Projet

Général

Profil

Vpn doc user » Historique » Version 36

Alarig Le Lay, 10/03/2016 09:04
auth-retry nointeract

1 11 Baptiste Jonglez
h1. Documentation utilisateur pour le VPN Illyse
2 7 Baptiste Jonglez
3
{{>toc}}
4 1 Pierre-Arnaud Poudret
5 8 Baptiste Jonglez
Le VPN d'Illyse utilise **OpenVPN**, qui a l'avantage de fonctionner sur à peu près n'importe quelle plate-forme (GNU/Linux, OS X, Windows, Android, …)
6 1 Pierre-Arnaud Poudret
7 8 Baptiste Jonglez
Cette page sert de documentation utilisateur.  Pour l'instant, elle contient principalement des exemples de fichier de configuration pour le client openvpn.
8 1 Pierre-Arnaud Poudret
9 8 Baptiste Jonglez
Les fichiers de configuration donnés ici sont génériques, au sens où le reste de la configuration se fait via l'interface web abonné Illyse : https://coin.illyse.org/ (adresses IP à utiliser sur le tunnel, etc).
10 1 Pierre-Arnaud Poudret
11 18 Nicolas Nadisic
h3. Avant de commencer 
12
13
Se connecter au SI d'Illyse avec le nom d'utilisateur communiqué par mail : "COIN.":https://coin.illyse.org/members/login/?next=/ Si c'est votre première connexion, choisir un mot de passe pour COIN et bien le retenir.
14
15 19 Nicolas Nadisic
Aller dans la catégorie "Abonnements". Si rien n'apparait alors que vous avez souscrit au VPN, contacter adminsys@illyse.org. A la ligne "VPN", cliquer sur "Configurer". Noter le nom d'utilisateur (le mieux est de le copier dans un fichier texte brut, nous verrons pourquoi ensuite). Générer un mot de passe et le copier dans le même fichier. Attention, si vous perdez votre mot de passe il faudra en générer un nouveau.
16 18 Nicolas Nadisic
17 11 Baptiste Jonglez
h2. Note importante sur la sécurité
18 1 Pierre-Arnaud Poudret
19 13 Rémi Bouhl
Le VPN Illyse fournit une **IPv4 publique** et de l'IPv6 (elle aussi publique, évidemment).  **Aucun pare-feu (firewall) n'est en place côté Illyse** : assurez-vous d'avoir un **pare-feu (firewall)** sur votre machine lorsque vous utilisez le VPN. 
20 14 Rémi Bouhl
De plus il est possible que votre pare-feu considère la connexion VPN comme faisant partie d'un réseau "privé" et abaisse le niveau de sécurité sur cette connexion. 
21 1 Pierre-Arnaud Poudret
22 13 Rémi Bouhl
Vous pourriez vous retrouver à exposer sur Internet, entre autres :
23
24 22 Baptiste Jonglez
* un serveur SSH, avec des mots de passe faibles,
25
* un serveur Web, avec une application en cours de développement,
26
* un serveur mail mal configuré, susceptible de relayer du spam (open-relay) et de provoquer rapidement l'inscription de votre adresse IP dans des listes noires (RBL),
27
* le protocole SMB sur les systèmes Microsoft Windows, qui permet entre autres d'accéder aux partages réseaux et aux imprimantes.
28 13 Rémi Bouhl
29
Gardez à l'esprit que votre adresse IPv4 publique sera l'objet de scans intensifs depuis Internet, surtout si elle est utilisée pour la première fois.
30
31
Illyse vous fournit un accès à Internet neutre, ce qui signifie entre autres que l'association ne se permet pas de décider à la place ses abonnés de ce qu'il faut filtrer sur leur connexion. 
32
 
33
N'hésitez pas à demander de l'aide, à poser des questions, dans l'association ou ailleurs, pour conserver la pleine maîtrise de votre connexion :)
34 11 Baptiste Jonglez
35 24 Baptiste Jonglez
h2. Paramètres de connexion OpenVPN
36 12 Baptiste Jonglez
37 23 Baptiste Jonglez
Si vous savez déjà utiliser OpenVPN, les informations les plus importantes sont les suivantes :
38
39
* *Serveur :* vpn.illyse.net
40
* *Protocole :* UDP recommandé, TCP possible
41
* *Port :* quelconque (1194 est le port standard OpenVPN, mais tous les ports mènent au serveur VPN)
42
* *Compression :* non
43
* *Fragmentation :* 1300 octets
44
* *TCP MSS fix :* 1300 octets
45
46
Notez donc que le serveur OpenVPN d'Illyse écoute à la fois en UDP et en TCP, et ce, sur n'importe quel port.  Si vous êtes sur un réseau complètement bloqué mais que UDP/53 ou TCP/443 passe, pas de problème, le VPN passe !
47 12 Baptiste Jonglez
48
Pour des raisons de performance, UDP est recommandé.  N'utilisez le mode TCP qu'en dernier recours.  Référence : http://sites.inka.de/bigred/devel/tcp-tcp.html
49
50 15 Rémi Bouhl
h1. Exemples de configuration.
51
52 17 Nicolas Nadisic
Ces exemples de fichiers de configuration sont là pour vous aider à vous connecter au VPN.
