de Synology me propose une @IP de début et un masque. Dois-je y indiquer une plage dans un masque qui englobe mes deux réseaux (192.168.2.0 - 255.255.252.0) ?

Encore merci de ton aide ...

Modifié le 13 juillet 2014 par St

[catimimi]

Bonjour,

Les plages indiquées à chaque extrémité du VPN ne doivent avoir aucun recouvrement. Donc puisque tu veux un seul sous réseau, il te faut des masques de 255.255.255.0.

Cordialement.

Michel.

[StéphanH]

Merci Michel ...

Désolé si je pose des questions idiotes ...

Si je mets :

Dans la maison 0 le réseau 192.168.0.1 / 255.255.252.0

Dans la maison 1 le réseau 192.168.1.1 / 255.255.252.0

Dans le VPN le réseau 192.168.2.1 / 255.255.252.0

et que chacun des DHCP attribue des @ dans la plage qui lui est affectée (192.168.0.x, 192.168.1.x et 192.168.2.x), je n'aurai jamais deux IP identiques ?

Et j'aurai bien un réseau global commun ?

[catimimi]

Bonjour,

Je ne connais pas le VPN des synos, mais il doit se comporter comme un VPN classique. Si tu établis un VPN entre maison 1 et maison 2, il n'attribue pas d'adresse IP mais utilise les adresses IP existantes. Je ne comprends pas le rôle de ton adresse 192.168.2.1 !

Il me faudrait une copie des pages de configuration de tes deux synos pour que je comprenne et puisse t'aider.

J'ai acheté des routeurs VPN avant que syno ne le propose et je ne regrette pas car j'ai vraiment établi un réseau commun entre mes deux maisons et une Box externe lorsque je suis en déplacement.

Cordialement.

Michel.

PS : je suppose que tu utilises de chaque côté le paquet VPN server.

Modifié le 13 juillet 2014 par catimimi

[StéphanH]

Le serveur VPN Synology nécessite une plage d'@ (qui ne doit pas être sur le même sous réseau que le Syno lui même) :

Voici ce que cela donne sur la page de configuration (minimaliste !) :

[catimimi]

Bonjour,

Pourquoi openVPN ? J'utilise L2TP/IPSec qui chez moi utilise le même sous réseau que le routeur.

Si tu utilises un sous réseau différent, seules les règles de routage te permettront d'en sortir.

Que donne la configuration L2TP/IPSec ?

Cordialement.

Michel.

[StéphanH]

Le port 1701 est réservé à la Livebox Play : impossible de l'utiliser ...

De toute façon, la configuration est identique :

[catimimi]

Bonjour,

Je viens de lire la doc du serveur vpn, il attribue des adresses IP virtuelles aux clients, ce que je n'avais jamais vu. Je jette donc l'éponge.

Cordialement.

Michel.

PS : Tu dis que le port 1701 est pris par la Livebox Play, à quoi sert-il ? Si c'est vrai, il ne faut surtout pas que je change ma Box en Bretagne.

Modifié le 13 juillet 2014 par catimimi

[StéphanH]

Je viens de lire la doc du serveur vpn, il attribue des adresses IP virtuelles aux clients, ce que je n'avais jamais vu. Je jette donc l'éponge.

Cela ne m'arrange pas que tu jettes l'éponge !!!

Peux-tu au moins me dire si ma "solution" a une chance de fonctionner ou non ? Cela m'éviterai de planter mes deux LAN ...

Merci encore.

[catimimi]

Bonjour,

Ta "solution" mérite d'être tentée, je n'y crois pas, mais le VPN dy syno est si bizarre, tu ne risques pas de casser tes LAN, il suffirait d'arrçeter le VPN pour qu'ils remarchent. !

Ta solution d'hier 14h52 me semble la seule piste à explorer.

Cordialement.

Michel.

PS : mes routeurs d'origine : Box Numéricable et Livebox ne permettent pas le VPN, mais je les ai mises en mode passerelle pour la première et en DMZ pour la seconde vers des routeurs VPN qui assurent le routage et la sécurité.

[StéphanH]

Merci.

Ma solution d'hier 14h52 me permet effectivement de voir mon LAN 1 depuis le LAN 0

c'est déjà bien ...

Je tâcherai de tester la "solution" du masque 255.255.252.0 pour voir ... Mais vu l'interface de gestion de mon modem/routeur DLink, archi basique, je ne sais même pas s'il va me laisser faire cela ...

Une autre tuile apparue ce matin, sur le serveur VPN de synology : j'ai paramètré le VPN pour qu'il remonte tout seul en cas de plantage.

