Boz37 (Auteur du topic), Posté le: Mar 27 Aoû 2013, 11:25 Sujet du message: Connexion VPN sortante impossible depuis peu
Connexion VPN sortante impossible depuis peu9156985215
Bonjour,
Pour mon travail j'ai besoin d'établir des connexion VPN depuis mon PC via un client VPN des plus standard vers un serveur VPN distant chez mes clients.
Tout fonctionnait sans problèmes et sans rien modifier de ma Freebox révolution jusque là mais depuis peu (1 ou 2 semaines je pense) cela ne fonctionne plus, impossible de contacter le serveur distant.
Peut être qu'en ouvrant certains ports SORTANTS je pourrais résoudre le problème mais il n'est pas possible d faire ça avec la Freebox révolution qui ne permet l'ouverture que de port ENTRANTS.
Je précise que je ne suis pas le seul car j'ai 2 autres personnes dans mon entourage dans le même cas depuis peu aussi.
grecbenoit, Posté le: Mar 27 Aoû 2013, 12:53 Sujet du message:
8446578637
Bonjour,
Est ce que tu as connaissance des ports qu'utilise le client de ton VPN ?
sinon,il faut que la réponse au ping soit activé sur le Server.
essaye de faire un test en passant l'IP de ton VPN en DMZ sachant que le DMZ est moins sécurisant.
As tu également regardé coté Firewall, peut être une MAJ ?
Arrives tu a te connecter au site Internet du VPN par le navigateur ? car il faut peut être forcer les DNS dans le client VPN ou utiliser d'autre DNS au niveau de la carte réseau (ceux de Google par exemple 8.8.8.8 et 8.8.4.4).
Donc dans l'ordre et après avoir vérifié que la réponse au ping est activé :
- Fait un test en mettant les DNS de Google ou autres ?
- Fait un test en désactivant le firewall
- Fait un test en mettant l'IP en DMZ
Dernière édition par grecbenoit le Mar 27 Aoû 2013, 13:11; édité 1 fois
Boz37 (Auteur du topic), Posté le: Mar 27 Aoû 2013, 13:10 Sujet du message:
9156985215
Bonjour,
Merci pour ta réponse mais le problème ne vient pas du coté serveur car je ne peux plus me connecter sur aucun serveur VPN.
Ce problème n'est que depuis une connexion Free (pas seulement la mienne).
De plus c'est pour faire du VPN en sortant d'une connexion Free pas pour y entrer donc le DMZ ne pourra pas m'aider.
J'ai posté le même message sur un autre forum destiné à Free et une autre personne a le même problème que moi et mes connaissance depuis le 18 aout et une autre ne peux plus faire de radius, preuve que Free a changé quelquechose concernant les connexion sécurisés
grecbenoit, Posté le: Mar 27 Aoû 2013, 13:17 Sujet du message:
8446578637
Boz37 a écrit:
Bonjour,
De plus c'est pour faire du VPN en sortant d'une connexion Free pas pour y entrer donc le DMZ ne pourra pas m'aider.
Salutations.
Je me suis mal exprimé, je pense que ça peux fonctionner si c'est une histoire de port.
donc il faut mettre l'IP de ton PC sur le quel tourne le client VPN en DMZ
c'est ce que je voulais dire précédemment.
ghisb74fr, Posté le: Mar 27 Aoû 2013, 14:10 Sujet du message:
6763061478
grecbenoit a écrit:
il faut mettre l'IP de ton PC sur le quel tourne le client VPN en DMZ
c'est ce que je voulais dire précédemment.
A mon avis, ça ne marchera pas mieux comme ça, et en plus c'est un gros risque de hack du poste client, car toutes les requêtes arrivant sur la Freebox arriveront directement sur le client.
Ce qui est sûr c'est qu'en thérorie (hors modifications récentes de Free), il n'y a pas de restriction de port en sortie.
La connexion étant initiée par le client, il n'y a rien à changer sur les ports entrant de la Freebox.
Sur le poste client, n'y aurait t'il pas un parefeu (Windows, ou autre) ?
Depuis le poste client, est ce qu'un "ping" renvoie quelque chose (un client VPN va généralement pinger le serveur avant de tenter de se connecter).
grecbenoit, Posté le: Mar 27 Aoû 2013, 14:28 Sujet du message:
8446578637
ghisb74fr a écrit:
grecbenoit a écrit:
il faut mettre l'IP de ton PC sur le quel tourne le client VPN en DMZ
c'est ce que je voulais dire précédemment.
A mon avis, ça ne marchera pas mieux comme ça, et en plus c'est un gros risque de hack du poste client, car toutes les requêtes arrivant sur la Freebox arriveront directement sur le client.
