Vpn doc user » Historique » Version 30
Florent Guillot, 07/02/2016 19:42
| 1 | 11 | Baptiste Jonglez | h1. Documentation utilisateur pour le VPN Illyse |
|---|---|---|---|
| 2 | 7 | Baptiste Jonglez | |
| 3 | {{>toc}} |
||
| 4 | 1 | Pierre-Arnaud Poudret | |
| 5 | 8 | Baptiste Jonglez | Le VPN d'Illyse utilise **OpenVPN**, qui a l'avantage de fonctionner sur à peu près n'importe quelle plate-forme (GNU/Linux, OS X, Windows, Android, …) |
| 6 | 1 | Pierre-Arnaud Poudret | |
| 7 | 8 | Baptiste Jonglez | Cette page sert de documentation utilisateur. Pour l'instant, elle contient principalement des exemples de fichier de configuration pour le client openvpn. |
| 8 | 1 | Pierre-Arnaud Poudret | |
| 9 | 8 | Baptiste Jonglez | Les fichiers de configuration donnés ici sont génériques, au sens où le reste de la configuration se fait via l'interface web abonné Illyse : https://coin.illyse.org/ (adresses IP à utiliser sur le tunnel, etc). |
| 10 | 1 | Pierre-Arnaud Poudret | |
| 11 | 18 | Nicolas Nadisic | h3. Avant de commencer |
| 12 | |||
| 13 | Se connecter au SI d'Illyse avec le nom d'utilisateur communiqué par mail : "COIN.":https://coin.illyse.org/members/login/?next=/ Si c'est votre première connexion, choisir un mot de passe pour COIN et bien le retenir. |
||
| 14 | |||
| 15 | 19 | Nicolas Nadisic | Aller dans la catégorie "Abonnements". Si rien n'apparait alors que vous avez souscrit au VPN, contacter adminsys@illyse.org. A la ligne "VPN", cliquer sur "Configurer". Noter le nom d'utilisateur (le mieux est de le copier dans un fichier texte brut, nous verrons pourquoi ensuite). Générer un mot de passe et le copier dans le même fichier. Attention, si vous perdez votre mot de passe il faudra en générer un nouveau. |
| 16 | 18 | Nicolas Nadisic | |
| 17 | 11 | Baptiste Jonglez | h2. Note importante sur la sécurité |
| 18 | 1 | Pierre-Arnaud Poudret | |
| 19 | 13 | Rémi Bouhl | Le VPN Illyse fournit une **IPv4 publique** et de l'IPv6 (elle aussi publique, évidemment). **Aucun pare-feu (firewall) n'est en place côté Illyse** : assurez-vous d'avoir un **pare-feu (firewall)** sur votre machine lorsque vous utilisez le VPN. |
| 20 | 14 | Rémi Bouhl | De plus il est possible que votre pare-feu considère la connexion VPN comme faisant partie d'un réseau "privé" et abaisse le niveau de sécurité sur cette connexion. |
| 21 | 1 | Pierre-Arnaud Poudret | |
| 22 | 13 | Rémi Bouhl | Vous pourriez vous retrouver à exposer sur Internet, entre autres : |
| 23 | |||
| 24 | 22 | Baptiste Jonglez | * un serveur SSH, avec des mots de passe faibles, |
| 25 | * un serveur Web, avec une application en cours de développement, |
||
| 26 | * un serveur mail mal configuré, susceptible de relayer du spam (open-relay) et de provoquer rapidement l'inscription de votre adresse IP dans des listes noires (RBL), |
||
| 27 | * le protocole SMB sur les systèmes Microsoft Windows, qui permet entre autres d'accéder aux partages réseaux et aux imprimantes. |
||
| 28 | 13 | Rémi Bouhl | |
| 29 | Gardez à l'esprit que votre adresse IPv4 publique sera l'objet de scans intensifs depuis Internet, surtout si elle est utilisée pour la première fois. |
||
| 30 | |||
| 31 | Illyse vous fournit un accès à Internet neutre, ce qui signifie entre autres que l'association ne se permet pas de décider à la place ses abonnés de ce qu'il faut filtrer sur leur connexion. |
||
| 32 | |||
| 33 | N'hésitez pas à demander de l'aide, à poser des questions, dans l'association ou ailleurs, pour conserver la pleine maîtrise de votre connexion :) |
||
| 34 | 11 | Baptiste Jonglez | |
| 35 | 24 | Baptiste Jonglez | h2. Paramètres de connexion OpenVPN |
| 36 | 12 | Baptiste Jonglez | |
| 37 | 23 | Baptiste Jonglez | Si vous savez déjà utiliser OpenVPN, les informations les plus importantes sont les suivantes : |
| 38 | |||
| 39 | * *Serveur :* vpn.illyse.net |
||
| 40 | * *Protocole :* UDP recommandé, TCP possible |
||
| 41 | * *Port :* quelconque (1194 est le port standard OpenVPN, mais tous les ports mènent au serveur VPN) |
||
| 42 | * *Compression :* non |
||
| 43 | * *Fragmentation :* 1300 octets |
||
| 44 | * *TCP MSS fix :* 1300 octets |
||
| 45 | |||
| 46 | Notez donc que le serveur OpenVPN d'Illyse écoute à la fois en UDP et en TCP, et ce, sur n'importe quel port. Si vous êtes sur un réseau complètement bloqué mais que UDP/53 ou TCP/443 passe, pas de problème, le VPN passe ! |
||
| 47 | 12 | Baptiste Jonglez | |
| 48 | Pour des raisons de performance, UDP est recommandé. N'utilisez le mode TCP qu'en dernier recours. Référence : http://sites.inka.de/bigred/devel/tcp-tcp.html |
||
| 49 | |||
| 50 | 15 | Rémi Bouhl | h1. Exemples de configuration. |
| 51 | |||
| 52 | 17 | Nicolas Nadisic | Ces exemples de fichiers de configuration sont là pour vous aider à vous connecter au VPN. |
| 53 | |||
| 54 | h2. GNU/Linux (Debian Wheezy) |
||
| 55 | |||
| 56 | h3. Pour les débutants |
||
| 57 | |||
| 58 | 20 | Nicolas Nadisic | Installer OpenVPN : ouvrir un terminal et taper "sudo aptitude install openvpn". Se connecter en root dans le terminal ("sudo su") et se placer dans le répertoire /etc/openvpn/ ("cd /etc/openvpn/"). Créer le fichier texte nommé illyse.conf (nano illyse.conf) et copier dedans la configuration ci-dessous. Créer le fichier texte nommé credentials et y insérer le nom d'utilisateur et le mot de passe stockés précédemment (une ligne chacun, voir modèle ci-dessous). |
| 59 | 17 | Nicolas Nadisic | |
| 60 | Lancer le VPN avec la commande "service openvpn start illyse" (besoin d'être root). Ça devrait fonctionner ! Si ce n'est pas le cas, vérifier les étapes précédentes, et la connexion Internet. Si ça ne fonctionne toujours pas, écrire un gentil mail à adminsys@illyse.org en joignant le rapport d'erreur situé ici : /var/log/openvpn-illyse.log. Pour stopper le VPN, taper la commande "service openvpn stop illyse". |
||
| 61 | |||
