Projet

Général

Profil

Vpn doc user » Historique » Révision 12

Révision 11 (Baptiste Jonglez, 13/10/2014 23:01) → Révision 12/68 (Baptiste Jonglez, 13/10/2014 23:13)

h1. Documentation utilisateur pour le VPN Illyse 

 {{>toc}} 

 Le VPN d'Illyse utilise **OpenVPN**, qui a l'avantage de fonctionner sur à peu près n'importe quelle plate-forme (GNU/Linux, OS X, Windows, Android, …) 

 Cette page sert de documentation utilisateur.    Pour l'instant, elle contient principalement des exemples de fichier de configuration pour le client openvpn. 

 Les fichiers de configuration donnés ici sont génériques, au sens où le reste de la configuration se fait via l'interface web abonné Illyse : https://coin.illyse.org/ (adresses IP à utiliser sur le tunnel, etc). 

 h2. Note importante sur la sécurité 

 Le VPN Illyse fournit une **IPv4 publique** et de l'IPv6 (elle aussi publique, évidemment).    **Aucun firewall n'est en place côté Illyse** : assurez-vous d'avoir un **firewall** sur votre machine lorsque vous utilisez le VPN, et maîtrisez les services que vous exposez ! (par exemple SSH) 

 Illyse fournit un accès à Internet neutre, l'utilisateur est responsable de ce qu'il en fait. 

 h2. Utilisation d'OpenVPN 

 Le serveur OpenVPN d'Illyse écoute à la fois en UDP et en TCP, et ce, sur n'importe quel port.    Si vous êtes sur un réseau complètement bloqué mais que UDP/53 ou TCP/443 passe, pas de problème, le VPN passe ! 

 Pour des raisons de performance, UDP est recommandé.    N'utilisez le mode TCP qu'en dernier recours.    Référence : http://sites.inka.de/bigred/devel/tcp-tcp.html 

 h2. Configuration OpenVPN pour Linux (testé sous Debian wheezy) 

 La configuration est commentée, n'hésitez pas à changer des paramètres.    Avec les paramètres ci-dessous, une IPv4 et une IPv6 seront attribués, et tout le trafic passera par le VPN. 

 +/etc/openvpn/illyse.conf+ 
 <pre> 
 # C'est nous qui prenons l'initiative de nous connecter au serveur. 
 client 

 # On route de l'IP, on ne fait pas de l'ethernet. 
 dev tun0 

 # si on ne reçoit pas d'IP pour tun0: 
 # - soit on configure l'interface avec des ip privées bidon 
 #ifconfig 10.255.255.1 10.255.255.2 
 # - soit on utilise un script pour faire "ifconfig tun0 up" 
 #script-security 2 
 #up up.sh 

 # Il est préférable d'utiliser udp, le résultat fonctionne mieux. Il est 
 # cependant notable que les restrictions d'accès Internet laissent souvent 
 # plus facilement passer tcp. Essayez donc udp, et seulement s'il ne fonctionne 
 # pas, essayez tcp. 

 # Transport sur udp v4. En v6, la redirection de passerelle par défaut fonctionne mal (openvpn ne crée pas l'équivalent de la route /32 IPv4 vers le serveur vpn via la passerelle sous-jacente) 
 # Si on ne prévoit pas d'utiliser la directive "redirect-gateway def1", alors on peut choisir "proto udp6" pour monter le tunnel en IPv6. 
 #proto udp6 
 proto udp 
 #proto tcp 

 # Certains réseaux ont en fait une MTU bien inférieure à 1450. Dire aux connexions 
 # TCP d'être très conservatives, pour que ça marche plus ou moins partout. 
 mssfix 1300 
 # En UDP, on peut s'assurer que ça passe de toutes façons en fragmentant au besoin 
 # quand ça dépasse. 
 fragment 1300 
 # Idéalement, ça devrait être détecté tout seul, mais c'est loin de toujours fonctionner... 
 #mtu-disc yes 

 # En udp, Prévenir le serveur quand on termine, permet de relancer 
 # immédiatement sans attendre que le serveur se rende compte de la 
 # déconnexion par timeout. 
 explicit-exit-notify 

 # L'adresse du serveur. 
 remote vpn.illyse.net 1194 

 # Éventuellement, on peut avoir besoin de passer par un proxy http, décommenter cette ligne en mettant l'adresse et le port du proxy. 
 #http-proxy 192.0.2.1 8080 

 # Attendre un peu avant d'ajouter les routes. 
 route-delay 2 

 # Ne pas utiliser un port local statique, on est client de toutes façons. 
 nobind 

 # Garder la clé en mémoire, pour ne pas avoir besoin de la relire lors d'un 
 # redémarrage. 
 persist-key 
 # Ne pas tuer l'interface du tunnel lors d'un redémarrage. 
 #persist-tun 