53
54
h2. GNU/Linux (Debian Wheezy)
55
56
h3. Pour les débutants 
57
58 20 Nicolas Nadisic
Installer OpenVPN : ouvrir un terminal et taper "sudo aptitude install openvpn". Se connecter en root dans le terminal ("sudo su") et se placer dans le répertoire /etc/openvpn/ ("cd /etc/openvpn/"). Créer le fichier texte nommé illyse.conf (nano illyse.conf) et copier dedans la configuration ci-dessous. Créer le fichier texte nommé credentials et y insérer le nom d'utilisateur et le mot de passe stockés précédemment (une ligne chacun, voir modèle ci-dessous).
59 17 Nicolas Nadisic
60
Lancer le VPN avec la commande "service openvpn start illyse" (besoin d'être root). Ça devrait fonctionner ! Si ce n'est pas le cas, vérifier les étapes précédentes, et la connexion Internet. Si ça ne fonctionne toujours pas, écrire un gentil mail à adminsys@illyse.org en joignant le rapport d'erreur situé ici : /var/log/openvpn-illyse.log. Pour stopper le VPN, taper la commande "service openvpn stop illyse". 
61
62
63
h3. Fichier de configuration OpenVPN
64
65 12 Baptiste Jonglez
La configuration est commentée, n'hésitez pas à changer des paramètres.  Avec les paramètres ci-dessous, une IPv4 et une IPv6 seront attribués, et tout le trafic passera par le VPN.
66 1 Pierre-Arnaud Poudret
67
+/etc/openvpn/illyse.conf+
68
<pre>
69
# C'est nous qui prenons l'initiative de nous connecter au serveur.
70
client
71
72
# On route de l'IP, on ne fait pas de l'ethernet.
73
dev tun0
74
75
# si on ne reçoit pas d'IP pour tun0:
76
# - soit on configure l'interface avec des ip privées bidon
77
#ifconfig 10.255.255.1 10.255.255.2
78
# - soit on utilise un script pour faire "ifconfig tun0 up"
79
#script-security 2
80
#up up.sh
81
82
# Il est préférable d'utiliser udp, le résultat fonctionne mieux. Il est
83
# cependant notable que les restrictions d'accès Internet laissent souvent
84
# plus facilement passer tcp. Essayez donc udp, et seulement s'il ne fonctionne
85
# pas, essayez tcp.
86
87
# Transport sur udp v4. En v6, la redirection de passerelle par défaut fonctionne mal (openvpn ne crée pas l'équivalent de la route /32 IPv4 vers le serveur vpn via la passerelle sous-jacente)
88
# Si on ne prévoit pas d'utiliser la directive "redirect-gateway def1", alors on peut choisir "proto udp6" pour monter le tunnel en IPv6.
89
#proto udp6
90
proto udp
91
#proto tcp
92
93
# Certains réseaux ont en fait une MTU bien inférieure à 1450. Dire aux connexions
94
# TCP d'être très conservatives, pour que ça marche plus ou moins partout.
95
mssfix 1300
96
# En UDP, on peut s'assurer que ça passe de toutes façons en fragmentant au besoin
97
# quand ça dépasse.
98
fragment 1300
99
# Idéalement, ça devrait être détecté tout seul, mais c'est loin de toujours fonctionner...
100
#mtu-disc yes
101
102
# En udp, Prévenir le serveur quand on termine, permet de relancer
103
# immédiatement sans attendre que le serveur se rende compte de la
104
# déconnexion par timeout.
105
explicit-exit-notify
106
107
# L'adresse du serveur.
108
remote vpn.illyse.net 1194
109
110
# Éventuellement, on peut avoir besoin de passer par un proxy http, décommenter cette ligne en mettant l'adresse et le port du proxy.