Ce qui est sûr c'est qu'en thérorie (hors modifications récentes de Free), il n'y a pas de restriction de port en sortie.
La connexion étant initiée par le client, il n'y a rien à changer sur les ports entrant de la Freebox.
Sur le poste client, n'y aurait t'il pas un parefeu (Windows, ou autre) ?
Depuis le poste client, est ce qu'un "ping" renvoie quelque chose (un client VPN va généralement pinger le serveur avant de tenter de se connecter).
Je suis d'accord avec toi concernant la sécurité du DMZ
sinon j'avais également pensé à un soucis de DNS, tu pense que ça peux venir de ça ?
grecbenoit, Posté le: Mar 27 Aoû 2013, 15:10 Sujet du message:
8446578637
noooop a écrit:
Une société de support (qui se charge du VPN pour ma société) a essayé de débugger le problème, voici le message qui semble expliquer le problème :
VPN negotiation fails on MM Packet 4 because the IKE packet is too big due To multiple NAT-Discovery entries (payloads).
On utilise CheckPoint comme firewall/VPN.
La solution serait de mettre à jour vers la dernière version du logiciel.
Je ne sais où on pourrait s'adresser du côté de chez Free pour résoudre ce problème...
Bonjour,
De mémoire, j'avais lus il n'a pas longtemps sur des forum que le faite d'ouvrir les ports 500 et 4500 en UDP permet de résoudre ce problème.
Sinon est ce que le client VPN est à jour ?
Si le client fait des ouverture automatique de port, il faut que le UPnP IGD soit activé.
Sinon Free n'a pas déployé de MAJ depuis un moment, alors pourquoi ça ne marche plus ?
Dernière édition par grecbenoit le Mar 27 Aoû 2013, 15:13; édité 1 fois
noooop, Posté le: Mar 27 Aoû 2013, 15:12 Sujet du message:
5324048041
grecbenoit a écrit:
noooop a écrit:
Une société de support (qui se charge du VPN pour ma société) a essayé de débugger le problème, voici le message qui semble expliquer le problème :
VPN negotiation fails on MM Packet 4 because the IKE packet is too big due To multiple NAT-Discovery entries (payloads).
On utilise CheckPoint comme firewall/VPN.
La solution serait de mettre à jour vers la dernière version du logiciel.
Je ne sais où on pourrait s'adresser du côté de chez Free pour résoudre ce problème...
Bonjour,
De mémoire, j'avais lus il n'a pas longtemps sur des forum que le faite d'ouvrir les ports 500 et 4500 en UDP permet de résoudre ce problème.
noooop, Posté le: Mar 27 Aoû 2013, 15:31 Sujet du message:
5324048041
grecbenoit a écrit:
noooop a écrit:
Tu te souviens sur quel forum ?
Je testerai dès que possible...
Merci !
Je vais essayé de te le retrouver le lien dans mon historique de navigation.
sinon, ton client VPN est-il à jour, car à mon avis ça peux venir de ça.
A priori (d'après la société qui fait le support) ça serait plutôt le serveur VPN qu'il faudrait mettre à jour (le client est le UP To date pour la version du serveur).
Boz37 (Auteur du topic), Posté le: Mar 27 Aoû 2013, 15:46 Sujet du message:
9156985215
Bonjour,
J'utilise un client natif Microsoft pour me connecter sur des VPN Microsoft et bien que pour moi l'ouverture de port entrant n'a rien à voir dans la résolution possible du problème, j'ai quand même testé les 3 ports que ma connexion VPN utilise à savoir:
Inbound UDP destination port = 500 (0x1F4)
Allows Internet Key Exchange (IKE) trafic To the VPN Server.
Inbound UDP destination port = 4500 (0x1194)
Allows IPsec NAT Traversal (NAT-T) trafic To the VPN Server.
Inbound IP Protocol ID = 50 (0x32)
Allows IPsec Encapsulating Security Payload (ESP) trafic To the VPN Server.
Comme je le pensais, l'ouverture de ports entrants n'a rien changé puisque j'essaye d'établir une connexion sortante...
Si au moins on pouvait agir sur les ports sortants, je ferai ceci et à coup sûr le problème serait résolu car je suis persuadé que Free a bloqué ces ports... :
Outbound UDP source port = 500 (0x1F4)
Allows IKE trafic from the VPN Server.
Outbound UDP source port = 4500 (0x1194)
Allows IPsec NAT-T trafic from the VPN Server.
Outbound IP Protocol ID = 50 (0x32)
Allows IPsec ESP trafic from the VPN Server
Ponzy33, Posté le: Mar 27 Aoû 2013, 17:21 Sujet du message:
5393048676
Je viens de faire un essai sur un VPN SSTP microsoft aucun soucis.
