Probleme tunnel net-to-net

[devilucard]

Suite au verrouillage de l'ancien post, je viens pousser mon coup de gueule :

Encore une fois vous répondez correctement au stéréotype d'un forum avec la bande de" monsieur je sais tout et je n'explique rien aux autre, je suis juste là pour rigoler des membres du forums", car il ne sont pas des bibles sur pattes

On demande de l'aide, on se fait envoyez chier comme un con, sa donne franchement envi d'apprendre ! Etant encore scolarisé, j'ai quand même le droit de ne pas tout savoir sur le bout des doigt non ?

Pourtant l'adresse du forum laisse penser l'inverse, http://entraide.ixus.net ...
j'ouvre mon dictionnaire, ENTRAIDE : (nom féminin), Aide mutuelle.
synonymes : secours, renfort, aide, appui, assistance, protection, soutien, réconfort, rescousse, allocation, subside, subvention, aumône, obole, charité, don, bienfaisance, solidarité, camaraderie, fraternité, dépannage.

Bref, amusez vous bien à vous foutre de la gueule des gens, vous irez très loin ainsi .

[Franck78]

c'est pour qu'il ne parte pas en troll

Chacun vas y rajouter son petit laiüs sur 'il faut' 'il faut pas' ! La preuve tu démarres sur les chapeaux de roues après deux remarques
(sans avoir l'idée de te dire que tu es quand même très nul sur ce coup là)

Tu as corrigé, compris (j'espère) alors maintenant tu démarres ton vrai problème (enfin si tu en as un).

Maintenant si tu veux laisser en ligne tes exploits je laisse le topic visible si tu veux. Décide...

[jdh]

Phenixus n'a ABSOLUMENT pas vocation à remplacer la formation initiale minimale !

La mise en oeuvre d'un firewall présuppose un minimum de connaissances !
Comme la différence physique et logique entre 2 réseaux (de couleur différente).
(S'il y a 2 couleurs, c'est qu'il y a une différence, non ? Ca ne parait pas évident ?)

Dans le fil contesté, ces connaissances minimales et de base ne sont pas présentes, de toute évidence.
Il ne revient pas à nous d'en être blamé !

[devilucard]

Je ne blâme pas du tout. un petit commentaire du genre "RED et GREEN doivent être sur 2 segments réseaux différents" était largement suffisant je pense .
Mais non, on m'a humilier sur la place publique ce qui a fait un fil très long pour rien. Bref, beaucoup de touches de clavier pressée pour rien
Ceci dis j'ai eu la réponse a la question et je vous en remercie tout de même ( je suis sans rancune).

Je continue donc le fil du problème ici. J'ai maintenant mes 2 machines ipcop avec 2 segments reseaux differents par machine
IPCOP LOCAL : 192.168.16.118 pour RED, 192.168.21.1 pour GREEN
PCOP DISTANT : 192.168.0.150 pour RED, 192.168.20.1 pour GREEN

je forward ce qui arrive de l'exterieur de 500 et 4500 udp vers les RED de mes ipcops. Voici le log ( le message en orange semble poser un problème)