111
#http-proxy 192.0.2.1 8080
112
113
# Attendre un peu avant d'ajouter les routes.
114
route-delay 2
115
116
# Ne pas utiliser un port local statique, on est client de toutes façons.
117
nobind
118
119
# Garder la clé en mémoire, pour ne pas avoir besoin de la relire lors d'un
120
# redémarrage.
121
persist-key
122
# Ne pas tuer l'interface du tunnel lors d'un redémarrage.
123
#persist-tun
124
125
# Décommenter cette ligne pour faire passer tout le trafic via le VPN:
126
redirect-gateway def1
127
128
# On peut aussi vouloir plutôt router seulement quelques destinations, par
129
# exemple ici tout Gitoyen:
130
#route 80.67.160.0 255.255.224.0
131
132 5 Baptiste Jonglez
# Activer IPv6 dans le tunnel
133 1 Pierre-Arnaud Poudret
tun-ipv6
134 5 Baptiste Jonglez
# et faire passer tout le trafic IPv6 via le VPN:
135 1 Pierre-Arnaud Poudret
route-ipv6 ::/1
136
route-ipv6 8000::/1
137
138
# Envoyer un login et un mot de passe. Pour éviter de taper à la main login
139
# et mot de passe, vous pouvez ajouter à droite de "auth-user-pass" le nom d'un
140
# fichier contenant ces deux informations, une par ligne.
141
auth-user-pass credentials
142
143 36 Alarig Le Lay
# Retenter le l’authentification même si le serveur la refuse (utile pour
144
# éviter de faire mourir le client si le serveur LDAP ne répond pas)
145
auth-retry nointeract
146
147 1 Pierre-Arnaud Poudret
# Un minimum de debug, c'est toujours bien.
148
verb 3
149
150
log-append /var/log/openvpn-illyse.log
151
152
# Certificat permettant de vérifier que c'est bien à Illyse que
153
# l'on se connecte et donc à qui on donne notre mot de passe.
154
remote-cert-tls server
155
<ca>
156
-----BEGIN CERTIFICATE-----
157
MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD
158
VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN
159
BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl
160
LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1
161
c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj
162
MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu
163
bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR
164
aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ
165
ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC
166
ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava
167
w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf
168
OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ
169
xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/
170
BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24
171
fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw
172
j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1
173
l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN
174
WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc
175
l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP
176
zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB
177
CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU
178
XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD
179
VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF
180
MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP
181
MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn
182
ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP
183
EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o
184
4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0
185
J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4
186
6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE
187
hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F
188
VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z
189
wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd
190
LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k
191
r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra
192
rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU
193
sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc=
194
-----END CERTIFICATE-----
195
</ca>
196
</pre>
197
198
199
+/etc/openvpn/credentials+
200
(Seulement si vous voulez stocker votre mot de passe. En clair. Oui, c'est moche.)
201
202
Spécifier login et mot de passe sur deux lignes différences.
203
204
<pre>
205
jkleboulet-vpn1
206
omgsuchsecured123
207
</pre>
208
209
210 3 Pierre-Arnaud Poudret
h3. Mise à jour automatique de resolv.conf
211
212
Pour que resolv.conf soit mis à jour par openvpn avec les IP des resolvers DNS Illyse poussées par le serveur VPN.
213
214
<pre>
215
<mit-mit> Bon, ça marche, faut ajouter à la config :
216
<mit-mit> script-security 2
217
<mit-mit> up /etc/openvpn/update-resolv-conf
218
<mit-mit> down /etc/openvpn/update-resolv-conf
219
<mit-mit> et avoir resolvconf d'installé.
220
<mit-mit> (la première ligne étant l'autorisation de lancement de scripts externes)
221
</pre>
222
223 26 Côme chillie
h2. GNU/Linux (Network Manager)
224
225
Il est possible de configurer graphiquement le VPN via Network Manager.
226
(J’utilise la version KDE, des détails peuvent varier si vous utilisez la version gtk)
227
228 31 Florent Guillot
Téléchargez le fichier attachment:vpn-illyse.crt.
229
230 28 Côme chillie
Installez le backend openvpn pour Network Manager, puis créez une nouvelle connexion de type openvpn.
231 27 Côme chillie
Complétez comme suit, indiquez le chemin du fichier crt, votre login et votre mot de passe VPN :
232 1 Pierre-Arnaud Poudret
!vpn1.png!
233 27 Côme chillie
Cliquez sur «Avancé», mettez 1300 dans «Taille du fragment UDP» et cochez «Restreindre la taille maximale du segment TCP (MSS)»
234
!vpn2.png!
235 3 Pierre-Arnaud Poudret
236 29 Côme chillie
h2. Windows
237 1 Pierre-Arnaud Poudret
238 29 Côme chillie
Installez OpenVPN, par exemple en suivant la documentation présente ici : http://www.rezine.org/documentation/tunnels_chiffres/#index4h1
239
240
Créez ensuite le fichier suivant.  
241
Faites attention à l’extension des fichiers : parfois Windows ajoute une extension .txt aux fichiers sans le dire.
242
243 2 Pierre-Arnaud Poudret
+C:\Program Files\OpenVPN\config\illyse\illyse.ovpn+
244
<pre>
245
# C'est nous qui prenons l'initiative de nous connecter au serveur.
246
client
247
248
# On route de l'IP, on ne fait pas de l'ethernet.
249
dev tun0
250
251
# si on ne reçoit pas d'IP pour tun0:
252
# - soit on configure l'interface avec des ip privées bidon
253
#ifconfig 10.255.255.1 10.255.255.2
254
# - soit on utilise un script pour faire "ifconfig tun0 up"
255
#script-security 2
256
#up up.sh
257
258
# Il est préférable d'utiliser udp, le résultat fonctionne mieux. Il est
259
# cependant notable que les restrictions d'accès Internet laissent souvent
260
# plus facilement passer tcp. Essayez donc udp, et seulement s'il ne fonctionne
261
# pas, essayez tcp.
262
263
#proto udp6
264
proto udp
265
#proto tcp
266
267
# Certains réseaux ont en fait une MTU bien inférieure à 1450. Dire aux connexions
268
# TCP d'être très conservatives, pour que ça marche plus ou moins partout.
269
mssfix 1300
270
# En UDP, on peut s'assurer que ça passe de toutes façons en fragmentant au besoin
271
# quand ça dépasse.
272
fragment 1300
273
# Idéalement, ça devrait être détecté tout seul, mais c'est loin de toujours fonctionner...
274
#mtu-disc yes
275
276
#mtu-test
277
#link-mtu 1300
278
#tun-mtu 1300
279
280
# En udp, Prévenir le serveur quand on termine, permet de relancer
281
# immédiatement sans attendre que le serveur se rende compte de la
282
# déconnexion par timeout.
283
explicit-exit-notify
284
285
# L'adresse du serveur.
286
remote vpn.illyse.net 1194
287
288
# Éventuellement, on peut avoir besoin de passer par un proxy http, décommenter cette ligne en mettant l'adresse et le port du proxy.
