DEDIBOX-NEWS.COM

dediboxnator · 2007-04-28 17:34:39

Bonjour

Voila mon idée c'est d'utiliser openvpn sur ma dedibox pour avoir acces au web, au lieu de passer directement par mon acces normal.

Ma dedibox est un ubuntu panel avec webadmin.

J'ai donc installé openvpn en mode routage et le réseau fonctionne.

Par contre pour ce qui est de récupérer internet sur la dedibox jusqu'a chez moi je bloque.

En regardant depuis webadmin Linux firewall est configuré sur tout accepter. Donc ça ne vien pas de la.

Mais peut etre du routage? Faut il un serveur proxy ou utiliser apache pour faire le relay?

En configurant les proxy settings de firefox de mon poste client en 10.8.0.1 j'ai le message
forbidden you dont have the permission 403 ...

C'est deja un résultat car j'ai deja une reponse de la part du serveur.

Voila ou j'en suis et j'ai tellement scanné le web a la recherche d'infos qu'en fermant les yeux je vois du code html :ph34r:...alors qu'est que vous en pensez du probléme ?
merci pour vos réponses.

Calimero · 2007-04-28 19:52:49

Le plus simple est de faire du NAT. Côté client, la Dedibox à travers le VPN deviendra la route par défaut.

Sur la dedibox il faut autoriser le forwarding niveau kernel (/proc/sys/net/ipv4/ip_forward à 1) puis écrire une ou deux règles iptables pour le NAT proprement dit. C'est couvert dans la NAT howto de netfilter.org

Pas oublier les DNS...

dediboxnator · 2007-04-28 20:27:25

Dans le fichier server.conf de openvpn j'ai cette ligne d'activée
push "dhcp-option DNS 10.8.0.1"
j'ai oublié autre chose par rapport au DNS?

Calimero · 2007-04-28 21:38:33

t'as installé bind ou un autre serveur DNS sur ta dedibox, ou configuré celle-ci pour qu'elle forwarde vers d'aures DNS ?

dediboxnator · 2007-04-30 10:23:06

Je n'ai installé aucun programme de DNS, j'ai juste mis à 1 l'ip_forwarding niveau kernel apparement, je ne sais pas si ça a marché.
Ensuite j'ai tapé iptable avec des parametres de MASQUERADE tirés d'exemples sur le net.
Je ne suis qu'un simple geek utilisant windows pour jouer online, donc linux je connais pas du tout.
Pourtant va falloir que j'installe sous le pinguoin un serveur de jeu dedié. Bref...
Mon réseau virtuel fonctionne et je suis juste bloqué a ce niveau. Faudrait un partage de connection internet comme celle de windows ...d'autre part, les possibilités que laisse entrevoir linux sont très interessante, je vais plus décrocher la !!...
Alors comment feriez vous avec la meme dedibox que moi pour menner à bien cette opération?

Calimero · 2007-04-30 10:54:59

Faut débugger progressivement: qu'est-ce que t'attives à pinger, qu'est-ce que t'arrives pas à pinger ? travailler avec des IP (pour pas utiliser les DNS)...

Si t'as pas de serveur DNS sur ta Dedibox, le fait d'envoyer son IP en tant que serveur DNS... ben ca va pas marcher.
Tu dois pouvoir envoyer les IP des DNS Dedibox (les DNS récursifs, pas les DNS autoritaires), vu que les requêtes DNS auront l'air de venir de ta Dedibox.

dediboxnator · 2007-04-30 11:45:06

J'ai réussi a pinguer la carte réseau d'openvpn de la dedi. Son adresse est 10.8.0.1. J'ai pas pu pinguer l'adrr public de la dedibx car le ping s'effectue via ma connection adsl, je sais pas comment pinguer depuis le vpn sous cmd de windows.

Pour ce qui est des DNS récursifs et autoritaires d'après ce que j'en comprend vaut mieu utiliser l'autoritaire du FAI(histoire de cache...) si dedibox fonctionne comme ça. A ce momment quel serait son numéro et comment ou ou la spécifier dans la config pour faire partager la conexion. Sinon faut que j'install un serv pour les DNS recursifs?

Et si je faisait ça juste en travaillant les ips sans dns comme tu proposes?