| 62 | |||
| 63 | h3. Fichier de configuration OpenVPN |
||
| 64 | |||
| 65 | 12 | Baptiste Jonglez | La configuration est commentée, n'hésitez pas à changer des paramètres. Avec les paramètres ci-dessous, une IPv4 et une IPv6 seront attribués, et tout le trafic passera par le VPN. |
| 66 | 1 | Pierre-Arnaud Poudret | |
| 67 | +/etc/openvpn/illyse.conf+ |
||
| 68 | <pre> |
||
| 69 | # C'est nous qui prenons l'initiative de nous connecter au serveur. |
||
| 70 | client |
||
| 71 | |||
| 72 | # On route de l'IP, on ne fait pas de l'ethernet. |
||
| 73 | dev tun0 |
||
| 74 | |||
| 75 | # si on ne reçoit pas d'IP pour tun0: |
||
| 76 | # - soit on configure l'interface avec des ip privées bidon |
||
| 77 | #ifconfig 10.255.255.1 10.255.255.2 |
||
| 78 | # - soit on utilise un script pour faire "ifconfig tun0 up" |
||
| 79 | #script-security 2 |
||
| 80 | #up up.sh |
||
| 81 | |||
| 82 | # Il est préférable d'utiliser udp, le résultat fonctionne mieux. Il est |
||
| 83 | # cependant notable que les restrictions d'accès Internet laissent souvent |
||
| 84 | # plus facilement passer tcp. Essayez donc udp, et seulement s'il ne fonctionne |
||
| 85 | # pas, essayez tcp. |
||
| 86 | |||
| 87 | # Transport sur udp v4. En v6, la redirection de passerelle par défaut fonctionne mal (openvpn ne crée pas l'équivalent de la route /32 IPv4 vers le serveur vpn via la passerelle sous-jacente) |
||
| 88 | # Si on ne prévoit pas d'utiliser la directive "redirect-gateway def1", alors on peut choisir "proto udp6" pour monter le tunnel en IPv6. |
||
| 89 | #proto udp6 |
||
| 90 | proto udp |
||
| 91 | #proto tcp |
||
| 92 | |||
| 93 | # Certains réseaux ont en fait une MTU bien inférieure à 1450. Dire aux connexions |
||
| 94 | # TCP d'être très conservatives, pour que ça marche plus ou moins partout. |
||
| 95 | mssfix 1300 |
||
| 96 | # En UDP, on peut s'assurer que ça passe de toutes façons en fragmentant au besoin |
||
| 97 | # quand ça dépasse. |
||
| 98 | fragment 1300 |
||
| 99 | # Idéalement, ça devrait être détecté tout seul, mais c'est loin de toujours fonctionner... |
||
| 100 | #mtu-disc yes |
||
| 101 | |||
| 102 | # En udp, Prévenir le serveur quand on termine, permet de relancer |
||
| 103 | # immédiatement sans attendre que le serveur se rende compte de la |
||
| 104 | # déconnexion par timeout. |
||
| 105 | explicit-exit-notify |
||
| 106 | |||
| 107 | # L'adresse du serveur. |
||
| 108 | remote vpn.illyse.net 1194 |
||
| 109 | |||
| 110 | # Éventuellement, on peut avoir besoin de passer par un proxy http, décommenter cette ligne en mettant l'adresse et le port du proxy. |
||
| 111 | #http-proxy 192.0.2.1 8080 |
||
| 112 | |||
| 113 | # Attendre un peu avant d'ajouter les routes. |
||
| 114 | route-delay 2 |
||
| 115 | |||
| 116 | # Ne pas utiliser un port local statique, on est client de toutes façons. |
||
| 117 | nobind |
||
| 118 | |||
| 119 | # Garder la clé en mémoire, pour ne pas avoir besoin de la relire lors d'un |
||
| 120 | # redémarrage. |
||
| 121 | persist-key |
||
| 122 | # Ne pas tuer l'interface du tunnel lors d'un redémarrage. |
||
| 123 | #persist-tun |
||
| 124 | |||
| 125 | # Décommenter cette ligne pour faire passer tout le trafic via le VPN: |
||
| 126 | redirect-gateway def1 |
||
| 127 | |||
| 128 | # On peut aussi vouloir plutôt router seulement quelques destinations, par |
||
| 129 | # exemple ici tout Gitoyen: |
||
| 130 | #route 80.67.160.0 255.255.224.0 |
||
| 131 | |||
| 132 | 5 | Baptiste Jonglez | # Activer IPv6 dans le tunnel |
| 133 | 1 | Pierre-Arnaud Poudret | tun-ipv6 |
| 134 | 5 | Baptiste Jonglez | # et faire passer tout le trafic IPv6 via le VPN: |
| 135 | 1 | Pierre-Arnaud Poudret | route-ipv6 ::/1 |
| 136 | route-ipv6 8000::/1 |
||
| 137 | |||
| 138 | # Envoyer un login et un mot de passe. Pour éviter de taper à la main login |
||
| 139 | # et mot de passe, vous pouvez ajouter à droite de "auth-user-pass" le nom d'un |
||
| 140 | # fichier contenant ces deux informations, une par ligne. |
||
| 141 | auth-user-pass credentials |
||
| 142 | |||
| 143 | # Un minimum de debug, c'est toujours bien. |
||
| 144 | verb 3 |
||
| 145 | |||
| 146 | log-append /var/log/openvpn-illyse.log |
||
| 147 | |||
| 148 | # Certificat permettant de vérifier que c'est bien à Illyse que |
||
| 149 | # l'on se connecte et donc à qui on donne notre mot de passe. |
||
| 150 | remote-cert-tls server |
||
| 151 | <ca> |
||
| 152 | -----BEGIN CERTIFICATE----- |
||
| 153 | MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD |
||
| 154 | VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN |
||
| 155 | BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl |
||
| 156 | LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 |
||
| 157 | c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj |
||
| 158 | MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu |
||
| 159 | bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR |
||
| 160 | aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ |
||
| 161 | ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC |
||
| 162 | ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava |
||
| 163 | w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf |
||
| 164 | OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ |
||
| 165 | xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ |
||
| 166 | BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 |
||
| 167 | fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw |
||
| 168 | j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 |
||
| 169 | l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN |
||
| 170 | WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc |
||
| 171 | l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP |
||
| 172 | zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB |
||
| 173 | CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU |
||
| 174 | XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD |
||
| 175 | VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF |
||
| 176 | MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP |
||
| 177 | MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn |
||
| 178 | ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP |
||
| 179 | EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o |
||
| 180 | 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 |
||
| 181 | J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 |
||
| 182 | 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE |
||
| 183 | hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F |
||
| 184 | VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z |
||
| 185 | wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd |
||
| 186 | LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k |
||
| 187 | r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra |
||
| 188 | rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU |
||
| 189 | sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= |
||
| 190 | -----END CERTIFICATE----- |
||
| 191 | </ca> |
||
| 192 | </pre> |
||
| 193 | |||
| 194 | |||
| 195 | +/etc/openvpn/credentials+ |
||
| 196 | (Seulement si vous voulez stocker votre mot de passe. En clair. Oui, c'est moche.) |
||
| 197 | |||
| 198 | Spécifier login et mot de passe sur deux lignes différences. |
||
| 199 | |||
| 200 | <pre> |
||
| 201 | jkleboulet-vpn1 |
||
| 202 | omgsuchsecured123 |
||
| 203 | </pre> |
||
| 204 | |||
| 205 | |||
| 206 | 3 | Pierre-Arnaud Poudret | h3. Mise à jour automatique de resolv.conf |
| 207 | |||
| 208 | Pour que resolv.conf soit mis à jour par openvpn avec les IP des resolvers DNS Illyse poussées par le serveur VPN. |
||
| 209 | |||
| 210 | <pre> |
||
| 211 | <mit-mit> Bon, ça marche, faut ajouter à la config : |
||
| 212 | <mit-mit> script-security 2 |
||
| 213 | <mit-mit> up /etc/openvpn/update-resolv-conf |
||
| 214 | <mit-mit> down /etc/openvpn/update-resolv-conf |
||
| 215 | <mit-mit> et avoir resolvconf d'installé. |
||
| 216 | <mit-mit> (la première ligne étant l'autorisation de lancement de scripts externes) |
||
| 217 | </pre> |
||
| 218 | |||
| 219 | 26 | Côme chillie | h2. GNU/Linux (Network Manager) |
| 220 | |||
| 221 | Il est possible de configurer graphiquement le VPN via Network Manager. |
||
| 222 | (J’utilise la version KDE, des détails peuvent varier si vous utilisez la version gtk) |
||
| 223 | |||
| 224 | 27 | Côme chillie | Créez un fichier vpn-illyse.crt et copiez dedans le certificat suivant : |
| 225 | <pre> |
||
| 226 | -----BEGIN CERTIFICATE----- |
||
| 227 | MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD |
||
| 228 | VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN |
||
| 229 | BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl |
||
| 230 | LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 |
||
| 231 | c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj |
||
| 232 | MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu |
||
| 233 | bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR |
||
| 234 | aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ |
||
| 235 | ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC |
||
| 236 | ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava |
||
| 237 | w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf |
||
| 238 | OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ |
||
| 239 | xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ |
||
| 240 | BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 |
||
| 241 | fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw |
||
| 242 | j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 |
||
| 243 | l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN |
||
| 244 | WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc |
||
| 245 | l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP |
||
| 246 | zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB |
||
| 247 | CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU |
||
| 248 | XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD |
||
| 249 | VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF |
||
| 250 | MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP |
||
| 251 | MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn |
||
| 252 | ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP |
||
| 253 | EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o |
||
| 254 | 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 |
||
| 255 | J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 |
||
| 256 | 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE |
||
| 257 | hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F |
||
| 258 | VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z |
||
| 259 | wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd |
||
| 260 | LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k |
||
| 261 | r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra |
||
| 262 | rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU |
||
| 263 | sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= |
||
| 264 | -----END CERTIFICATE----- |
||
| 265 | </pre> |
||
| 266 | 28 | Côme chillie | Installez le backend openvpn pour Network Manager, puis créez une nouvelle connexion de type openvpn. |
| 267 | 27 | Côme chillie | Complétez comme suit, indiquez le chemin du fichier crt, votre login et votre mot de passe VPN : |
| 268 | 1 | Pierre-Arnaud Poudret | !vpn1.png! |
| 269 | 27 | Côme chillie | Cliquez sur «Avancé», mettez 1300 dans «Taille du fragment UDP» et cochez «Restreindre la taille maximale du segment TCP (MSS)» |
| 270 | !vpn2.png! |
||
| 271 | 3 | Pierre-Arnaud Poudret | |
| 272 | 29 | Côme chillie | h2. Windows |
| 273 | 1 | Pierre-Arnaud Poudret | |