289
#http-proxy 192.0.2.1 8080
290
291
# Pour windows: utiliser route.exe.
292
route-method exe
293
294
# Attendre un peu avant d'ajouter les routes.
295
route-delay 2
296
297
# Ne pas utiliser un port local statique, on est client de toutes façons.
298
nobind
299
300
# Garder la clé en mémoire, pour ne pas avoir besoin de la relire lors d'un
301
# redémarrage.
302
persist-key
303
# Ne pas tuer l'interface du tunnel lors d'un redémarrage.
304
#persist-tun
305
306
#ip-win32 ipapi
307
308
# Décommenter cette ligne pour faire passer tout le trafic via le VPN:
309 1 Pierre-Arnaud Poudret
redirect-gateway def1
310 2 Pierre-Arnaud Poudret
311 1 Pierre-Arnaud Poudret
# On peut aussi vouloir plutôt router seulement quelques destinations, par
312 2 Pierre-Arnaud Poudret
# exemple ici tout Gitoyen:
313
#route 80.67.160.0 255.255.224.0
314
315 5 Baptiste Jonglez
# Activer IPv6 dans le VPN
316 2 Pierre-Arnaud Poudret
tun-ipv6
317 5 Baptiste Jonglez
# Faire passer tout le trafic IPv6 via le VPN:
318 2 Pierre-Arnaud Poudret
route-ipv6 ::/1
319
route-ipv6 8000::/1
320
321
# Envoyer un login et un mot de passe. Pour éviter de taper à la main login
322
# et mot de passe, vous pouvez ajouter à droite de "auth-user-pass" le nom d'un
323
# fichier contenant ces deux informations, une par ligne.
324
auth-user-pass credentials
325
326
# Un minimum de debug, c'est toujours bien.
327
verb 3
328
329
#log-append /var/log/openvpn-illyse.log
330
331
# Certificat permettant de vérifier que c'est bien à Illyse que
332
# l'on se connecte et donc à qui on donne notre mot de passe.
333
remote-cert-tls server
334
<ca>
335
-----BEGIN CERTIFICATE-----
336
MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD
337
VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN
338
BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl
339
LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1
340
c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj
341
MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu
342
bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR
343
aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ
344
ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC
345
ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava
346
w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf
347
OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ
348
xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/
349
BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24
350
fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw
351
j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1
352
l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN
353
WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc
354
l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP
355
zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB
356
CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU
357
XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD
358
VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF
359
MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP
360
MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn
361
ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP
362
EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o
363
4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0
364
J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4
365
6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE
366
hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F
367
VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z
368
wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd
369
LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k
370
r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra
371
rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU
372
sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc=
373
-----END CERTIFICATE-----
374
</ca>
375
</pre>
376 1 Pierre-Arnaud Poudret
377 29 Côme chillie
Il est également possible de créer un fichier contenant vos logins et mots de passe pour éviter de les taper à chaque connexion. Par exemple :
378 2 Pierre-Arnaud Poudret
379
+C:\Program Files\OpenVPN\config\illyse\credentials+
380
381
<pre>
382
jkleboulet-vpn1
383 1 Pierre-Arnaud Poudret
omgsuchsecured123
384
</pre>
385 29 Côme chillie
386
Si vous ne voulez pas utiliser un tel fichier, commentez la ligne «auth-user-pass credentials» dans la configuration.
387 4 Fabien Michel
388
h2. Mac OS X
389
390
Installer le client OpenVPN Tunnelblick : https://code.google.com/p/tunnelblick/
391
392
Créer un fichier illyse.ovpn avec la configuration voulue. Celle indiquée ci-dessous fonctionne sans modification necessaire.
393
Double-cliquer sur le fichier afin que TunnelBlick import la configuration.
394
A la première connexion, il va demander un couple login/password qu'il sera possible de stocker dans le trousseau.
395
396
Paramètres modifiés par rapport à la configuration pour Linux :
397
* log-append : Ce paramètre n'est pas accepté. Mais tunnelblick log déjà en interne.
398
* auth-user-pass : On ne précise pas de fichier de credential, c'est géré par Tunnelblick et Keychains au moment de la connexion
399
* Les commentaires ont été retirés car le fichier est tronqué au moment de l'import s'il est trop long (ce qui était le cas)
400
401
+illyse.ovpn+
402
<pre>
403
client
404
dev tun0
405
proto udp
406
mssfix 1300
407
fragment 1300
408
explicit-exit-notify
409
remote vpn.illyse.net 1194
410
#http-proxy 192.0.2.1 8080
411
route-delay 2
412
nobind
413
414
persist-key
415
persist-tun
416
417
redirect-gateway def1
418
#route 80.67.160.0 255.255.224.0
419
420
tun-ipv6
421
route-ipv6 ::/1
422
route-ipv6 8000::/1
423
424
auth-user-pass
425
verb 3
426
427
remote-cert-tls server
428
<ca>
429
-----BEGIN CERTIFICATE-----
430
MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD
431
VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN
432
BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl
433
LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1
434
c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj
435
MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu
436
bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR
437
aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ
438
ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC
439
ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava
440
w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf
441
OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ
442
xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/
443
BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24
444
fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw
445
j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1
446
l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN
447
WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc
448
l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP
449
zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB
450
CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU
451
XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD
452
VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF
453
MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP
454
MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn
455
ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP
456
EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o
457
4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0
458
J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4
459
6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE
460
hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F
461
VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z
462
wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd
463 1 Pierre-Arnaud Poudret
LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k
464
r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra
465
rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU
466
sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc=
467
-----END CERTIFICATE-----
468
</ca>
469 15 Rémi Bouhl
470
</pre>
471
472
473
h2. Android 
474
475
Configuration OpenVPN pour Android (testé sous Android 4.4.4 et OpenVPN for Android v0.6.17)
476
Ci-après un fichier de configuration qui devrait fonctionner avec l'application Android OpenVPN for Android, 
477
Disponible sur F-Droid : https://f-droid.org/repository/browse/?fdfilter=openvpn&fdid=de.blinkt.openvpn
478
Ou au pire sur le PlayStore : https://play.google.com/store/apps/details?id=de.blinkt.openvpn
479
Posez le fichier de configuration, renommé en VPN-Illyse.conf par exemple, sur l'appareil.