16:04:18 ipsec_setup Stopping Openswan IPsec...
16:04:18 pluto[2211] shutting down
16:04:18 pluto[2211] forgetting secrets
16:04:18 pluto[2211] "petiteenfance": deleting connection
16:04:18 pluto[2211] "petiteenfance" #1: deleting state (STATE_MAIN_I1)
16:04:18 ipsec__plutorun 104 "petiteenfance" #1: STATE_MAIN_I1: initiate
16:04:18 ipsec__plutorun ...could not start conn "petiteenfance"
16:04:18 pluto[2211] shutting down interface ipsec0/eth1 192.168.16.118
16:04:18 pluto[2211] shutting down interface ipsec0/eth1 192.168.16.118
16:04:19 ipsec_setup /usr/lib/ipsec/tncfg: Socket ioctl failed on detach -- No such device. Is the v irtual device valid? The ipsec module may not be linked into the kernel or load ed as a module.
16:04:19 ipsec_setup ipsec: Device or resource busy
16:04:19 ipsec_setup ...Openswan IPsec stopped
16:04:19 ipsec_setup Starting Openswan IPsec 1.0.10...
16:04:19 ipsec_setup KLIPS debug `none'
16:04:19 ipsec_setup KLIPS ipsec0 on eth1 192.168.16.118/255.255.255.0 broadcast 192.168.16.255
16:04:19 ipsec__plutorun Starting Pluto subsystem...
16:04:19 pluto[2479] Starting Pluto (Openswan Version 1.0.10)
16:04:19 pluto[2479] including X.509 patch with traffic selectors (Version 0.9.42)
16:04:19 pluto[2479] including NAT-Traversal patch (Version 0.6)
16:04:19 pluto[2479] ike_alg_register_enc(): Activating OAKLEY_AES_CBC: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_enc(): Activating OAKLEY_BLOWFISH_CBC: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_enc(): Activating OAKLEY_CAST_CBC: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_enc(): Activating OAKLEY_SERPENT_CBC: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_hash(): Activating OAKLEY_SHA2_256: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_hash(): Activating OAKLEY_SHA2_512: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_enc(): Activating OAKLEY_TWOFISH_CBC: Ok (ret=0)
16:04:19 pluto[2479] ike_alg_register_enc(): Activating OAKLEY_SSH_PRIVATE_65289: Ok (ret=0)
16:04:19 pluto[2479] Changing to directory '/etc/ipsec.d/cacerts'
16:04:19 ipsec_setup ...Openswan IPsec started
16:04:19 pluto[2479] Warning: empty directory
16:04:19 pluto[2479] Changing to directory '/etc/ipsec.d/crls'
16:04:19 pluto[2479] Warning: empty directory
16:04:19 pluto[2479] OpenPGP certificate file '/etc/pgpcert.pgp' not found
16:04:19 pluto[2479] | from whack: got --esp=aes128-sha1,aes128-md5,3des-sha1,3des-md5
16:04:19 pluto[2479] | from whack: got --ike=aes128-sha-modp1536,aes128-sha-modp1024,aes128-md5-modp1 536,aes128-md5-modp1024,3des-sha-modp1536,3des-sha-modp1024,3des-md5-modp1536,3d es-md5-modp1024
16:04:19 pluto[2479] added connection description "petiteenfance"
16:04:19 pluto[2479] listening for IKE messages
16:04:19 pluto[2479] adding interface ipsec0/eth1 192.168.16.118
16:04:19 pluto[2479] adding interface ipsec0/eth1 192.168.16.118:4500
16:04:19 pluto[2479] loading secrets from "/etc/ipsec.secrets"
16:04:19 pluto[2479] "petiteenfance" #1: initiating Main Mode

De l'autre coté:

16:18:21 pluto[1791] packet from 212.x.x.146:500: received Vendor ID payload [RFC 3947]
16:18:21 pluto[1791] packet from 212.x.x.146:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat -t-ike-03]
16:18:21 pluto[1791] packet from 212.x.x.146:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat -t-ike-02]
16:18:21 pluto[1791] packet from 212.x.x.146:5000: ignoring Vendor ID payload [draft-ietf-ipsec-nat -t-ike-00]
16:18:21 pluto[1791] packet from 212.x.x.146:500: received Vendor ID payload [Dead Peer Detection]
16:18:21 pluto[1791] packet from 212.x.x.146:500: initial Main Mode message received on 192.168.0. 150:500 but no connection has been authorized with policy=PSK

J'ai volontairement masqué l'adresse 212.x.x.146.

Merci d'avance

[devilucard]

Personne ne vois ?

[Franck78]

si, c'est la classique one, je te laisse lire l'anglais à titre d'exercice
Tu notes le problème d'identification du 'peer' et c'est là qu'interviennent les "@ID". Les champs ID n'existaient peut être pas quand il a écrit son papier mais tu pourras avantageusement regarder à quels endroits dans les fichiers de confs tu les retrouves.

16:18:21 pluto[1791] packet from 212.x.x.146:500: initial Main Mode message received on 192.168.0. 150:500
devrait se lire
16:18:21 pluto[1791] packet from 192.168.16.118:500: initial Main Mode message received on 192.168.0. 150:500
192.168.16.118
mais ce n'est evidement pas possible a cause du NAT


http://freespace.virgin.net/christiaan. ... v1.02.html

[devilucard]

OK je te remercie
Je lirai et approfondirai mardi en stage

Merci encore