Tu as regardé si effectivement une mise à jour de ton PC ne poserais pas de soucis.
Ensuite aucun port en sorti n'est bloqué sur la Freebox (comme sur aucune box) à ma connaissance histoire de ne pas paniqué les néophytes avec des termes techniques pouvant choquer voir terroriser.
Boz37 (Auteur du topic), Posté le: Mar 27 Aoû 2013, 17:41 Sujet du message:
9156985215
Bonjour,
- J'utilise de base les DNS de Googles donc comme ça fonctionnait avant ça devrait fonctionner maintenant mais j'ai aussi testé sans les DNS Google (donc les DNS délivrés par Free) et le problème était pareil.
- Comme déjà précisé, je ne suis pas le seul à avoir le souci, sur d'autres forums des personnes se plaignent.
J'ai moi même constaté le problème chez plusieurs personnes et avec différents Windows ayant la même connexion VPN vers les mêmes serveurs VPN.
EDIT: Tous les serveurs VPN Microsoft sur lesquels j'ai des problèmes sont en L2TP donc si ça fonctionne en SSTP, c'est une bonne info.
noooop, Posté le: Mer 28 Aoû 2013, 10:39 Sujet du message:
5324048041
Boz37 : Tu peux faire un traceroute (tracert <IP>) vers le serveur VPN et me dire combien tu obtiens de ligne avant d'atteindre la destination ?
En ce qui me concerne, j'habite à côté de Tours, et je me connecte à un serveur VPN en région parisienne.
Le traceroute me fait passer par : Tours, Orléans, Clermont, StEtienne, Lyon, Marseille, p11 (?), Bézon puis Aubervilliers où on arrive au réseau de France Telecom auquel est connecté le serveur VPN, en tout 20 étapes pour atteindre la destination :
tracert XX.XXX.XXX.XX
Tracing route To XX-XXX.XXX-XX.static-IP.oleane.fr [XX.XXX.XXX.XX]
over a maximum of 30 hops:
1 1 ms <1 ms <1 ms Freebox [192.168.123.254]
2 23 ms 24 ms 23 ms YY.YYY.YYY.254
3 24 ms * 23 ms tours-6k-1.routers.proxad.net [213.228.19.62]
4 26 ms 26 ms 26 ms orleans-6k-1-po2.intf.routers.proxad.net [212.27.50.73]
5 30 ms 27 ms 27 ms bourges-6k-1-po1.intf.routers.proxad.net [212.27.57.66]
6 29 ms 28 ms 29 ms clermont-6k-1-po100.intf.routers.proxad.net [212.27.56.126]
7 30 ms 31 ms 30 ms stetienne-6k-1-po1.intf.routers.proxad.net [212.27.58.62]
8 57 ms 35 ms 142 ms lyon-crs16-1-be1005.intf.routers.proxad.net [212.27.50.181]
9 38 ms 50 ms 38 ms marseille-6k-1-po50.intf.routers.proxad.net [212.27.50.101]
10 48 ms 38 ms 38 ms p11-crs16-1-be1102.intf.routers.proxad.net [78.254.249.89]
11 43 ms 37 ms 38 ms bzn-crs16-2-be2000.intf.routers.proxad.net [78.254.250.125]
12 38 ms 38 ms 37 ms bzn-crs16-1-be1106.intf.routers.proxad.net [212.27.59.101]
13 47 ms 106 ms 36 ms aub-6k-1-po20.intf.routers.proxad.net [212.27.51.82]
14 37 ms 37 ms 37 ms ae15-0.noaub101.Aubervilliers.francetelecom.net[193.252.161.97]
15 40 ms 39 ms 39 ms bundle-ether46.ntaub201.Aubervilliers.francetelecom.net [193.251.126.33]
16 38 ms 37 ms 37 ms ae43-0.ncidf201.Aubervilliers.francetelecom.net[193.252.98.146]
17 37 ms 38 ms 37 ms ae40-0.ncidf202.Paris.francetelecom.net [193.252.98.166]
18 37 ms 38 ms 36 ms te7-4.nmmsr702.Paris.francetelecom.net [193.253.81.21]
19 41 ms 38 ms 37 ms WW.WWW.WWW.WW
20 105 ms 47 ms 128 ms ZZ-ZZZ.ZZZ-ZZ.static-IP.oleane.fr [ZZ.ZZZ.ZZZ.ZZ]
Pourtant sur la carte du réseau de Free il y a une connexion entre Orléans et Bézon (direct) ce qui permettrait une économie de 7 étapes.