480
Une fois l'application installée et démarrée, cliquez sur le dossier en bas à droite et chezchez le fichier de configuration.
481
Il suffit de renseigner les identifiants.
482
483
<pre>
484 16 Rémi Bouhl
485 15 Rémi Bouhl
#
486
# Fichier de configuration VPN Illyse pour Android
487
# 2014-10-14
488
#
489
# Enables connection to GUI
490
management /data/data/de.blinkt.openvpn/cache/mgmtsocket unix
491
management-client
492
management-query-passwords
493
management-hold
494
setenv IV_GUI_VER "de.blinkt.openvpn 0.6.17" 
495
machine-readable-output
496
client
497
verb 4
498
connect-retry-max 5
499
connect-retry 5
500
resolv-retry 60
501
dev tun
502
remote vpn.illyse.net 1194 udp
503
auth-user-pass
504
route-ipv6 ::/0
505
route 0.0.0.0 0.0.0.0 vpn_gateway
506
remote-cert-tls server
507
persist-tun
508
# persist-tun also enables pre resolving to avoid DNS resolve problem
509
preresolve
510
# Use system proxy setting
511
management-query-proxy
512
# Custom configuration options
513
# You are on your on own here 
514
mssfix 1300 
515
fragment 1300
516
<ca>
517
-----BEGIN CERTIFICATE-----
518
MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD
519
VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN
520
BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl
521
LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1
522
c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj
523
MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu
524
bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR
525
aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ
526
ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC
527
ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava
528
w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf
529
OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ
530
xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/
531
BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24
532
fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw
533
j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1
534
l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN
535
WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc
536
l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP
537
zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB
538
CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU
539
XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD
540
VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF
541
MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP
542
MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn
543
ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP
544
EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o
545
4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0
546
J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4
547
6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE
548
hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F
549
VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z
550
wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd
551
LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k
552
r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra
553
rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU
554
sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc=
555
-----END CERTIFICATE-----
556
</ca>
557 16 Rémi Bouhl
558 4 Fabien Michel
559
</pre>
560 8 Baptiste Jonglez
561 30 Florent Guillot
h2. Yunohost
562
563 32 Florent Guillot
h3. Installer le client VPN
564 30 Florent Guillot
565 32 Florent Guillot
* Dans Applications > Install, en bas de la page, entrer 'https://github.com/labriqueinternet/vpnclient_ynh' dans le champ *Install custom app*.
566
* Lire et valider l'avertissement.
567
* Valider l'installation en cliquant sur le bouton *Install*
568 1 Pierre-Arnaud Poudret
569 32 Florent Guillot
h3. Configurer le client VPN 
570 34 Florent Guillot
571
* Dans Applications > VPN Client, cliquer sur l'URL _https://maBrique.nohost.me/vpnadmin_
572
> * Server Address: vpn.illyse.net
573
> * Server Port: 1194
574
> * Protocol: UDP
575
> * Advanced: copier coller la configuration suivante:
576
<pre>
577
remote <TPL:SERVER_NAME>
578
proto <TPL:PROTO>
579
port <TPL:SERVER_PORT>
580
581
pull
582
nobind
583
dev tun
584
tun-ipv6
585
keepalive 10 30
586
resolv-retry infinite
587
588
mssfix 1300
589
590
route-delay 2
591
nobind
592
persist-key
593
594
# Authentication by login
595
<TPL:LOGIN_COMMENT>auth-user-pass /etc/openvpn/keys/credentials
596
597
# UDP only
598
<TPL:UDP_COMMENT>explicit-exit-notify
599
<TPL:UDP_COMMENT>fragment 1300
600
601
# TLS
602
tls-client
603
<TPL:TA_COMMENT>tls-auth /etc/openvpn/keys/user_ta.key 1
604
remote-cert-tls server
605
ns-cert-type server
606
ca /etc/openvpn/keys/ca-server.crt
607
<TPL:CERT_COMMENT>cert /etc/openvpn/keys/user.crt
608
<TPL:CERT_COMMENT>key /etc/openvpn/keys/user.key
609
610
# Logs
611
verb 3
612
mute 5
613
status /var/log/openvpn-client.status
614
log-append /var/log/openvpn-illyse.log
615
616
# Routing
617
route-ipv6 2000::/3
618
redirect-gateway def1
619 35 Florent Guillot
</pre>
620
> * Server CA: Téléchargez le fichier attachment:vpn-illyse.crt et le téléverser.
