[TUTO] VPN Server

[cervall2a]

Bonsoir,

J'ai bien suivi le tuto et mon VPn L2tp/IPSEC fonctionne bien.

Ma question

j'ai voulu connecter deux Postes en simultanés pointant sur le même NAS et en lançant la deuxième connexion  ca ma déconnecté.

Peut on avec ce protocole lancer plusieurs connexions en simultanés sur le même Server VPN.? 

[Drickce Kangel]

Le 13/08/2016 à 17:13, Fenrir a dit :

 

nb : en L2TP/IPSec, il n'est pas possible d'avoir plusieurs clients connectés en même temps s'ils sont derrière le même routeur NAT

 

Peut-être fait tu références à ces lignes dans le tuto...à confirmer par les experts...

[Jeff777]

Bonjour @cervall2a

Je n'utilise pas L2tp/IPSEC mais ce ne serait pas cette option mise à 1 ?

Edit : Je n'avais pas vu le message précédent. @Drickce Kangel  a peut-être raison !

Modifié le 2 décembre 2020 par Jeff777

[MilesTEG1]

Hello,

Ca fait un moment que j'ai configuré mon serveur VPN grâce à ce tuto 🙂 ça fonctionne nickel, je peux faire du RemoteDesktop avec la 4G de mon smartphone.
Cependant j'ai un truc que je n'ai jamais réussi à faire : c'est l'utilisation de Adguard Home (ou Pi-Hole) installé dans des conteneurs Docker sur le NAS.
En gros si je spécifie l'adresse IP du NAS en tant que serveur DNS, j'ai plus de résolution de ndd, du coup ça ne fonctionne pas, je suis obligé de remettre l'ip de la box, et donc je n'ai plus de filtrage via le VPN.

Est-ce qu'il y a une possibilité pour que via le VPN je puisse encore avoir le filtrage AdGuard Home (ou Pi-Hole) ?

Merci d'avance 👋

[Invité]

Si ton serveur adguard a l'adresse IP de ton nas, cela veut dire que tu n'utilise pas le macvlan ?

Cest qu'une supposition, mais je pense que si tu configure le conteneur sur un macvlan donc avec sa propre IP local, cela devrait résoudre le soucis non ?

[MilesTEG1]

Effectivement le conteneur n'est pas en macvlan, mais en host.

Lorsque j'avais essayé avec Pi-Hole en macvlan, je ne me rappelle plus si ça fonctionnait via le VPN, mais je crois me souvenir que du coup, tout le traffic était considéré comme venant de la même IP, donc plus moyen de distinguer les machines du LAN... 

[ACDC]

Bonjour à tous, depuis quelques semaines mon VPN via OpenVPN ne fonctionne plus chez moi, j'ai tout supprimé et tout refait mais il ne fonctionne plus, depuis Windows 10 testé sur 2 PC portables et depuis Android pareil.

 

Voici l'erreur que j'obtiens, je n'ai rien modifié pourtant, est-ce que quelques chose à changé ?

Thu Dec 17 18:46:39 2020 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Thu Dec 17 18:46:39 2020 TLS Error: TLS handshake failed

[oracle7]

@Dark-Spirit

Bonjour,

Ton certificat sur le NAS n'aurait-il pas été modifié/renouvelé par hasard ?

Si c'est le cas, peut-être qu'une nouvelle génération de ton fichier de configuration ".ovpn" à partir du NAS (export) serait salutaire. Avec bien évidemment ensuite, un ré-import sur le client OpenVPN.

A voir donc ...

Cordialement

oracle7😉

[Invité]

Il y a 19 heures, Dark-Spirit a dit :

Voici l'erreur que j'obtiens, je n'ai rien modifié pourtant, est-ce que quelques chose à changé ?

Thu Dec 17 18:46:39 2020 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Thu Dec 17 18:46:39 2020 TLS Error: TLS handshake failed

Salut,

J'ai déja eu 2 fois un soucis similaire. j'ai jamais réussi a "dé-planter" le truc sans faire un reboot du nas. As tu essayé ?

[.Shad.]

Il y a 19 heures, Dark-Spirit a dit :

Voici l'erreur que j'obtiens, je n'ai rien modifié pourtant, est-ce que quelques chose à changé ?