 # Décommenter cette ligne pour faire passer tout le trafic via le VPN: 
 redirect-gateway def1 

 # On peut aussi vouloir plutôt router seulement quelques destinations, par 
 # exemple ici tout Gitoyen: 
 #route 80.67.160.0 255.255.224.0 

 # Activer IPv6 dans le tunnel 
 tun-ipv6 
 # et faire passer tout le trafic IPv6 via le VPN: 
 route-ipv6 ::/1 
 route-ipv6 8000::/1 

 # Envoyer un login et un mot de passe. Pour éviter de taper à la main login 
 # et mot de passe, vous pouvez ajouter à droite de "auth-user-pass" le nom d'un 
 # fichier contenant ces deux informations, une par ligne. 
 auth-user-pass credentials 

 # Un minimum de debug, c'est toujours bien. 
 verb 3 

 log-append /var/log/openvpn-illyse.log 

 # Certificat permettant de vérifier que c'est bien à Illyse que 
 # l'on se connecte et donc à qui on donne notre mot de passe. 
 remote-cert-tls server 
 <ca> 
 -----BEGIN CERTIFICATE----- 
 MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD 
 VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN 
 BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl 
 LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 
 c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj 
 MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu 
 bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR 
 aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ 
 ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC 
 ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava 
 w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf 
 OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ 
 xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ 
 BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 
 fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw 
 j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 
 l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN 
 WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc 
 l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP 
 zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB 
 CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU 
 XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD 
 VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF 
 MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP 
 MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn 
 ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP 
 EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o 
 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 
 J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 
 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE 
 hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F 
 VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z 
 wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd 
 LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k 
 r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra 
 rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU 
 sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= 
 -----END CERTIFICATE----- 
 </ca> 
 </pre> 


 +/etc/openvpn/credentials+ 
 (Seulement si vous voulez stocker votre mot de passe. En clair. Oui, c'est moche.) 

 Spécifier login et mot de passe sur deux lignes différences. 

 <pre> 
 jkleboulet-vpn1 
 omgsuchsecured123 
 </pre> 


 h3. Mise à jour automatique de resolv.conf 

 Pour que resolv.conf soit mis à jour par openvpn avec les IP des resolvers DNS Illyse poussées par le serveur VPN. 

 <pre> 
 <mit-mit> Bon, ça marche, faut ajouter à la config : 
 <mit-mit> script-security 2 
 <mit-mit> up /etc/openvpn/update-resolv-conf 
 <mit-mit> down /etc/openvpn/update-resolv-conf 
 <mit-mit> et avoir resolvconf d'installé. 
 <mit-mit> (la première ligne étant l'autorisation de lancement de scripts externes) 
 </pre> 


 h2. Windows XP 

 +C:\Program Files\OpenVPN\config\illyse\illyse.ovpn+ 
 <pre> 
 # C'est nous qui prenons l'initiative de nous connecter au serveur. 
 client 

 # On route de l'IP, on ne fait pas de l'ethernet. 
 dev tun0 

 # si on ne reçoit pas d'IP pour tun0: 
 # - soit on configure l'interface avec des ip privées bidon 
 #ifconfig 10.255.255.1 10.255.255.2 
 # - soit on utilise un script pour faire "ifconfig tun0 up" 
 #script-security 2 
 #up up.sh 

 # Il est préférable d'utiliser udp, le résultat fonctionne mieux. Il est 
 # cependant notable que les restrictions d'accès Internet laissent souvent 
 # plus facilement passer tcp. Essayez donc udp, et seulement s'il ne fonctionne 
 # pas, essayez tcp. 

 #proto udp6 
 proto udp 
 #proto tcp 

 # Certains réseaux ont en fait une MTU bien inférieure à 1450. Dire aux connexions 
 # TCP d'être très conservatives, pour que ça marche plus ou moins partout. 
 mssfix 1300 
 # En UDP, on peut s'assurer que ça passe de toutes façons en fragmentant au besoin 
 # quand ça dépasse. 
 fragment 1300 
 # Idéalement, ça devrait être détecté tout seul, mais c'est loin de toujours fonctionner... 
 #mtu-disc yes 

 #mtu-test 
 #link-mtu 1300 
 #tun-mtu 1300 

 # En udp, Prévenir le serveur quand on termine, permet de relancer 
 # immédiatement sans attendre que le serveur se rende compte de la 
 # déconnexion par timeout. 
 explicit-exit-notify 

 # L'adresse du serveur. 
 remote vpn.illyse.net 1194 

 # Éventuellement, on peut avoir besoin de passer par un proxy http, décommenter cette ligne en mettant l'adresse et le port du proxy. 
 #http-proxy 192.0.2.1 8080 