J'ai eu le cas ce matin. Le VPN remonte bien, mais le Serveur VPN attribue alors au client une nouvelle adresse IP ! et pas moyen de fixer une IP fixe. Difficile donc de mettre en oeuvre mes synchro si l'IP n'est pas fixe.

Bref, y a encore du boulot ...

Modifié le 13 juillet 2014 par St

[Fravadona]

Une modification manuelle des tables de routage sur les clients des 2 sous-reseaux pourrait permettre de comprendre ce qu'il manque, mais pour commencer que retourne la commande route sur les 2 NAS avant et apres l'etablissement de la connexion OpenVPN ?

Modifié le 13 juillet 2014 par Fravadona

[StéphanH]

Merci Fravadona pour ta suggestion.

Aujourd'hui, je suis physiquement sur mon LAN 0.

Demain, je serai de retour sur le 1 ... et je testerai la modification du sous réseau de ma Livebox en 255.255.252.0 (je ne préfère pas le faire à distance, afin d'être certain de pouvoir reprendre la main dessus si nécessaire)

Je verrai bien alors s'il broadcast les @IP du LAN0 au travers du VPN du Synology. Et un traceroute ne fera pas de mal ...

[StéphanH]

Bonjour,

Mettre le DHCP de la Box en 196.168.1.1 (255.255.252.0) ne change rien ...

Le LAN1 ne voit pas le LAN0

De plus, depuis DSM du NAS1, je ne vois que l'@IP virtuelle de mon NAS0 (192.168.2.x), et le x est variable à chaque reconnexion du VPN. Le NAS1 ne voit pas le LAN0.

Bref, je suis coincé...

Si quelqu'un a une idée ...

[Fravadona]

As-tu essaye le faire un OpenVPN en mode "Bridge" ? Pour cela il faut commencer par mettre les deux sous-reseaux sur la meme plage d'IP tout en evitant qu'il puisse y avoir des conflits d'IP

Une configuration du genre :

Maison0 :

Sous-reseau : 192.168.0.0/24

DHCP : de 192.168.0.1 a 192.168.0.99

NAS0 : 192.168.0.1

Maison1 :

Sous-reseau: 192.168.0.0/24

DCHP : de 192.168.0.100 a 192.168.0.199

NAS1 : 192.168.0.100

PS: il faudra aussi une regle firewall sur les NAS pour empecher que les requetes/reponses DHCP a traversent le "pont"

[catimimi]

Bonjour,

Je pense que tu n'y arriveras pas sans règle de routage.

Cordialement.

Michel.

Pour information : Orange vient de me changer le firmware de ma Livebox 2 cette nuit.

Ce matin plus rien ne marchait car certaines redirections de port (1701 ...) sont refusées.

mais bonne nouvelle mon VPN remarche en mettant le routeur en DMZ sur la Box.

[PiwiLAbruti]

PS : Tu dis que le port 1701 est pris par la Livebox Play, à quoi sert-il ? Si c'est vrai, il ne faut surtout pas que je change ma Box en Bretagne.

Le port udp/1701 sert pour le partage wifi d'Orange (ça doit être une espèce de hotspot réservé aux clients Orange).

Il est inutilisable dans les redirections de ports de la Livebox (testé sur une Livebox 2).

[StéphanH]

Merci pour vos réponses.

La Livebox ne permettant pas la gestion de règles de routages, n'aurais-je pas intérêt à désactiver son DHCP, et à activer le DHCP du Synology (en paramétrant la gateway sur la Livebox pour le LAN1 et sur le Syno pour le LAN0) ?

[Fravadona]

En fait que veux-tu faire exactement ?

1) Que les PCs des sites 1 et 2 se voient les uns les autres comme s'ils étaient tous sur le même switch ?

ou

2) Que les PCs du site1 puissent accéder aux PCs du site2 (et inversement) tout en étant dans des sous-réseaux différents (c.a.d avec routage) ?

ou

3) Que seuls les PCs connectées au serveur VPN se voient entre eux ?

ou

4) Que les PCs connectes au serveur VPN voient les PCs du site ou se trouve le serveur ?

1) Le pont VPN Site-a-Site peut se faire de Syno-a-Syno avec OpenVPN (sans regle de routage au niveau de la box ni aucune configuration au niveau des PCs)

2) Ce que tu tentes de faire pour le moment amène a cela, c'est a priori le plus difficile car ca demande en plus de reconfigurer le routage au niveau des PCs, Box et Synos

3) C'est le plus simple a mettre en place mais il faut installer OpenVPN sur tous les PCs qui voudront "dialoguer" entre eux

Modifié le 16 juillet 2014 par Fravadona