Thu Dec 17 18:46:39 2020 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Thu Dec 17 18:46:39 2020 TLS Error: TLS handshake failed

Tu es en double NAT ?

[ACDC]

Il y a 22 heures, oracle7 a dit :

@Dark-Spirit

Bonjour,

Ton certificat sur le NAS n'aurait-il pas été modifié/renouvelé par hasard ?

Si c'est le cas, peut-être qu'une nouvelle génération de ton fichier de configuration ".ovpn" à partir du NAS (export) serait salutaire. Avec bien évidemment ensuite, un ré-import sur le client OpenVPN.

A voir donc ...

Cordialement

oracle7😉

Hello, mon certificat se renouvelle tous les 3 mois automatiquement oui, c'est celui de Let's Encrypt, mais je n'ai jamais eu ce soucis avant. Par contre, j'ai déjà refait toute la config de A à Z mais toujours même soucis.

 

Il y a 22 heures, EVOTk a dit :

Salut,

J'ai déja eu 2 fois un soucis similaire. j'ai jamais réussi a "dé-planter" le truc sans faire un reboot du nas. As tu essayé ?

Non, comment c'est possible d'être aussi bête ?? Je vais testé ça rapidement et je vous tiens au jus

Il y a 21 heures, .Shad. a dit :

Tu es en double NAT ?

Pas sur de bien comprendre, j'ai une redirection du port 1194 dans mon router qui est fait sur mon NAS, réseau basic avec un router basic de mon FAI.

[oracle7]

@Dark-Spirit

Bonjour,

Tout bêtement, puisque tu as refait toute la configuration, n'aurais-tu pas omis par hasard d'ouvrir/autoriser le port 1194 dans le pare-feu du NAS ?

Cordialement

oracle7😉

[ACDC]

Il y a 8 heures, oracle7 a dit :

@Dark-Spirit

Bonjour,

Tout bêtement, puisque tu as refait toute la configuration, n'aurais-tu pas omis par hasard d'ouvrir/autoriser le port 1194 dans le pare-feu du NAS ?

Cordialement

oracle7😉

Le port est bien autorisé dans le par-feu.

 

J'ai résolu mon soucis, en redémarrant le NAS, tout simplement, honte à moi de ne pas y avoir pensé et merci à vous tous de m'avoir aidé ! 🙂

[oracle7]

@Dark-Spirit

Bonjour,

C'est super !😀 Il n'y a pas de honte à avoir, on ne peux pas toujours penser à tout, on reste des humains quelque part ... 🤪

Cordialement

oracle7😉

[MilesTEG1]

Bonjour,

Ayant récemment acquis un routeur RT2600ac de synology, j'ai mis en place le serveur VPN sur le routeur, avec le paquet VPN Plus Server, après avoir désactivé les redirections des ports pour le VPN du NAS.

La connexion en L2TP fonctionne très bien, j'accède à toutes mes ressources locale via une connexion 4G : je peux accéder au NAS, aux autres adresses IP de mon LAN, et même à celle de la Livebox4 (le routeur est derrière la livebox4 en DMZ, tout fonctionne parfaitement, même le décodeur TV 😉 )

J'ai tenté une connexion OpenVPN, qui fonction à cela près que je ne peux pas accéder aux ressources du LAN, malgré le réglages adéquat :

Et les règles dans le parefeu du routeur : 

et du NAS :

 

Du coup je ne comprends pas pourquoi ça ne fonctionne pas...
Est-ce que quelqu'un ici saurait m'aider ?

Et accessoirement, pour les autres modes de connexion VPN offerts par ce paquet, quelqu'un en connait les avantages/inconvénients ?

 

Merci d'avance 🙂 

[oracle7]

@MilesTEG1

Bonjour,

Plusieurs questions :

1. Le port 1194 pour OpenVPN est-il bien ouvert /autorisé dans le pare-feu du routeur ?
    
2. Dans la configuration d'OpenVPN (copie d'écran) ton DNS serveur est sur la LiveBox (192.168.1.1) pourquoi c'est pas le routeur (192.168.2.1) ?
    