 # Pour windows: utiliser route.exe. 
 route-method exe 

 # Attendre un peu avant d'ajouter les routes. 
 route-delay 2 

 # Ne pas utiliser un port local statique, on est client de toutes façons. 
 nobind 

 # Garder la clé en mémoire, pour ne pas avoir besoin de la relire lors d'un 
 # redémarrage. 
 persist-key 
 # Ne pas tuer l'interface du tunnel lors d'un redémarrage. 
 #persist-tun 

 #ip-win32 ipapi 

 # Décommenter cette ligne pour faire passer tout le trafic via le VPN: 
 redirect-gateway def1 

 # On peut aussi vouloir plutôt router seulement quelques destinations, par 
 # exemple ici tout Gitoyen: 
 #route 80.67.160.0 255.255.224.0 

 # Activer IPv6 dans le VPN 
 tun-ipv6 
 # Faire passer tout le trafic IPv6 via le VPN: 
 route-ipv6 ::/1 
 route-ipv6 8000::/1 

 # Envoyer un login et un mot de passe. Pour éviter de taper à la main login 
 # et mot de passe, vous pouvez ajouter à droite de "auth-user-pass" le nom d'un 
 # fichier contenant ces deux informations, une par ligne. 
 auth-user-pass credentials 

 # Un minimum de debug, c'est toujours bien. 
 verb 3 

 #log-append /var/log/openvpn-illyse.log 

 # Certificat permettant de vérifier que c'est bien à Illyse que 
 # l'on se connecte et donc à qui on donne notre mot de passe. 
 remote-cert-tls server 
 <ca> 
 -----BEGIN CERTIFICATE----- 
 MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD 
 VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN 
 BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl 
 LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 
 c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj 
 MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu 
 bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR 
 aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ 
 ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC 
 ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava 
 w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf 
 OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ 
 xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ 
 BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 
 fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw 
 j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 
 l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN 
 WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc 
 l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP 
 zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB 
 CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU 
 XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD 
 VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF 
 MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP 
 MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn 
 ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP 
 EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o 
 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 
 J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 
 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE 
 hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F 
 VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z 
 wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd 
 LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k 
 r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra 
 rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU 
 sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= 
 -----END CERTIFICATE----- 
 </ca> 
 </pre> 



 +C:\Program Files\OpenVPN\config\illyse\credentials+ 

 <pre> 
 jkleboulet-vpn1 
 omgsuchsecured123 
 </pre> 

 h2. Mac OS X 

 Installer le client OpenVPN Tunnelblick : https://code.google.com/p/tunnelblick/ 

 Créer un fichier illyse.ovpn avec la configuration voulue. Celle indiquée ci-dessous fonctionne sans modification necessaire. 
 Double-cliquer sur le fichier afin que TunnelBlick import la configuration. 
 A la première connexion, il va demander un couple login/password qu'il sera possible de stocker dans le trousseau. 

 Paramètres modifiés par rapport à la configuration pour Linux : 
 * log-append : Ce paramètre n'est pas accepté. Mais tunnelblick log déjà en interne. 
 * auth-user-pass : On ne précise pas de fichier de credential, c'est géré par Tunnelblick et Keychains au moment de la connexion 
 * Les commentaires ont été retirés car le fichier est tronqué au moment de l'import s'il est trop long (ce qui était le cas) 

 +illyse.ovpn+ 
 <pre> 
 client 
 dev tun0 
 proto udp 
 mssfix 1300 
 fragment 1300 
 explicit-exit-notify 
 remote vpn.illyse.net 1194 
 #http-proxy 192.0.2.1 8080 
 route-delay 2 
 nobind 

 persist-key 
 persist-tun 

 redirect-gateway def1 
 #route 80.67.160.0 255.255.224.0 

 tun-ipv6 
 route-ipv6 ::/1 
 route-ipv6 8000::/1 

 auth-user-pass 
 verb 3 

 remote-cert-tls server 
 <ca> 
 -----BEGIN CERTIFICATE----- 
 MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD 
 VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN 
 BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl 
 LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 
 c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj 
 MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu 
 bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR 
 aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ 
 ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC 
 ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava 
 w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf 
 OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ 
 xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ 
 BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 
 fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw 
 j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 
 l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN 
 WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc 
 l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP 
 zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB 
 CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU 
 XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD 
 VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF 
 MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP 
 MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn 
 ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP 
 EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o 
 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 
 J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 
 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE 
 hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F 
 VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z 
 wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd 
 LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k 
 r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra 
 rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU 
 sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= 
 -----END CERTIFICATE----- 
 </ca> 

 </pre> 

 h1. Configurations avancées 

 h2. Client sans IP montée sur le tunnel 

 Pour ceux qui veulent bricoler, il est possible (via l'interface web abonné) ne pas monter du tout d'IP (v4 ou v6) sur l'interface tun du client. Dans ce cas, les paquets destinés aux ranges v4 et v6 de l'abonné sont toujours routés correctement vers le client, mais il appartient à l'abonné de s'assurer qu'ils seront correctement routés plus avant sur son réseau interne. 

 h2. Utiliser simultanément la connexion normale et le VPN 

 Lorsqu'on a un serveur, on peut avoir envie d'être joignable à la fois via la connexion normale (e.g. Free) et via le VPN.    Pour se faire, on utilise le **policy routing** du noyau Linux : quand quelqu'un nous parle sur l'IP normale, on lui répond via la connexion normale, et quand quelqu'un nous parle sur l'IP du VPN, on répond via le VPN.    Notons que ça ne concerne que les connexions entrantes (donc principalement utile pour un serveur). 