621
> * Username: pdupond-vpn1 (information issue de coin, cf section #Avant-de-commencer)
622
> * Password: idem
623
> * First resolver: 89.234.140.2
624
> * 2nd resolver : 2a00:5881:4000::1
625 1 Pierre-Arnaud Poudret
626 35 Florent Guillot
L'ensemble des autres champs est à laisser sur la valeur par défaut.
627 30 Florent Guillot
628 9 Baptiste Jonglez
h1. Configurations avancées
629 8 Baptiste Jonglez
630 9 Baptiste Jonglez
h2. Client sans IP montée sur le tunnel
631 8 Baptiste Jonglez
632 25 Baptiste Jonglez
Pour ceux qui veulent bricoler, il est possible (via l'interface web abonné) ne pas monter du tout d'IP (v4 ou v6) sur l'interface tun du client. Dans ce cas, les paquets destinés aux ranges v4 et v6 de l'abonné sont toujours routés correctement vers le client, mais il appartient à l'abonné de s'assurer qu'ils seront correctement routés plus avant sur son réseau interne.  Ça peut être utile si on ne veut pas utiliser l'IPv4 publique Illyse directement sur le routeur qui monte le VPN, mais sur une autre machine du réseau local.
633 1 Pierre-Arnaud Poudret
634 25 Baptiste Jonglez
Attention, si il n'y a pas d'IPv4 installée sur l'interface tun, OpenVPN est très bête et n'arrivera pas à installer la route par défaut par le VPN... OpenVPN essaie d'ajouter des routes avec 89.234.140.129 comme gateway, mais il ne sait pas joindre cette IP.  Pour résoudre la stupidité d'OpenVPN^W^W^W ce problème, on utilise un script qui rajoute la route :
635
636
+/etc/openvpn/illyse.conf+
637
<pre>
638
...
639
route-delay 2
640
redirect-gateway def1
641
642
script-security 2
643
up illyse-up.sh
644
...
645
</pre>
646
647
+/etc/openvpn/illyse-up.sh+
648
<pre>
649
#!/bin/sh
650
tun_dev="$1"
651
ip link set "$tun_dev" up
652
ip route add "$route_vpn_gateway" dev "$tun_dev"
653
exit 0
654
</pre>
655
656
h2. Utiliser simultanément la connexion normale et le VPN, sortie par défaut par la connexion normale
657 10 Baptiste Jonglez
658
Lorsqu'on a un serveur, on peut avoir envie d'être joignable à la fois via la connexion normale (e.g. Free) et via le VPN.  Pour se faire, on utilise le **policy routing** du noyau Linux : quand quelqu'un nous parle sur l'IP normale, on lui répond via la connexion normale, et quand quelqu'un nous parle sur l'IP du VPN, on répond via le VPN.  Notons que ça ne concerne que les connexions entrantes (donc principalement utile pour un serveur).
659
660
Pour les connexions sortantes, on a le choix : soit on passe dans le VPN, soit on passe par la connexion normale.  La configuration ci-dessous fait passer les connexions sortantes par la connexion normale (parce que c'est plus simple).
661
662
Note : il faut s'assurer de bien avoir configuré une IPv4 et une IPv6 sur l'interface tun (sur https://coin.illyse.org).  Sinon, les scripts ne feront rien.
663
664
Bonus : si vous avez un noyau Multipath-TCP, cette configuration permettra d'utiliser les deux connexions en parallèle ! Pratique pour joindre Youtube si on est chez Free, par exemple :)
665
(la configuration ci-dessous est similaire à http://multipath-tcp.org/pmwiki.php/Users/ConfigureRouting )
666
667
+/etc/openvpn/up.sh+
668
<pre>
669
#!/bin/bash
670
671
dev="$1"
672
tun_mtu="$2"
673
link_mtu="$3"
674
local_ip="$4"
675
remote_ip="$5"
676
677
# Routing table to use
678
table=4242
679
680
# Source-specific routing: use the normal default route by default,
681
# but use the VPN for replying to packets coming from the VPN.
682
# IPv4
683
[ -n "$local_ip" ] && ip rule add from "$local_ip" table "$table" && ip route add default dev "$dev" table "$table"
684
# IPv6
685
[ -n "$ifconfig_ipv6_local" ] && ip -6 rule add from "$ifconfig_ipv6_local" table "$table" && ip -6 route add default dev "$dev" table "$table"
686
</pre>
687
688
+/etc/openvpn/down.sh+
689
<pre>
690
#!/bin/bash
691
692
dev="$1"
693
tun_mtu="$2"
694
link_mtu="$3"
695
local_ip="$4"
696
remote_ip="$5"
697
698
table=4242
699
700
# Delete table for source-specific routing.
701
[ -n "$local_ip" ] && ip rule del from "$local_ip" && ip route del default table "$table"
702
[ -n "$ifconfig_ipv6_local" ] && ip -6 rule del from "$ifconfig_ipv6_local" && ip -6 route del default table "$table"