3. Je ne comprends pas trop les règles de pare-feu que tu as mises dans le pare-feu sur le routeur et le NAS. Dans le routeur je comprends que tu n'autorises en source que les @IP issues du sous-réseau local 192.168.10.0 (alors que ce sous-réseau est celui du VPN  (donc la destination) lorsque la connexion VPN est établie depuis l'extérieur ?
   Chez moi mon objet OpenVPN est sur le sous-réseau 10.8.0.0 (mais peu importe l'@), je n'ai jamais eut besoin de mettre de règles dans le pare-feu du routeur sur ce sous-réseau pour atteindre mon réseau local. D'où mon incompréhension sur ton action.
    
4. Sur le NAS pour moi c'est inutile, il n'y a rien à mettre, c'est un périphérique comme un autre vis à vis du VPN.

Cordialement

oracle7😉

 

Modifié le 5 juillet 2021 par oracle7

[MilesTEG1]

@oracle7 
1. Normalement oui avec cette règle :

Je précise que la connexion au VPN se fait bien, mais je n'ai pas accès à internet ni aux ressources LAN.
J'ai fait ce qui est écrit dans le fichier texte fourni avec le .ovpn : tout le traffic doit passer par le VPN et la dernière ligne.
 

2. Je ne sais pas, je vais modifier, et je reviens te dire... Bon bah ça ne fonctionne pas mieux.

3. J'ai pas tout compris sur comment fonctionne le bazar. Je pensais que le réseau du VPN était le 192.168.10.x, et que je devais autoriser sur le routeur les connexions provenant de ce réseau.
Dans le parefeu, j'ai désactivé ma règle qui du coup ne sert à rien.
Dans la règle que je t'ai montré au point 1, j'ai ceci en port autorisé (c'est ce qui a été créé automatiquement, j'ai juste désactivé le port du PPTP.) :

4. Ok, je pensais que ça pourrait aider, mais come ça n'a pas aidé, ça ne sert à rien 😉

Je précise que me connecter en L2TP fonctionne parfaitement 😉 Je voulais essayer un autre mode de connexion 😉

5. Que penses-tu des autres modes VPN ? 

merci de ton temps et de ton aide 😇

[oracle7]

@MilesTEG1

Bonjour,

A titre d'exemple mon fichier .ovpn (pour mémoire sur VPNPlusServeur, j'ai un objet OpenVPN sur le sous-réseau 10.8.0.0) :

dev tun
tls-client
remote srm.ndd.tld 1194
redirect-gateway def1
#dhcp-option DNS DNS_IP_ADDRESS
dhcp-option DNS 10.8.0.1
pull
proto udp
script-security 2
reneg-sec 0
auth SHA512
cipher AES-256-CBC
auth-user-pass
remote-cert-tls server
auth-nocache
key-direction 1
comp-lzo
explicit-exit-notify
<ca>

-----BEGIN CERTIFICATE-----
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
xxxxxxxxxxxxxxxxxx
-----END CERTIFICATE-----
</ca>

 

Le 20/12/2020 à 14:13, MilesTEG1 a dit :

5. Que penses-tu des autres modes VPN ? 

En fait je n'utilise OpenVPN qu'en "secours".

Pour le VPN principal, j'utilise Synology VPN et SSL VPN. C'est à mon sens le plus simple à configurer et à utiliser. En plus il y a une application DS pour les clients sur téléphones et tablettes.

 

Cordialement

oracle7😉

Modifié le 5 juillet 2021 par oracle7

[MilesTEG1]

@oracle7 Tiens voilà mon fichier .ovpn :
 

dev tun
tls-client

remote srm.ndd.tld 1194

# The "float" tells OpenVPN to accept authenticated packets from any address,
# not only the address which was specified in the --remote option.
# This is useful when you are connecting to a peer which holds a dynamic address
# such as a dial-in user or DHCP client.
# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it's
# default network gateway through the VPN.
# It means the VPN connection will firstly connect to the VPN Server
# and then to the internet.
# (Please refer to the manual of OpenVPN for more information.)