 Pour les connexions sortantes, on a le choix : soit on passe dans le VPN, soit on passe par la connexion normale.    La configuration ci-dessous fait passer les connexions sortantes par la connexion normale (parce que c'est plus simple). 

 Note : il faut s'assurer de bien avoir configuré une IPv4 et une IPv6 sur l'interface tun (sur https://coin.illyse.org).    Sinon, les scripts ne feront rien. 

 Bonus : si vous avez un noyau Multipath-TCP, cette configuration permettra d'utiliser les deux connexions en parallèle ! Pratique pour joindre Youtube si on est chez Free, par exemple :) 
 (la configuration ci-dessous est similaire à http://multipath-tcp.org/pmwiki.php/Users/ConfigureRouting ) 

 +/etc/openvpn/up.sh+ 
 <pre> 
 #!/bin/bash 

 dev="$1" 
 tun_mtu="$2" 
 link_mtu="$3" 
 local_ip="$4" 
 remote_ip="$5" 

 # Routing table to use 
 table=4242 

 # Source-specific routing: use the normal default route by default, 
 # but use the VPN for replying to packets coming from the VPN. 
 # IPv4 
 [ -n "$local_ip" ] && ip rule add from "$local_ip" table "$table" && ip route add default dev "$dev" table "$table" 
 # IPv6 
 [ -n "$ifconfig_ipv6_local" ] && ip -6 rule add from "$ifconfig_ipv6_local" table "$table" && ip -6 route add default dev "$dev" table "$table" 
 </pre> 

 +/etc/openvpn/down.sh+ 
 <pre> 
 #!/bin/bash 

 dev="$1" 
 tun_mtu="$2" 
 link_mtu="$3" 
 local_ip="$4" 
 remote_ip="$5" 

 table=4242 

 # Delete table for source-specific routing. 
 [ -n "$local_ip" ] && ip rule del from "$local_ip" && ip route del default table "$table" 
 [ -n "$ifconfig_ipv6_local" ] && ip -6 rule del from "$ifconfig_ipv6_local" && ip -6 route del default table "$table" 

 exit 0 
 </pre> 

 +/etc/openvpn/illyse.conf+ 
 <pre> 
 ## Configuration VPN Illyse pour accepter des connexions entrantes 
 ## à la fois via le VPN et via la connexion normale, grâce au policy routing (Linux uniquement) 
 ## https://www.illyse.org/projects/publicdocs/wiki/Vpn_doc_user#Utiliser-simultanément-la-connexion-normale-et-le-VPN 

 # Gestion des routes via des scripts externes. 
 script-security 2 
 up up.sh 
 down down.sh 


 # Reste de la configuration normale. 
 # Penser à enlever "redirect-gateway" et "route-ipv6", on gère les 
 # routes via up.sh et down.sh 
 client 
 remote vpn.illyse.net 1194 
 #http-proxy 192.0.2.1 8080 
 dev tun0 

 #proto udp6 
 proto udp 
 #proto tcp 
 explicit-exit-notify 

 mssfix 1300 
 fragment 1300 

 route-delay 2 
 nobind 
 persist-key 
 persist-tun 

 tun-ipv6 

 auth-user-pass credentials 

 verb 3 
 log-append /var/log/openvpn-illyse.log 

 # Certificat permettant de vérifier que c'est bien à Illyse que 
 # l'on se connecte et donc à qui on donne notre mot de passe. 
 remote-cert-tls server 
 <ca> 
 -----BEGIN CERTIFICATE----- 
 MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD 
 VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN 
 BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl 
 LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 
 c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj 
 MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu 
 bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR 
 aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ 
 ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC 
 ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava 
 w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf 
 OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ 
 xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ 
 BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 
 fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw 
 j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 
 l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN 
 WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc 
 l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP 
 zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB 
 CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU 
 XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD 
 VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF 
 MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP 
 MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn 
 ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP 
 EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o 
 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 
 J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 
 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE 
 hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F 
 VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z 
 wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd 
 LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k 
 r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra 
 rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU 
 sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= 
 -----END CERTIFICATE----- 
 </ca> 
 </pre>