703
704
exit 0
705
</pre>
706
707
+/etc/openvpn/illyse.conf+
708
<pre>
709
## Configuration VPN Illyse pour accepter des connexions entrantes
710
## à la fois via le VPN et via la connexion normale, grâce au policy routing (Linux uniquement)
711
## https://www.illyse.org/projects/publicdocs/wiki/Vpn_doc_user#Utiliser-simultanément-la-connexion-normale-et-le-VPN
712
713
# Gestion des routes via des scripts externes.
714
script-security 2
715
up up.sh
716
down down.sh
717
718
719
# Reste de la configuration normale.
720
# Penser à enlever "redirect-gateway" et "route-ipv6", on gère les
721
# routes via up.sh et down.sh
722
client
723
remote vpn.illyse.net 1194
724
#http-proxy 192.0.2.1 8080
725
dev tun0
726
727
#proto udp6
728
proto udp
729
#proto tcp
730
explicit-exit-notify
731
732
mssfix 1300
733
fragment 1300
734
735
route-delay 2
736
nobind
737
persist-key
738
persist-tun
739
740
tun-ipv6
741
742
auth-user-pass credentials
743
744
verb 3
745
log-append /var/log/openvpn-illyse.log
746
747
# Certificat permettant de vérifier que c'est bien à Illyse que
748
# l'on se connecte et donc à qui on donne notre mot de passe.
749
remote-cert-tls server
750
<ca>
751
-----BEGIN CERTIFICATE-----
752
MIIG2TCCBMGgAwIBAgIJAPAWK4ceEBXzMA0GCSqGSIb3DQEBBQUAMIGjMQswCQYD
753
VQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFubmUxDzAN
754
BgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMRaWxseXNl
755
LW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJARYQYWJ1
756
c2VAaWxseXNlLm9yZzAeFw0xNDAzMTgyMTMyMjNaFw0yNDAzMTUyMTMyMjNaMIGj
757
MQswCQYDVQQGEwJGUjEMMAoGA1UECBMDUkhBMRUwEwYDVQQHEwxWaWxsZXVyYmFu
758
bmUxDzANBgNVBAoTBklMTFlTRTEQMA4GA1UECxMHb3BlbnZwbjEaMBgGA1UEAxMR
759
aWxseXNlLW9wZW52cG4tY2ExDzANBgNVBCkTBklMTFlTRTEfMB0GCSqGSIb3DQEJ
760
ARYQYWJ1c2VAaWxseXNlLm9yZzCCAiIwDQYJKoZIhvcNAQEBBQADggIPADCCAgoC
761
ggIBAKl/s6IoAsJTxw82xps5PHPTMjKhONFNk4gJMdSngbhGMcRM5ebwD9Dhfava
762
w9NjWiwNhikhnRWW3HGrv+BE7cqga16ryuLCievG1nfqZMpa3EnfWwwmHClMV9Zf
763
OPb/AD2V3t2MAvZ1ZcvyTe/p/3eHovHhEHJ2qXtd0iI9u8b7xcEm9vXIw7kYN2dQ
764
xIe9Wd85tja2IBtf67oBS8JZxSkIcEY7KAXsFUtFyGn6fbPGj8UGM+roiYqzEYa/
765
BNvc2eEfhhpHSoN5vRKu0LrVUA3uA41dOKcxW15af4Xy058l0aUWeSK64jK/cL24
766
fmBZoQfdS9U5P5wnm4tpRR7oesdrohhbVWn4JjRyF31HM1FtAoT6oTqhhlrImpGw
767
j7nAGlItT04C73wgiSajFJryo24XuedzjFxm3BetAcSUyE5e3BSqTUbEtWdTdiw1
768
l3/WQyyBrn98SChBExmpklecI5eFp/DoLBqwW/U/vseD7zMfF7OHnHtbsbniUujN
769
WjNGiWnVJ636nTfPIDsngGTACWh5ZwxX0fGW2+RqS2NN9R1dGWdW34lgfwx04Wzc
770
l0NZ++itmJq5iJUw9Kj9mmQZn96V8b6hDnhcJfkvUlgxhHcZ5isfOwQq6UcP3mZP
771
zOCWuCwIKNPMLcJmC684mkJJrJuCc6N9pNm7jjmdPkW/0j2VAgMBAAGjggEMMIIB
772
CDAdBgNVHQ4EFgQUXUSESsSBdTGjlbvo+Sbsiwo+E/4wgdgGA1UdIwSB0DCBzYAU
773
XUSESsSBdTGjlbvo+Sbsiwo+E/6hgamkgaYwgaMxCzAJBgNVBAYTAkZSMQwwCgYD
774
VQQIEwNSSEExFTATBgNVBAcTDFZpbGxldXJiYW5uZTEPMA0GA1UEChMGSUxMWVNF
775
MRAwDgYDVQQLEwdvcGVudnBuMRowGAYDVQQDExFpbGx5c2Utb3BlbnZwbi1jYTEP
776
MA0GA1UEKRMGSUxMWVNFMR8wHQYJKoZIhvcNAQkBFhBhYnVzZUBpbGx5c2Uub3Jn
777
ggkA8BYrhx4QFfMwDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAgEATAlP
778
EQXjzQ10xkQdUNXjy+s87DWcbpu3n4Wlc4E828Ek6D1LhbPeVL7wTyhHj+Txxy8o
779
4sCCL+oH/HgnMEy7VHs0HXpD3F9iPD8U3QiL1sfO+0IKOhBOKAsjmpuH+oCsXpZ0
780
J/GnebPQ6S+wBFCZH3uU5jIeB4WCFpzn2WQVIXh+lzKKWLN3GxfxdWkIyl4Fluj4
781
6k0Lj35EtE74wZTWbCkum7rNOp9gnGtrcyAupwj2MTeVcLzigYLth/G6AA3a7VeE
782
hlvJqV7URhiwXL8lQjaMoDFYiD8zhBn44tLwKMiTvyHfNs0+1mcteoDwI20SKo3F