redirect-gateway def1

# dhcp-option DNS: To set primary domain name server address.
# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

# If you want to connect by Server's IPv6 address, you should use
# "proto udp6" in UDP mode or "proto tcp6-client" in TCP mode
proto udp

script-security 2


reneg-sec 0

auth SHA512

cipher AES-256-CBC

auth-user-pass


key-direction 1

comp-lzo
explicit-exit-notify
<ca>

-----BEGIN CERTIFICATE-----
BLABLA
-----END CERTIFICATE-----
</ca>

<tls-auth>

#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
BLABLA
-----END OpenVPN Static key V1-----
</tls-auth>

# Uniquement pour iOS
setenv CLIENT_CERT 0

Les deux dernières lignes sont pour iOS, je viens de tenter sur mon macbook, j'ai le même soucis : je peux me connecter au serveur VPN, mais pas d'internet, ni d'accès au IP du LAN...

 

Je teste le SSL VPN pour voir.
Je n'ai juste pas créé de DDNS dans SRM, puisque j'en ai déjà un sur le NAS.

[oracle7]

@MilesTEG1

Bonjour,

Ton fichier .ovpn semble correct. J'avais juste rajouté la ligne DNS pour désigner le NAS comme Serveur DNS lorsque sous VPN (dhcp-option DNS 10.8.0.1).

A tout hasard, as-tu activé les passerelles multiples dans "Panneau de configuration / Réseau / Général / Paramètres avancés" ?

Cordialement

oracle7😉

 

[MilesTEG1]

@oracle7 Du coup je ne sais pas pourquoi ça ne fonctionne pas 😕 

 

Sinon j'essaye avec le SSL VPN, mais je bute sur cette erreur :

Le client macOS est bien installé :

Décidément...

[oracle7]

@MilesTEG1

Bonjour,

Pour SSL VPN, tu as bien pris un port différent de 443 qui est proposé par défaut ?

Sinon, reboot le routeur et le client, souvent c'est nécessaire après l'installation d'un VPN.

Cordialement

oracle7😉

 

[MilesTEG1]

il y a 1 minute, oracle7 a dit :

Pour SSL VPN, tu as bien pris un port différent de 443 qui est proposé par défaut ?

@oracle7 oui j'ai mis un autre port ^^
J'ai redémarré le mac mais pas le routeur... Je peux tenter ça.

[MilesTEG1]

@oracle7 : J'ai finalement mis un DynHost OVH sur le routeur, et j'ai généré un certificat LE pour lui : je précise pour ceux qui liraient ceci et qui auraient le soucis d'une erreur de LE, il faut désactiver la redirection de port 443 et 80 vers le NAS 😅 car même si j'avais mis des redirections dans le reverse-proxy du nas pour rediriger l'URL en 443 et 80 vers le routeur, j'avais toujours une erreur...

Une fois le certificat fait, faut réactiver les redirections de ports vers le NAS. 
Note : faudra les désactiver pour renouveler le certificat dans un peu moins de 90 jours.

Sinon pour le SSL VPN : ça fonctionne super bien depuis l'iPhone, mais avec le mac j'ai toujours la même erreur... 😕
Je ne parle pas d'OpenVPN qui ne fonctionne pas du tout... ormis se connecter au serveur VPN...

[oracle7]

@MilesTEG1

il y a 2 minutes, MilesTEG1 a dit :

J'ai finalement mis un DynHost OVH sur le routeur, et j'ai généré un certificat LE pour lui

Tu sais qu'il y a encore plus simple.

Sur le routeur tu mets le même dynHOST que celui du NAS et comme cela lorsque ton certificat LE est automatiquement renouvelé sur le NAS, tu l'exportes et réimportes directement manuellement sur le routeur. Et hop un seul certificat pour tout le monde et pas de manipulations à faire sur les règles du reverse proxy.

Elle est pas belle, la vie  ... 🤪

Juste un détail qui a son importance, dans le fichier "ca.cer" (certificat intermédiaire), avant de l'importer, il faut supprimer le retour à la ligne situé en première ligne du fichier sinon l'importation plante.

Pour le client OpenVPN, désinstalles le et réinstalles le, il est assez capricieux dans son genre. Mais une fois que c'est fait c'est bon.

Pour le Mac je ne te serais pas d'un grand secours, je n'en ai pas mais peut-être que @maxou56 pourra t'aider sur ce coup là, je sais qu'il connait parfaitement ce petit monde.

Cordialement

oracle7😉