Quand je fais la même chose (même destination) en utilisant mon iPhone en modem chez Free Mobile (d'ailleurs le VPN fonctionne de cette manière), voici le traceroute :
tracert XX.XXX.XXX.XX
Tracing route To XX-XXX.XXX-XX.static-IP.oleane.fr [XX.XXX.XXX.XX]
over a maximum of 30 hops:
1 1 ms <1 ms <1 ms QQQ.QQ.QQ.Q
2 68 ms 68 ms 76 ms 10.255.255.QQ
3 125 ms 127 ms 95 ms bzn-mx9-1-tpub.intf.routers.proxad.net [78.254.249.210]
4 120 ms 126 ms 88 ms bzn-9k-2-te0-3-0-6.mob.intf.routers.proxad.net [78.254.249.201]
5 114 ms 78 ms 78 ms bzn-crs16-1-be1516.intf.routers.proxad.net [212.27.51.201]
6 98 ms 88 ms 76 ms aub-6k-1-po20.intf.routers.proxad.net [212.27.51.82]
7 79 ms 78 ms 216 ms ae15-0.noaub101.Aubervilliers.francetelecom.net[193.252.161.97]
8 202 ms 74 ms 78 ms bundle-ether46.ntaub201.Aubervilliers.francetelecom.net [193.251.126.33]
9 99 ms 75 ms 88 ms ae43-0.ncidf201.Aubervilliers.francetelecom.net[193.252.98.146]
10 100 ms 76 ms 77 ms ae40-0.ncidf202.Paris.francetelecom.net [193.252.98.166]
11 78 ms 88 ms 78 ms te4-1.nmmsr702.Paris.francetelecom.net [193.253.81.125]
12 87 ms 88 ms 85 ms WW.WWW.WWW.WW
13 102 ms 128 ms 96 ms ZZ-ZZZ.ZZZ-ZZ.static-IP.oleane.fr [ZZ.ZZZ.ZZZ.ZZ]
Boz37 (Auteur du topic), Posté le: Mer 28 Aoû 2013, 13:47 Sujet du message:
9156985215
Bonjour,
Chez moi (en région parisienne) pour mon taf j'ai 2 lignes Internet chez 2 FAI différents pour éviter de me retrouver sans Internet si l'un des 2 a un problème.
Les VPN sur lesquels je me connecte le plus souvent sont en Allemagne mais j'ai le même problème avec ceux en France qui tous en L2TP mais que je ne peux pas changer.
Le trace route depuis ma box SFR:
1 <1 ms <1 ms <1 ms 192.168.10.1
2 6 ms 6 ms 6 ms xxx.xxx.xxx.xxx.rev.SFR.net [xxx.xxx.xxxxxx]
3 6 ms 6 ms 6 ms 133.67.24.109.rev.SFR.net [109.24.67.133]
4 7 ms 8 ms 8 ms V4049.bdx1-co-1.n9uf.net [62.39.148.182]
5 6 ms 6 ms 6 ms prs-b4-geth7-2-0.telia.net [213.248.98.61]
6 6 ms 6 ms 7 ms prs-bb2-link.telia.net [213.155.135.198]
7 6 ms 7 ms 6 ms prs-b7-link.telia.net [213.155.132.199]
8 7 ms 7 ms 7 ms dtag-ic-134346-prs-b7.c.telia.net [213.248.96.210]
9 11 ms 11 ms 11 ms w-eb1-i.W.DE.NET.DTAG.DE [80.148.194.129]
10 * * * Délai d'attente de la demande dépassé.
11 * * * Délai d'attente de la demande dépassé.
12 * * 11 ms xxx.xxx.xxx.xxx
Le trace route depuis ma box Free:
1 <1 ms <1 ms <1 ms Freebox [192.168.1.254]
2 5 ms 5 ms 5 ms xxx.xxx.xxx.xxx
3 * * 5 ms th2-crs16-1-be1004.intf.routers.proxad.net [212.27.57.10]
4 5 ms 6 ms 5 ms th2-9k-1-be1000.intf.routers.proxad.net [212.27.59.206]
5 5 ms 5 ms 5 ms ix-15-547.tcore1.PVU-Paris.as6453.net [195.219.241.173]
6 6 ms 5 ms 6 ms 195.219.241.94
7 9 ms 10 ms 9 ms w-eb1-i.W.DE.NET.DTAG.DE [80.148.194.133]
8 9 ms 9 ms 9 ms 0113519-1-1-gw.W.DE.NET.DTAG.DE [80.148.194.16]
9 9 ms 9 ms 9 ms xxx.xxx.xxx.xxx
Vous pouvez poster de nouveaux sujets dans ce forum Vous pouvez répondre aux sujets dans ce forum Vous pouvez éditer vos messages dans ce forum Vous pouvez supprimer vos messages dans ce forum Vous ne pouvez pas voter dans les sondages de ce forum
FAQ
Rechercher
Liste des Membres
Groupes d'utilisateurs
S'enregistrer