| 274 | 29 | Côme chillie | Installez OpenVPN, par exemple en suivant la documentation présente ici : http://www.rezine.org/documentation/tunnels_chiffres/#index4h1 |
| 275 | |||
| 276 | Créez ensuite le fichier suivant. |
||
| 277 | Faites attention à l’extension des fichiers : parfois Windows ajoute une extension .txt aux fichiers sans le dire. |
||
| 278 | |||
| 279 | 2 | Pierre-Arnaud Poudret | +C:\Program Files\OpenVPN\config\illyse\illyse.ovpn+ |
| 280 | <pre> |
||
| 281 | # C'est nous qui prenons l'initiative de nous connecter au serveur. |
||
| 282 | client |
||
| 283 | |||
| 284 | # On route de l'IP, on ne fait pas de l'ethernet. |
||
| 285 | dev tun0 |
||
| 286 | |||
| 287 | # si on ne reçoit pas d'IP pour tun0: |
||
| 288 | # - soit on configure l'interface avec des ip privées bidon |
||
| 289 | #ifconfig 10.255.255.1 10.255.255.2 |
||
| 290 | # - soit on utilise un script pour faire "ifconfig tun0 up" |
||
| 291 | #script-security 2 |
||
| 292 | #up up.sh |
||
| 293 | |||
| 294 | # Il est préférable d'utiliser udp, le résultat fonctionne mieux. Il est |
||
| 295 | # cependant notable que les restrictions d'accès Internet laissent souvent |
||
| 296 | # plus facilement passer tcp. Essayez donc udp, et seulement s'il ne fonctionne |
||
| 297 | # pas, essayez tcp. |
||
| 298 | |||
| 299 | #proto udp6 |
||
| 300 | proto udp |
||
| 301 | #proto tcp |
||
| 302 | |||
| 303 | # Certains réseaux ont en fait une MTU bien inférieure à 1450. Dire aux connexions |
||
| 304 | # TCP d'être très conservatives, pour que ça marche plus ou moins partout. |
||
| 305 | mssfix 1300 |
||
| 306 | # En UDP, on peut s'assurer que ça passe de toutes façons en fragmentant au besoin |
||
| 307 | # quand ça dépasse. |
||
| 308 | fragment 1300 |
||
| 309 | # Idéalement, ça devrait être détecté tout seul, mais c'est loin de toujours fonctionner... |
||
| 310 | #mtu-disc yes |
||
| 311 | |||
| 312 | #mtu-test |
||
| 313 | #link-mtu 1300 |
||
| 314 | #tun-mtu 1300 |
||
| 315 | |||
| 316 | # En udp, Prévenir le serveur quand on termine, permet de relancer |
||
| 317 | # immédiatement sans attendre que le serveur se rende compte de la |
||
| 318 | # déconnexion par timeout. |
||
| 319 | explicit-exit-notify |
||
| 320 | |||
| 321 | # L'adresse du serveur. |
||
| 322 | remote vpn.illyse.net 1194 |
||
| 323 | |||
| 324 | # Éventuellement, on peut avoir besoin de passer par un proxy http, décommenter cette ligne en mettant l'adresse et le port du proxy. |
||
| 325 | #http-proxy 192.0.2.1 8080 |
||
| 326 | |||
| 327 | # Pour windows: utiliser route.exe. |
||
| 328 | route-method exe |
||
| 329 | |||
| 330 | # Attendre un peu avant d'ajouter les routes. |
||
| 331 | route-delay 2 |
||
| 332 | |||
| 333 | # Ne pas utiliser un port local statique, on est client de toutes façons. |
||
| 334 | nobind |
||
| 335 | |||
| 336 | # Garder la clé en mémoire, pour ne pas avoir besoin de la relire lors d'un |
||
| 337 | # redémarrage. |
||
| 338 | persist-key |
||
| 339 | # Ne pas tuer l'interface du tunnel lors d'un redémarrage. |
||
| 340 | #persist-tun |
||
| 341 | |||
| 342 | #ip-win32 ipapi |
||
| 343 | |||
| 344 | # Décommenter cette ligne pour faire passer tout le trafic via le VPN: |
||
| 345 | 1 | Pierre-Arnaud Poudret | redirect-gateway def1 |
| 346 | 2 | Pierre-Arnaud Poudret | |
| 347 | 1 | Pierre-Arnaud Poudret | # On peut aussi vouloir plutôt router seulement quelques destinations, par |
| 348 | 2 | Pierre-Arnaud Poudret | # exemple ici tout Gitoyen: |
| 349 | #route 80.67.160.0 255.255.224.0 |
||
| 350 | |||
| 351 | 5 | Baptiste Jonglez | # Activer IPv6 dans le VPN |
| 352 | 2 | Pierre-Arnaud Poudret | tun-ipv6 |
| 353 | 5 | Baptiste Jonglez | # Faire passer tout le trafic IPv6 via le VPN: |
| 354 | 2 | Pierre-Arnaud Poudret | route-ipv6 ::/1 |
| 355 | route-ipv6 8000::/1 |
||
| 356 | |||
| 357 | # Envoyer un login et un mot de passe. Pour éviter de taper à la main login |
||
| 358 | # et mot de passe, vous pouvez ajouter à droite de "auth-user-pass" le nom d'un |
||
| 359 | # fichier contenant ces deux informations, une par ligne. |
||
| 360 | auth-user-pass credentials |
||
| 361 | |||
| 362 | # Un minimum de debug, c'est toujours bien. |
||
| 363 | verb 3 |
||
| 364 | |||
| 365 | #log-append /var/log/openvpn-illyse.log |
||
| 366 | |||
| 367 | # Certificat permettant de vérifier que c'est bien à Illyse que |
||
| 368 | # l'on se connecte et donc à qui on donne notre mot de passe. |
||
| 369 | remote-cert-tls server |
||
| 370 | <ca> |
||
| 371 | -----BEGIN CERTIFICATE----- |
||
| 372 | MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD |
||
| 373 | VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN |
||
| 374 | BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl |
||
| 375 | LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 |
||
| 376 | c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj |
||
| 377 | MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu |
||
| 378 | bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR |
||
| 379 | aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ |
||
| 380 | ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC |
||
| 381 | ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava |
||
| 382 | w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf |
||
| 383 | OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ |
||
| 384 | xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ |
||
| 385 | BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 |
||
| 386 | fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw |
||
| 387 | j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 |
||
| 388 | l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN |
||
| 389 | WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc |
||
| 390 | l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP |
||
| 391 | zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB |
||
| 392 | CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU |
||
| 393 | XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD |
||
| 394 | VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF |
||
| 395 | MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP |
||
| 396 | MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn |
||
| 397 | ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP |
||
| 398 | EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o |
||
| 399 | 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 |
||
| 400 | J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 |
||
| 401 | 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE |
||
| 402 | hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F |
||
| 403 | VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z |
||
| 404 | wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd |
||
| 405 | LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k |
||
| 406 | r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra |
||
| 407 | rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU |
||
| 408 | sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= |
||
| 409 | -----END CERTIFICATE----- |
||
| 410 | </ca> |
||
| 411 | </pre> |
||
| 412 | 1 | Pierre-Arnaud Poudret | |
| 413 | 29 | Côme chillie | Il est également possible de créer un fichier contenant vos logins et mots de passe pour éviter de les taper à chaque connexion. Par exemple : |
| 414 | 2 | Pierre-Arnaud Poudret | |
| 415 | +C:\Program Files\OpenVPN\config\illyse\credentials+ |
||
| 416 | |||
| 417 | <pre> |
||
| 418 | jkleboulet-vpn1 |
||
| 419 | 1 | Pierre-Arnaud Poudret | omgsuchsecured123 |
| 420 | </pre> |
||
| 421 | 29 | Côme chillie | |
| 422 | Si vous ne voulez pas utiliser un tel fichier, commentez la ligne «auth-user-pass credentials» dans la configuration. |
||
| 423 | 4 | Fabien Michel | |
| 424 | h2. Mac OS X |
||
| 425 | |||
| 426 | Installer le client OpenVPN Tunnelblick : https://code.google.com/p/tunnelblick/ |
||
| 427 | |||
| 428 | Créer un fichier illyse.ovpn avec la configuration voulue. Celle indiquée ci-dessous fonctionne sans modification necessaire. |
||
| 429 | Double-cliquer sur le fichier afin que TunnelBlick import la configuration. |
||
| 430 | A la première connexion, il va demander un couple login/password qu'il sera possible de stocker dans le trousseau. |
||
| 431 | |||
| 432 | Paramètres modifiés par rapport à la configuration pour Linux : |
||
| 433 | * log-append : Ce paramètre n'est pas accepté. Mais tunnelblick log déjà en interne. |
||
| 434 | * auth-user-pass : On ne précise pas de fichier de credential, c'est géré par Tunnelblick et Keychains au moment de la connexion |
||
| 435 | * Les commentaires ont été retirés car le fichier est tronqué au moment de l'import s'il est trop long (ce qui était le cas) |
||
| 436 | |||
| 437 | +illyse.ovpn+ |
||
| 438 | <pre> |
||
| 439 | client |
||
| 440 | dev tun0 |
||
| 441 | proto udp |
||
| 442 | mssfix 1300 |
||
| 443 | fragment 1300 |
||
| 444 | explicit-exit-notify |
||
| 445 | remote vpn.illyse.net 1194 |
||
| 446 | #http-proxy 192.0.2.1 8080 |
||
| 447 | route-delay 2 |
||
| 448 | nobind |
||
| 449 | |||
| 450 | persist-key |
||
| 451 | persist-tun |
||
| 452 | |||
| 453 | redirect-gateway def1 |
||
| 454 | #route 80.67.160.0 255.255.224.0 |
||
| 455 | |||
| 456 | tun-ipv6 |
||
| 457 | route-ipv6 ::/1 |
||
| 458 | route-ipv6 8000::/1 |
||
| 459 | |||
| 460 | auth-user-pass |
||
| 461 | verb 3 |
||
| 462 | |||
| 463 | remote-cert-tls server |
||
| 464 | <ca> |
||
| 465 | -----BEGIN CERTIFICATE----- |
||
| 466 | MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD |
||
| 467 | VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN |
||
| 468 | BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl |
||
| 469 | LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 |
||
| 470 | c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj |
||
| 471 | MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu |
||
| 472 | bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR |
||
| 473 | aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ |
||
| 474 | ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC |
||
| 475 | ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava |
||
| 476 | w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf |
||
| 477 | OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ |
||
| 478 | xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ |
||
| 479 | BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 |
||
| 480 | fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw |
||
| 481 | j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 |
||
| 482 | l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN |
||
| 483 | WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc |
||
| 484 | l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP |
||
| 485 | zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB |
||
| 486 | CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU |
||
| 487 | XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD |
||
| 488 | VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF |
||
| 489 | MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP |
||
| 490 | MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn |
||
| 491 | ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP |
||
| 492 | EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o |
||
| 493 | 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 |
||
| 494 | J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 |
||
| 495 | 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE |
||
| 496 | hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F |
||
| 497 | VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z |
||
| 498 | wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd |
||
| 499 | 1 | Pierre-Arnaud Poudret | LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k |
| 500 | r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra |
||
| 501 | rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU |
||
| 502 | sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= |
||
| 503 | -----END CERTIFICATE----- |
||
| 504 | </ca> |
||
| 505 | 15 | Rémi Bouhl | |
| 506 | </pre> |
||
| 507 | |||
| 508 | |||
| 509 | h2. Android |
||
| 510 | |||
| 511 | Configuration OpenVPN pour Android (testé sous Android 4.4.4 et OpenVPN for Android v0.6.17) |
||
| 512 | Ci-après un fichier de configuration qui devrait fonctionner avec l'application Android OpenVPN for Android, |
||
| 513 | Disponible sur F-Droid : https://f-droid.org/repository/browse/?fdfilter=openvpn&fdid=de.blinkt.openvpn |
||
| 514 | Ou au pire sur le PlayStore : https://play.google.com/store/apps/details?id=de.blinkt.openvpn |
||
| 515 | Posez le fichier de configuration, renommé en VPN-Illyse.conf par exemple, sur l'appareil. |
||
| 516 | Une fois l'application installée et démarrée, cliquez sur le dossier en bas à droite et chezchez le fichier de configuration. |
||
| 517 | Il suffit de renseigner les identifiants. |
||
| 518 | |||
| 519 | <pre> |
||
| 520 | 16 | Rémi Bouhl | |
| 521 | 15 | Rémi Bouhl | # |
| 522 | # Fichier de configuration VPN Illyse pour Android |
||
| 523 | # 2014-10-14 |
||
| 524 | # |
||
| 525 | # Enables connection to GUI |
||
| 526 | management /data/data/de.blinkt.openvpn/cache/mgmtsocket unix |
||
| 527 | management-client |
||
| 528 | management-query-passwords |
||
| 529 | management-hold |
||
| 530 | setenv IV_GUI_VER "de.blinkt.openvpn 0.6.17" |
||
| 531 | machine-readable-output |
||
| 532 | client |
||
| 533 | verb 4 |
||
| 534 | connect-retry-max 5 |
||
| 535 | connect-retry 5 |
||
| 536 | resolv-retry 60 |
||
| 537 | dev tun |
||
| 538 | remote vpn.illyse.net 1194 udp |
||
| 539 | auth-user-pass |
||
| 540 | route-ipv6 ::/0 |
||
| 541 | route 0.0.0.0 0.0.0.0 vpn_gateway |
||
| 542 | remote-cert-tls server |
||
| 543 | persist-tun |
||
| 544 | # persist-tun also enables pre resolving to avoid DNS resolve problem |
||
| 545 | preresolve |
||
| 546 | # Use system proxy setting |
||
| 547 | management-query-proxy |
||
| 548 | # Custom configuration options |
||
| 549 | # You are on your on own here |
||
| 550 | mssfix 1300 |
||
| 551 | fragment 1300 |
||
| 552 | <ca> |
||
| 553 | -----BEGIN CERTIFICATE----- |
||
| 554 | MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD |
||
| 555 | VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN |
||
| 556 | BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl |
||
| 557 | LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 |
||
| 558 | c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj |
||
| 559 | MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu |
||
| 560 | bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR |
||
| 561 | aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ |
||
| 562 | ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC |
||
| 563 | ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava |
||
| 564 | w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf |
||
| 565 | OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ |
||
| 566 | xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ |
||
| 567 | BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 |
||
| 568 | fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw |
||
| 569 | j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 |
||
| 570 | l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN |
||
| 571 | WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc |
||
| 572 | l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP |
||
| 573 | zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB |
||
| 574 | CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU |
||
| 575 | XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD |
||
| 576 | VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF |
||
| 577 | MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP |
||
| 578 | MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn |
||
| 579 | ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP |
||
| 580 | EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o |
||
| 581 | 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 |
||
| 582 | J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 |
||
| 583 | 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE |
||
| 584 | hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F |
||
| 585 | VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z |
||
| 586 | wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd |
||
| 587 | LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k |
||
| 588 | r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra |
||
| 589 | rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU |
||
| 590 | sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= |
||
| 591 | -----END CERTIFICATE----- |
||
| 592 | </ca> |
||
| 593 | 16 | Rémi Bouhl | |
| 594 | 4 | Fabien Michel | |
| 595 | </pre> |
||
| 596 | 8 | Baptiste Jonglez | |
| 597 | 30 | Florent Guillot | h2. Yunohost |
| 598 | |||
| 599 | |||
| 600 | |||
| 601 | bla |
||
| 602 | |||
| 603 | 9 | Baptiste Jonglez | h1. Configurations avancées |
| 604 | 8 | Baptiste Jonglez | |
| 605 | 9 | Baptiste Jonglez | h2. Client sans IP montée sur le tunnel |
| 606 | 8 | Baptiste Jonglez | |
| 607 | 25 | Baptiste Jonglez | Pour ceux qui veulent bricoler, il est possible (via l'interface web abonné) ne pas monter du tout d'IP (v4 ou v6) sur l'interface tun du client. Dans ce cas, les paquets destinés aux ranges v4 et v6 de l'abonné sont toujours routés correctement vers le client, mais il appartient à l'abonné de s'assurer qu'ils seront correctement routés plus avant sur son réseau interne. Ça peut être utile si on ne veut pas utiliser l'IPv4 publique Illyse directement sur le routeur qui monte le VPN, mais sur une autre machine du réseau local. |