Je me suis peut etre planté sur mes lignes de commandes au niveau d''iptable pour ce qui est de faire NAT entre eth0 et tun ?

Mais la je suis au taf depuis mon mobil en recupérant la connect sur mon PDA et je suis derrier le mechant proxy de l'opérateur qui m'empeche d'interagir avec ma dédi .j'arrive quand meme a me loguer et a naviguer sous ma webadmin mais sans pouvoir modifier des params....

Toute info est la bienvenue pour le retour à la maison.

Calimero · 2007-04-30 14:12:58

1/ Il faut configurer le poste client pour que sa route par défaut soit la Dedibox (sauf la dedibox, pour que tu puisses monter le VPN). Il y a une option de conf ovpn (un "push") pour ca.

2/ Niveau DNS, vu que tout passera alors par la Dedibox, il faut utiliser des DNS interrogeables depuis le réseau Dedibox. C'est pour ca que je parlais des DNS de Dedibox. Si les DNS de ton FAI à la maison ne filtrent pas, tu peux évidement essayer de les utiliser en gardant à l'esprit que pour les DNS les requêtes viendront de la dedibox et pas de ta connexion DSL (sauf configuration particulière des routes).

3/ A la louche, un coup de:

Code:

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 88.191.x.y

devrait le faire pour le NAT.

dediboxnator · 2007-04-30 17:05:53

j'ai donc configuré le client en dhcp automatique + DNS en 10.8.0.1 qui est l'ip de la carte virtuelle sur le serveur dedibox.
Dans le fichier ovpn client j'ai mis
push "dhcp-option DNS 10.8.0.1"
push "dhcp-option WINS 10.8.0.1"

Pour les dns je zappe j'ai pas tout pigé( j'ai vu par contre que pour DNS autoritaire dedibox c'était ns1.dedibox.fr et que le le récursif était 88.191.254.70) mais j'ai pas tout pigé

j'ai ensuite tapé ton code mais comme ceci

Code:

iptables -t nat -A POSTROUTING -o tun0 -j SNAT --to 88.191.x.y

ou tun0 est la carte virtuelle avec ip 10.8.0.1

dans firefox en proxy j'ai mis 10.8.0.1 et quan je lance j'ai ce message

Code:

Forbidden
You don't have permission to access / on this server.


--------------------------------------------------------------------------------

Apache/1.3.33 Server at www.google.fr Port 80

c'est pas une histoire de port? celui d'openvpn est en 1954...
en tout cas j'ai une reponse deja!!!

Dernière modification par dediboxnator (2007-04-30 17:06:23)

Calimero · 2007-04-30 17:08:09

Non, pour le POSTROUTING, faut mettre l'IP publique de la dedibox et l'interface eth0, c'est à dire l'interface utilisée pour "sortir de la dedibox vers internet".

Ensuite, je vois pas ce qu'un proxy vient faire dans l'affaire ?!

Tu confondrais pas NAT et proxy ?

dediboxnator · 2007-04-30 17:15:54

quand je parlais du proxy je voulais parler des options dans firefox (soit connection direct a internet, ou passer par une adresse proxy) c'est a dire au lieu de la faire passer direct par mon FAI la connexion se fait par les cartes du vpn...ok pour le POSTROUTING je tape ça tout de suite...merci

Calimero · 2007-04-30 17:27:49

Tu sais comment fonctionne le NAT ?

dediboxnator · 2007-04-30 17:33:46

Code:

changer l'adresse LAN, privée, par l'adresse internet, publique. C'est que l'on appelle la "translation d'adresse" ou encore "nattage" (qui vient de NAT qui signifie "Network Address Translation").

Donc pour partager la connexion, il faut :

   1. autoriser les trames à traverser la passerelle
   2. "natter" les adresses privées en adresses publiques

extrait de ce site http://linbox.free.fr/chapitre3.html

Calimero · 2007-04-30 18:55:30

Donc tu comprends qu'il n'y a pas besoin de proxy ?

dediboxnator · 2007-04-30 18:57:52

ça veu dire qu'il faut que je configure mes clients avec les adresses publiques?

Calimero · 2007-04-30 20:09:24

Non.