783
VUnyCqc9k9Dq0YfE4RqhjmsMcV6HydaznCclnIrugPdFAQzGbk7bNZJ3yv0ATj9Z
784
wcfHxIUEuPl392OvJDm/JEbegonQ4yyv2B8OAacZ4HPm/6FeYS/jyOe66BUku0rd
785
LSVaB9OD7iVWkW5eo6ng3XA390HIUUtf/0IdtiCoMsjuZbVagfiaUu0kUJpR6d2k
786
r5czdLFhRu8uw0sWn1rMQXlUAqH0WAfoq8XinaHesWs5MEnvevjoUTkNhFnqe1Ra
787
rkwU9mzr1/N6GfpPalbveD0duTGAkJN5mwLZi+HZ4ctLgO1ShYFU/NbC7jNU3YCU
788
sjvtdavgLFaMPLPrI2DAcjpVMUuL1VgdqUcQkhc=
789
-----END CERTIFICATE-----
790
</ca>
791
</pre>
792 21 Mit Mit
793
h2. Utiliser simultanément la connexion normale et le VPN, sortie par défaut via le VPN
794
795
Dans la configuration précédente, les deux IPs, FAI et VPN, sont accessibles de l'extérieur et répondent correctement.
796
La machine toutefois utilise par défaut la sortie FAI plutôt que le VPN.
797
Le cas décrit ici a son IP FAI obtenue par DHCP, avec la table de routage main, et sans IPv6.
798
Il faut bidouiller les routes pour que si on contacte l'IP du serveur VPN, on passe bien par l'IP FAI et l'interface qui correspond, puis répondre à ce qui vient de l'IP FAI par la table main, et enfin par défaut sortir par le table correspondant au VPN.
799
800
Étape 1, dans le fichier illyse.conf, il faut ajouter l'option 'ifconfig-noexec' pour éviter qu'openVPN ne monte l'IP du VPN avant qu'on ne gère ça dans le script up.sh
801
Étape 2, changer les scripts up.sh et down.s. Actuellement, on n'a pas trouvé de solution propre pour éviter de coder en dur des paramètres dans ce scripts.
802
+/etc/openvpn/up.conf+
803
<pre>
804
#!/bin/bash
805
806
dev="$1"
807
isp_dev="eth0"
808
tun_mtu="$2"
809
link_mtu="$3"
810
local_ip="$4"
811
remote_ip="$5"
812
isp_ip="WWW.XXX.YYY.ZZZ"
813
isp_gateway="WWW.XXX.YYY.ZZZ"
814
vpn_server="89.234.140.3"
815
816
# Routing table to use
817
tableVPN=4242
818
tableLOC=1337
819
820
# IP inconnue de COIN, donc tun0 à monter
821
ip link set "$dev" up
822
ip addr add "$local_ip"/32 dev "$dev"
823
824
# Source-specific routing: use the normal default route by default,
825
# but use the VPN for replying to packets coming from the VPN.
826
# IPv4
827
if [ -n "local_ip" ]; then
828
  ip rule add pref 31000 lookup "$tableLOC"
829
  ip rule add pref 31050 from "$isp_ip" lookup main
830
  ip rule add pref 31100 lookup "$tableVPN"
831
  ip route add default dev "$dev" table "$tableVPN"
832
  ip route add "$vpn_server" via "$isp_gateway" table "$tableLOC" dev "$isp_dev"
833
fi
834
835
# IPv6
836
[ -n "$ifconfig_ipv6_local" ] && ip -6 addr add "$ifconfig_ipv6_local" dev "$dev" && ip -6 route add default dev "$dev"
837
838
exit 0
839
</pre>
840
841
+/etc/openvpn/down.conf+
842
<pre>
843
dev="$1"
844
tun_mtu="$2"
845
link_mtu="$3"
846
local_ip="$4"
847
remote_ip="$5"
848
isp_ip="WWW.XXX.YYY.ZZZ"
849
isp_gateway="WWW.XXX.YYY.ZZZ"
850
vpn_server="89.234.140.3"
851
852
# Routing table to use
853
tableVPN=4242
854
tableLOC=1337
855
856
# Delete table for source-specific routing.
857
if [ "$local_ip" ]; then
858
  ip route del "$vpn_server" via "$isp_gateway" table "$tableLOC"
859
  ip route del default dev "$dev" table "$tableVPN"
860
  ip rule del pref 31100 lookup "$tableVPN"
861
  ip rule del pref 31050 from "$isp_ip" lookup main
862
  ip rule del pref 31000 lookup "$tableLOC"
863
fi
864
865
[ -n "$ifconfig_ipv6_local" ] && ip -6 route del default dev "$dev" && ip -6 addr del "$ifconfig_ipv6_local" dev "$dev"
866
867
exit 0
868
</pre>