| 608 | 1 | Pierre-Arnaud Poudret | |
| 609 | 25 | Baptiste Jonglez | Attention, si il n'y a pas d'IPv4 installée sur l'interface tun, OpenVPN est très bête et n'arrivera pas à installer la route par défaut par le VPN... OpenVPN essaie d'ajouter des routes avec 89.234.140.129 comme gateway, mais il ne sait pas joindre cette IP. Pour résoudre la stupidité d'OpenVPN^W^W^W ce problème, on utilise un script qui rajoute la route : |
| 610 | |||
| 611 | +/etc/openvpn/illyse.conf+ |
||
| 612 | <pre> |
||
| 613 | ... |
||
| 614 | route-delay 2 |
||
| 615 | redirect-gateway def1 |
||
| 616 | |||
| 617 | script-security 2 |
||
| 618 | up illyse-up.sh |
||
| 619 | ... |
||
| 620 | </pre> |
||
| 621 | |||
| 622 | +/etc/openvpn/illyse-up.sh+ |
||
| 623 | <pre> |
||
| 624 | #!/bin/sh |
||
| 625 | tun_dev="$1" |
||
| 626 | ip link set "$tun_dev" up |
||
| 627 | ip route add "$route_vpn_gateway" dev "$tun_dev" |
||
| 628 | exit 0 |
||
| 629 | </pre> |
||
| 630 | |||
| 631 | h2. Utiliser simultanément la connexion normale et le VPN, sortie par défaut par la connexion normale |
||
| 632 | 10 | Baptiste Jonglez | |
| 633 | Lorsqu'on a un serveur, on peut avoir envie d'être joignable à la fois via la connexion normale (e.g. Free) et via le VPN. Pour se faire, on utilise le **policy routing** du noyau Linux : quand quelqu'un nous parle sur l'IP normale, on lui répond via la connexion normale, et quand quelqu'un nous parle sur l'IP du VPN, on répond via le VPN. Notons que ça ne concerne que les connexions entrantes (donc principalement utile pour un serveur). |
||
| 634 | |||
| 635 | Pour les connexions sortantes, on a le choix : soit on passe dans le VPN, soit on passe par la connexion normale. La configuration ci-dessous fait passer les connexions sortantes par la connexion normale (parce que c'est plus simple). |
||
| 636 | |||
| 637 | Note : il faut s'assurer de bien avoir configuré une IPv4 et une IPv6 sur l'interface tun (sur https://coin.illyse.org). Sinon, les scripts ne feront rien. |
||
| 638 | |||
| 639 | Bonus : si vous avez un noyau Multipath-TCP, cette configuration permettra d'utiliser les deux connexions en parallèle ! Pratique pour joindre Youtube si on est chez Free, par exemple :) |
||
| 640 | (la configuration ci-dessous est similaire à http://multipath-tcp.org/pmwiki.php/Users/ConfigureRouting ) |
||
| 641 | |||
| 642 | +/etc/openvpn/up.sh+ |
||
| 643 | <pre> |
||
| 644 | #!/bin/bash |
||
| 645 | |||
| 646 | dev="$1" |
||
| 647 | tun_mtu="$2" |
||
| 648 | link_mtu="$3" |
||
| 649 | local_ip="$4" |
||
| 650 | remote_ip="$5" |
||
| 651 | |||
| 652 | # Routing table to use |
||
| 653 | table=4242 |
||
| 654 | |||
| 655 | # Source-specific routing: use the normal default route by default, |
||
| 656 | # but use the VPN for replying to packets coming from the VPN. |
||
| 657 | # IPv4 |
||
| 658 | [ -n "$local_ip" ] && ip rule add from "$local_ip" table "$table" && ip route add default dev "$dev" table "$table" |
||
| 659 | # IPv6 |
||
| 660 | [ -n "$ifconfig_ipv6_local" ] && ip -6 rule add from "$ifconfig_ipv6_local" table "$table" && ip -6 route add default dev "$dev" table "$table" |
||
| 661 | </pre> |
||
| 662 | |||
| 663 | +/etc/openvpn/down.sh+ |
||
| 664 | <pre> |
||
| 665 | #!/bin/bash |
||
| 666 | |||
| 667 | dev="$1" |
||
| 668 | tun_mtu="$2" |
||
| 669 | link_mtu="$3" |
||
| 670 | local_ip="$4" |
||
| 671 | remote_ip="$5" |
||
| 672 | |||
| 673 | table=4242 |
||
| 674 | |||
| 675 | # Delete table for source-specific routing. |
||
| 676 | [ -n "$local_ip" ] && ip rule del from "$local_ip" && ip route del default table "$table" |
||
| 677 | [ -n "$ifconfig_ipv6_local" ] && ip -6 rule del from "$ifconfig_ipv6_local" && ip -6 route del default table "$table" |
||
| 678 | |||
| 679 | exit 0 |
||
| 680 | </pre> |
||
| 681 | |||
| 682 | +/etc/openvpn/illyse.conf+ |
||
| 683 | <pre> |
||
| 684 | ## Configuration VPN Illyse pour accepter des connexions entrantes |
||
| 685 | ## à la fois via le VPN et via la connexion normale, grâce au policy routing (Linux uniquement) |
||
| 686 | ## https://www.illyse.org/projects/publicdocs/wiki/Vpn_doc_user#Utiliser-simultanément-la-connexion-normale-et-le-VPN |
||
| 687 | |||
| 688 | # Gestion des routes via des scripts externes. |
||
| 689 | script-security 2 |
||
| 690 | up up.sh |
||
| 691 | down down.sh |
||
| 692 | |||
| 693 | |||
| 694 | # Reste de la configuration normale. |
||
| 695 | # Penser à enlever "redirect-gateway" et "route-ipv6", on gère les |
||
| 696 | # routes via up.sh et down.sh |
||
| 697 | client |
||
| 698 | remote vpn.illyse.net 1194 |
||
| 699 | #http-proxy 192.0.2.1 8080 |
||
| 700 | dev tun0 |
||
| 701 | |||
| 702 | #proto udp6 |
||
| 703 | proto udp |
||
| 704 | #proto tcp |
||
| 705 | explicit-exit-notify |
||
| 706 | |||
| 707 | mssfix 1300 |
||
| 708 | fragment 1300 |
||
| 709 | |||
| 710 | route-delay 2 |
||
| 711 | nobind |
||
| 712 | persist-key |
||
| 713 | persist-tun |
||
| 714 | |||
| 715 | tun-ipv6 |
||
| 716 | |||
| 717 | auth-user-pass credentials |
||
| 718 | |||
| 719 | verb 3 |
||
| 720 | log-append /var/log/openvpn-illyse.log |
||
| 721 | |||
| 722 | # Certificat permettant de vérifier que c'est bien à Illyse que |
||
| 723 | # l'on se connecte et donc à qui on donne notre mot de passe. |
||
| 724 | remote-cert-tls server |
||
| 725 | <ca> |
||
| 726 | -----BEGIN CERTIFICATE----- |
||
| 727 | MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD |
||
| 728 | VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN |
||
| 729 | BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl |
||
| 730 | LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1 |
||
| 731 | c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj |
||
| 732 | MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu |
||
| 733 | bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR |
||
| 734 | aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ |
||
| 735 | ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC |
||
| 736 | ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava |
||
| 737 | w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf |
||
| 738 | OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ |
||
| 739 | xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/ |
||
| 740 | BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24 |
||
| 741 | fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw |
||
| 742 | j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1 |
||
| 743 | l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN |
||
| 744 | WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc |
||
| 745 | l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP |
||
| 746 | zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB |
||
| 747 | CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU |
||
| 748 | XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD |
||
| 749 | VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF |
||
| 750 | MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP |
||
| 751 | MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn |
||
| 752 | ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP |
||
| 753 | EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o |
||
| 754 | 4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0 |
||
| 755 | J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4 |
||
| 756 | 6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE |
||
| 757 | hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F |
||
| 758 | VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z |
||
| 759 | wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd |
||
| 760 | LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k |
||
| 761 | r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra |
||
| 762 | rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU |
||
| 763 | sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc= |
||
| 764 | -----END CERTIFICATE----- |
||
| 765 | </ca> |
||
| 766 | </pre> |
||
| 767 | 21 | Mit Mit | |
| 768 | h2. Utiliser simultanément la connexion normale et le VPN, sortie par défaut via le VPN |
||
| 769 | |||
| 770 | Dans la configuration précédente, les deux IPs, FAI et VPN, sont accessibles de l'extérieur et répondent correctement. |
||
| 771 | La machine toutefois utilise par défaut la sortie FAI plutôt que le VPN. |
||
| 772 | Le cas décrit ici a son IP FAI obtenue par DHCP, avec la table de routage main, et sans IPv6. |
||
| 773 | Il faut bidouiller les routes pour que si on contacte l'IP du serveur VPN, on passe bien par l'IP FAI et l'interface qui correspond, puis répondre à ce qui vient de l'IP FAI par la table main, et enfin par défaut sortir par le table correspondant au VPN. |
||
| 774 | |||
| 775 | Étape 1, dans le fichier illyse.conf, il faut ajouter l'option 'ifconfig-noexec' pour éviter qu'openVPN ne monte l'IP du VPN avant qu'on ne gère ça dans le script up.sh |
||
| 776 | Étape 2, changer les scripts up.sh et down.s. Actuellement, on n'a pas trouvé de solution propre pour éviter de coder en dur des paramètres dans ce scripts. |
||
| 777 | +/etc/openvpn/up.conf+ |
||
| 778 | <pre> |
||
| 779 | #!/bin/bash |
||
| 780 | |||
| 781 | dev="$1" |
||
| 782 | isp_dev="eth0" |
||
| 783 | tun_mtu="$2" |
||
| 784 | link_mtu="$3" |
||
| 785 | local_ip="$4" |
||
| 786 | remote_ip="$5" |
||
| 787 | isp_ip="WWW.XXX.YYY.ZZZ" |
||
| 788 | isp_gateway="WWW.XXX.YYY.ZZZ" |
||
| 789 | vpn_server="89.234.140.3" |
||
| 790 | |||
| 791 | # Routing table to use |
||
| 792 | tableVPN=4242 |
||
| 793 | tableLOC=1337 |
||
| 794 | |||
| 795 | # IP inconnue de COIN, donc tun0 à monter |
||
| 796 | ip link set "$dev" up |
||
| 797 | ip addr add "$local_ip"/32 dev "$dev" |
||
| 798 | |||
| 799 | # Source-specific routing: use the normal default route by default, |
||
| 800 | # but use the VPN for replying to packets coming from the VPN. |
||
| 801 | # IPv4 |
||
| 802 | if [ -n "local_ip" ]; then |
||
| 803 | ip rule add pref 31000 lookup "$tableLOC" |
||
| 804 | ip rule add pref 31050 from "$isp_ip" lookup main |
||
| 805 | ip rule add pref 31100 lookup "$tableVPN" |
||
| 806 | ip route add default dev "$dev" table "$tableVPN" |
||
| 807 | ip route add "$vpn_server" via "$isp_gateway" table "$tableLOC" dev "$isp_dev" |
||
| 808 | fi |
||
| 809 | |||
| 810 | # IPv6 |
||
| 811 | [ -n "$ifconfig_ipv6_local" ] && ip -6 addr add "$ifconfig_ipv6_local" dev "$dev" && ip -6 route add default dev "$dev" |
||
| 812 | |||
| 813 | exit 0 |
||
| 814 | </pre> |
||
| 815 | |||
| 816 | +/etc/openvpn/down.conf+ |
||
| 817 | <pre> |
||
| 818 | dev="$1" |
||
| 819 | tun_mtu="$2" |
||
| 820 | link_mtu="$3" |
||
| 821 | local_ip="$4" |
||
| 822 | remote_ip="$5" |
||
| 823 | isp_ip="WWW.XXX.YYY.ZZZ" |
||
| 824 | isp_gateway="WWW.XXX.YYY.ZZZ" |
||
| 825 | vpn_server="89.234.140.3" |
||
| 826 | |||
| 827 | # Routing table to use |
||
| 828 | tableVPN=4242 |
||
| 829 | tableLOC=1337 |
||
| 830 | |||
| 831 | # Delete table for source-specific routing. |
||
| 832 | if [ "$local_ip" ]; then |
||
| 833 | ip route del "$vpn_server" via "$isp_gateway" table "$tableLOC" |
||
| 834 | ip route del default dev "$dev" table "$tableVPN" |
||
| 835 | ip rule del pref 31100 lookup "$tableVPN" |
||
| 836 | ip rule del pref 31050 from "$isp_ip" lookup main |
||
| 837 | ip rule del pref 31000 lookup "$tableLOC" |
||
| 838 | fi |
||
| 839 | |||
| 840 | [ -n "$ifconfig_ipv6_local" ] && ip -6 route del default dev "$dev" && ip -6 addr del "$ifconfig_ipv6_local" dev "$dev" |
||
| 841 | |||
| 842 | exit 0 |
||
| 843 | </pre> |