Tes clients ont une IP "ADSL" (on va dire comme ca). Avec cette IP/connexion, ils montent leur interface VPN en se connectant à ta Dedibox.
A ce moment là, ils disposent alors - en plus de l'IP "ADSL" - d'une IP dans le VPN (disons 10.8.0.42).

Le but est de forcer tout le trafic IP (sauf celui vers l'IP dedibox, pour garder le tunnel) à passer par l'interface OVPN au lieu de l'interface ADSL. Tu as une option dans le fichier de conf OVPN pour que le serveur OVPN "push" la route par défaut.

A partir de ce moment, tout trafique des clients arrive sur la Dedibox via l'interface VPN. Ensuite, avec le NAT tu vas forwarder ca vers internet.

Si actuellement tu arrives à monter les interfaces OVPN, il te reste:
- configurer OVPN pour qu'il redéfinisse la route par défaut des clients vers l'IP VPN de la dedibox
- activer le forwarding/masquerading sur la dedibox
- éventuellement configurer les DNS récursifs de Dedibox sur les clients (toujours "pushable" via OVPN).

dediboxnator · 2007-04-30 20:09:50

ok ok
une fois que mes requettes privées sont routées vers le public grace au NAT
me faut un serveur DNS quelque part qui me résoud les jolis ptits urls que je tape dans ma barre de navigation...

dediboxnator · 2007-04-30 20:24:36

Il se trouve que je surf depuis un hotspot wifi. Je m'authentifie via l'interface web du hotspot
Il me file du 192.168.50.x et le DNS, DHCP et passerelle sont tout les 3 en 192.168.50.1. Cela na changerait il pas la donne car mon poste n'est pas public comme ceux qui sont branchés par l'ADSL?
en attendant je vais appliquer tes recommandation a openvpn. Merci c'est simpa et j'espère que je ne t'exaspère pas trop...

dediboxnator · 2007-04-30 21:05:32

Une fois mon client connecté, il a comme ip 10.8.0.15 par exemple mais na pas de passerelle. Par contre son adresse de serveur DHCP est a 10.8.0.14 juste en dessus de l'adresse qu'il attribue. La je pense qu'il a aussi un blem non?

Calimero · 2007-04-30 22:20:05

Bon, en partant d'un client OpenVPN fonctionnel, avec la conf suivante (commentaires lourdés):

Code:

client
dev tun
proto udp
remote 88.191.x.y 783
resolv-retry infinite
nobind
persist-key
persist-tun
ca c:\\openvpn\\ca.crt
cert c:\\openvpn\\client2.crt
key c:\\openvpn\\client2.key
cipher BF-CBC
comp-lzo
verb 3

88.191.x.y étant l'IP publique de la Dedibox (mon ovpn écoute sur le port 783).
Le client s'appellent client2 (et c'est le nom spécifié dans le certificat, pour l'authentification).

Sur le serveur, j'ai une conf assez bateau avec la directive:

Code:

client-config-dir /etc/openvpn/ccd

Pour que le daemon ovpn aille chercher un fichier ayant le même nom que le client, pour y piocher des options additionelles.

L'IP de la dedibox dans le VPN est 10.42.0.1.

Dans /etc/openvpn/ccd/client2 j'ai ca:

Code:

ifconfig-push 10.42.0.13 10.42.0.14
push "dhcp-option DNS 88.191.254.60"
push "dhcp-option DNS 88.191.254.70"
push "redirect-gateway"

Du coup mon client2 se bouffe l'IP 10.42.0.14. Les deux DNS sont les serveurs récursifs de Dedibox (ceux qui sont dans /etc/resolv.conf de ta dedibox).

De plus, sur la dedibox, j'active le forwarding niveau kernel / je dégage toutes les règles de firewalling (c'est à mettre en place une fois que les choses marchent...) / je mets le masquerading:

Code:

# iptables -P INPUT ACCEPT
# iptables -P OUTPUT ACCEPT
# iptabels -P FORWARD ACCEPT
# iptables -X
# iptables -F
# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 88.191.x.y
# echo 1 > /proc/sys/net/ipv4/ip_forward

Ensuite, je lance une connexion de mon laptop Windows à la maison, qui est dans la même configuration que toi (à savoir: j'ai un NAT local et mon PC a une IP en 192.168.0.z).

