Freebox OS (VPN): configurer une connexion en « IKEv2 »

[chlowden (Auteur du topic)]

Bonjour,

J'essaye de me connecter en VPN sur un Freebox en IKEv2 sur machine en Rocky / Centos Linux avec GNOME sans succes. En Mac je n'ai pas de problème. Est ce que quelqu'un a réussis à le faire avec GNOME ?

Merci

*** Modération *** Titre édité *** Modération ***

Curtis Newton

[Stéphane_ping]

J'utilise le VPN de notre Freebox avec le protocole IPsec IKEv2, avec l'appli StrongSwan.

Tout fonctionne très bien.

Attention toutefois avec le protocole IPsec IKEv2 : les ports ne sont pas paramétrables :
Port IKE : 500
Port NAT : 4500

Si tu es passé en IP partagé, tu as des chances de ne pas avoir accès à cette plage de ports.
C'est le problème que j'avais eu...
Je voulais absolument garder ce protocole qui est le meilleur pour une connexion mobile car il n'y a pas de déconnexion lorsque tu passes du Wifi au réseau mobile et inversement.

Problème résolu en demandant une IP "Full Stack" sur l'interface de ton compte Free.

[chlowden (Auteur du topic)]

Merci beaucoup pour ces infos. Mon problème semble un module mais je ne suis pas sure. Est ce que vous avez une idée ?

[Stéphane_ping]

Non, mais en utilisant l'appli StrongSwan tu peux t'adresser au support, ils répondent assez vite.

[chlowden (Auteur du topic)]

Merci beaucoup pour vos conseil.
Pour info, il semble que les OS basé sur Red Hat sont assez réstrictive. Donc ils n'installent pas un module nécessaire:


[/code]sudo dnf install tpm2-abrmd-devel
[/code]

Plus il faut suivre les consignes en gras dans l'erreur


[/code]SELinux is preventing /usr/sbin/charon-systemd from getattr access on the chr_file /dev/tpmrm0. For complete SELinux messages run: sealert -l d7b4ab82-8db2-44d0-ae2e-7a4c61fda00a
Jul 23 07:11:57 lowrocky setroubleshoot[109670]: SELinux is preventing /usr/sbin/charon-systemd from getattr access on the chr_file /dev/tpmrm0.

***** Plugin catchall (100. confidence) suggests **************************

If you believe that charon-systemd should be allowed getattr access on the tpmrm0 chr_file by default.
Then you should report this as a bug.
You can generate a local policy module To allow this access.
Do
allow this access for now by executing:
# ausearch -c 'charon-systemd' --raw | audit2allow -M my-charonsystemd
# semodule -X 300 -i my-charonsystemd.pp

[/code]

[chlowden (Auteur du topic)]

Maintenant, j'ai un probleme avec les certificats. Est ce que vous avez un exemple d'un fichier /etc/ipsec.conf qui marche? La mienne me semble un peu léger. Merci d'avance

virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v4:25.0.0.0/8,%v4:100.64.0.0/10,%v$

# if it exists, include system wide crypto-policy defaults
include /etc/crypto-policies/back-ends/libreswan.config

# It is best To add your IPsec connexions as separate files
# in /etc/ipsec.d/
# include /etc/ipsec.d/*.conf

config setup
conn L2TP-PSK
authby=secret
auto=add
keyingtries=3

dpddelay=30
dpdtimeout=120
dpdaction=clear
rekey=Yes
ikelifetime=8h

keylife=1h
type=transport

# Replace IP address with your current default gateway IP

left= 192.168.0.254

auto=add
keyingtries=3
dpddelay=30
dpdtimeout=120
dpdaction=clear

rekey=Yes
ikelifetime=8h
keylife=1h
type=transport

# Replace IP address with your current default gateway IP
left= 192.168.0.254
leftprotoport=17/1701

# Replace IP address with your VPN Server's IP
right=192.206.48.98
rightprotoport=17/1701

[Stéphane_ping]

Pour simplifier, voici les étapes à respecter pour que ça fonctionne très bien :

- Configurer le serveur VPN de la Freebox. Plutôt que d'utiliser le n° d'IP, j'ai créé un nom de domaine, ce n'est pas très compliqué, suivre le pas à pas de la Freebox. Éviter les caractères spéciaux et les noms à rallonge pour le certificat.

- Aller dans le paramétrage du serveur VPN pour créer un utilisateur avec un mot de passe : attention au login, pas d'accent, pas d'espace, uniquement des caractères alphanumériques. Le mot de passe avec minimum 8 caractères. Sélectionner IP dynamique. C'est ce login et MDP qui serviront à se connecter plus tard.

- Configurer le protocole IPsec IKEv2 et l'activer (très simple).

- Dans StrongSwan, ajouter un profil VPN :

Serveur : adresse IP de la Freebox ou mieux le nom de domaine (nomdedomaine.Freebox OS.fr)
VPN type : IKEv2 EAP
Username : celui déclaré dans la Freebox
Password : idem
Profil name : Freebox VPN (par exemple)

Pas besoin normalement d'aller voir les paramètres avancés. Sauvegarder le profil. Ensuite, dans StrongSwan, il suffit de cliquer sur le profil pour se connecter (passe en vert).

Il faut déjà faire l'essai en étant connecté à ton Wifi. Ensuite, couper le Wifi sur ton Smartphone et faire l'essai en 4G/5G... et voilà !

Simple comme Bonjour !

Ensuite libre à toi de paramétrer une appli (CX Explorateur par exemple, mais il y en a plein d'autres) pour accéder à ton réseau Wifi...et tout ce dont tu as accès en Wifi tu l'auras en mobilité puisque le serveur VPN crée un tunnel crypte entre ta Freebox et ton Smartphone.

Enjoy !

[Stéphane_ping]

@chlowden
En suivant la procédure juste au-dessus, as-tu vu une amélioration ?

[chlowden (Auteur du topic)]

Pour être honete, j'avais fait tout ce que vous avez écris déjà ... mais je n'ai pas le bon résultat en Linux. Ca marche en mac donc je ne vois pas pourquoi pas en Strongswan. Voila des images de ma config...

http://80.211.238.222/Screenshot%20from%202022-07-24%2016-02-17.png

http://80.211.238.222/Screenshot%20from%202022-07-24%2016-03-02.png

Merci beaucoup !

[Stéphane_ping]

Ahhhh, alors si tu es avec Linux... peut-être faut-il activer l'IPv6 ?

Dans les paramètres avancés de StrongSwan, il y a l'option à cocher... A essayer...

Je viens de vérifier à nouveau, car mon opérateur a fait quelques modifications apparemment : le flux entre StrongSwan et ta Freebox passe par le réseau mobile, et selon les réseaux, certaines options sont différentes vraisemblablement...

J'ai du désactiver l'option "use IPv6 transport adresses" car une fois connecté, je n'accédais plus à mon réseau...

C'est de nouveau opérationnel !

*** Modération *** Posts fusionnés *** Modération ***

Curtis Newton