Et là, miracle ! OpenVPN se connecte. Mon interface virtuelle se prend l'IP 10.42.0.14.
De plus, les DNS de mon laptop sont redéfinis à 88.191.254.60, 88.191.254.70.
La gateway par défaut est 10.42.0.1 (c'est à dire la dedibox via VPN). Il reste évidemment une route vers 88.191.x.y (sinon les paquets openvpn n'iraient pas bien loin).

Bref, un coup de www.whatismyip.com me dit bien que je suis 88.192.x.y.

Une fois déconnecté du VPN, faut peut être faire un coup de "ipconfig /renew" pour revenir aux paramètres Wifi comme avant la connexion (DNS, routes...).

Edit: je poste d'ailleurs de mon "NAT over VPN". Le poste semble donc venir de ma dedibox (mais faut être modo pour le voir).

dediboxnator · 2007-04-30 23:05:16

Bravo Bravo genial !!
Toutes ces explications sont ultra claires, je vais finir par y arriver avec tout ça. Je n'ai rien trouvé d'aussi clair sur le web.
Vu que dans mon etc/openvpn je n'ai pas le repertoire de ccd je vais donc le créer et y mettre mon clien.conf édité correctement. Je me met au boulot et merci calimero

Calimero · 2007-04-30 23:31:35

Dans /etc/openvpn/ccd/clientX tu ne mets que les options spécifiques (les 4 lignes). Le reste reste dans la conf générique du serveur.

dediboxnator · 2007-04-30 23:57:36

c'est bon!!!
j'ai fais le test avec whatismyip.com et j'ai l'adresse de la dedi. Mais a vrais dire ce n'est pas clair dans mon esprit.
Pour moi il fallait que je configure tout les programmes que j'uitlise sur le net, avec la carte d'open VPN.
Et donc a ce propos, si par exemple je lance teamspeak ou messenger ou un client ftp j'ai pas besoin de toucher a leur config?

Calimero · 2007-05-01 00:07:29

Pour un client FTP, faut forcer le mode passif, parce que sinon en NAT (que ce soit avec ou sans VPN) ca marche généralement assez mal.

Pour Messenger ca doit être bon. Pour teamspeak, je connais moins le protocole mais ca devrait aller.

De manière générale, tous les protocoles où tu te connectes à serveur distant doivent marcher sans problème.
Les protocoles où un hôte distant doit se connecter à toi, ca va foirer.

Mais.... il est bien sûr possible de faire du port forwarding !

Bref, comprends le NAT. Comprends le VPN. Comprends les routes. Comprends le NAT sur VPN. Bonne lecture.

dediboxnator · 2007-05-01 00:10:43

Petite question? as tu installé un serveur DHCP sur ta dedi?

DEDIBOX-NEWS.COM

#1 2007-04-28 17:34:39

OPENVPN DEDIBOX PASSERELLE INTERNET

#2 2007-04-28 19:52:49

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#3 2007-04-28 20:27:25

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#4 2007-04-28 21:38:33

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#5 2007-04-30 10:23:06

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#6 2007-04-30 10:54:59

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#7 2007-04-30 11:45:06

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#8 2007-04-30 14:12:58

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

Code:

#9 2007-04-30 17:05:53

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

Code:

Code:

#10 2007-04-30 17:08:09

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#11 2007-04-30 17:15:54

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#12 2007-04-30 17:27:49

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#13 2007-04-30 17:33:46

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

Code:

#14 2007-04-30 18:55:30

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#15 2007-04-30 18:57:52

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#16 2007-04-30 20:09:24

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#17 2007-04-30 20:09:50

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#18 2007-04-30 20:24:36

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#19 2007-04-30 21:05:32

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#20 2007-04-30 22:20:05

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

Code:

Code:

Code:

Code:

#21 2007-04-30 23:05:16

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#22 2007-04-30 23:31:35

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#23 2007-04-30 23:57:36

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#24 2007-05-01 00:07:29

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

#25 2007-05-01 00:10:43

Re: OPENVPN DEDIBOX PASSERELLE INTERNET

Pied de page des forums