sujet Re : Mappage de port 1194 pour openVPN sur un Raspberry 3 dans ma connexion

Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Thu, 04 Aug 2016 18:05:03 GMT

Bonjour,

J'ai installé openVPN sur un Raspberry 3.

Le RPI a une IP locale fixe (192.168.1.20) qui est dans la plage d'IP locales ouvertes sur ma livebox4.

En VNC, je vois qu ele RPI accède bien à internet par son navigateur et je peux le contrôler en ssh.

J'ai mappé le port 1194 (qui est le port d'openVPN) dans le NAT/PAT en UDP tel que conseillé :

Application/Service Port interne     Port externe 	Protocole 	Équipement
Raspberry VPN 		1194	 	1194 		UDP 		XX

J'ai modifié le fichier /etc/firewall-openvpn-rules.sh

#!/bin/sh

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j SNAT --to-source 192.168.1.20

J'ai modifié le fichier /etc/openvpn/server.conf

local 192.168.1.20 # RASPBERRY PI IP ADDRESS
dev tun
proto udp
port 1194
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/XX.crt # SWAP XX WITH YOUR SERVER NAME
key /etc/openvpn/easy-rsa/keys/XX.key # SWAP XX WITH YOUR SERVER NAME
dh /etc/openvpn/easy-rsa/keys/dh1024.pem # IF YOU CHANGED YOUR ENCRYPTION TO 2048, CHANGE THAT HERE
server 10.8.0.0 255.255.255.0
# server and remote endpoints
ifconfig 10.8.0.1 10.8.0.2
# Add route to Client routing table for the OpenVPN Server
push "route 10.8.0.1 255.255.255.255"
# Add route to Client routing table for the OpenVPN Subnet
push "route 10.8.0.0 255.255.255.0"
# your local subnet
push "route 192.168.1.20 255.255.255.0" # SWAP THE IP NUMBER WITH YOUR RASPBERRY PI IP ADDRESS
# Set primary domain name server address to the SOHO Router
# If your router does not do DNS, you can use Google DNS 8.8.8.8
push "dhcp-option DNS 192.168.0.1" # THIS SHOULD ALREADY MATCH YOUR OWN ROUTER ADDRESS AND SHOULD NOT NEED TO BE CHANGED
# Override the Client default gateway by using 0.0.0.0/1 and
# 128.0.0.0/1 rather than 0.0.0.0/0. This has the benefit of
# overriding but not wiping out the original default gateway.
push "redirect-gateway def1"
client-to-client
duplicate-cn
keepalive 10 120
tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0
cipher AES-128-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log 20
log /var/log/openvpn.log
verb 1

J'avoue que dans cette config, j'ai un doute sur le

push "dhcp-option DNS 192.168.0.1

je me demande s'il ne faut pas mettre l'IP de la livebox (192.168.1.1), mais ça n'arrange pas mon problème quand j'essaye…

Voici mon problème

1. je n'arrive pas à me connecter avec Tunnelblick (j'ai masqué mon IP par XX) :

2016-08-04 18:55:26 Control Channel Authentication: tls-auth using INLINE static key file
2016-08-04 18:55:26 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
2016-08-04 18:55:26 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
2016-08-04 18:55:26 Socket Buffers: R=[196724->196724] S=[9216->9216]
2016-08-04 18:55:26 UDPv4 link local: [undef]
2016-08-04 18:55:26 UDPv4 link remote: [AF_INET]XX:XX:XX:XX:1194
2016-08-04 18:55:26 MANAGEMENT: >STATE:1470329726,WAIT,,,

2. lorsque je teste le port avec un site type http://www.t1shopper.com/tools/port-scan/ il me répond

XX.XX.XX.XX isn't responding on port 1194 (openvpn).

J'en conclut que le problème vient du port non ouvert, mais je n'arrive pas à avancer pour l'ouvrir…

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Thu, 04 Aug 2016 17:30:15 GMT

Bonjour,

Quelle LIvebox possèdes-tu ? Car si c'est une Livebox 2 ou une Livebox 3 (Play), elles n'acceptent pas le loopback = elles n'acceptent pas de router les données vers leur propre réseau local.

Si tes essais sont faits depuis une machine du réseau local de ta Livebox, tu n'auras pas de réponse ou bien un message d'erreur !

Tes tests, fais les depuis un autre accès Internet que celui de ta Livebox.

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Thu, 04 Aug 2016 17:42:50 GMT

Bonsoir et merci pour la réponse.

J'ai une Livebox 4 (firmware SG40_sip-fr-2.14.8.1_7.21.3.1).

L'accès en VPN ne marche pas non plus quand je passe par la connexion de mon iPhone.

Quoi qu'il en soit, quand je teste le port depuis un site internet (extérieur à mon réseau local), s'il me répond que le port est fermé, ça doit être une partie du problème ?

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Thu, 04 Aug 2016 18:15:14 GMT

La Livebox 4 accepte le loopback. Comment est réglé son parefeu ?

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Thu, 04 Aug 2016 18:18:17 GMT

Ne sachant pas trop comment le paramétrer manuellement, je l'ai laissé en "moyen"

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Thu, 04 Aug 2016 20:14:59 GMT

Réglé en "Moyen", si la règle Nat est correcte, normalement ça devrait passer...

Mais j'ai un doute sur l'affectation de l'adresse Ip du RasberryPi : tu dis 192.168.1.20, cette adresse Ip a-t-elle été attribuée par le DHCP ? Si oui, il faut lui fixer un bail DHCP statique dans l'interface d'administration de la Livebox. Si non, 192.168.1.20 est dans la plage du DHCP, il y a gros risque de conflit d'adresse Ip... ou que la Livebox, dont le DHCP n'est pas ce qui se fait de mieux, s'y perde !

Pour ce qui est du test des ports accessibles, ce n'est pas parce que le test indique que le port n'est pas accessible que le routage ne se fait pas : ici, sur ma Livebox 4, j'ai des ports "routés" fonctionnels et pourtant le site http://www.t1shopper.com/tools/port-scan/ les voit non accessibles !

Autre remarque : c'est la Livebox qui joue le rôle de DNS, son Ip est donc 192.168.1.1 et non pas 192.168.0.1, mais tu l'avais remarqué. Pour le reste des lignes de commande, je ne peux t'en dire plus, n'ayant jamais manipulé cela. Peut-être qu'un autre contributeur passera par là pour t'aider...

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Fri, 05 Aug 2016 08:26:30 GMT

Bonjour,

L'adresse IP du Raspberry est fixe, tant dans les réglages DHCP de la livebox (bail fixe sur son adresse MAC) que de son côté dans ses paramètres de connexion (/etc/network/interfaces)

auto lo
iface lo inet loopback
# iface eth0 inet dhcp
iface eth0 inet static
        pre-up /etc/firewall-openvpn-rules.sh
        adress 192.168.1.20
        netemask 255.255.255.0
        network 192.168.1.0
        broadcast 192.168.1.255
        gateway 192.168.1.1 # IP de la Livebox

et dans le /etc/firewall-openvpn-rules

#!/bin/sh

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j SNAT --to-source 192.168.1.20 # adresse du RPI

Sinon, content d'apprendre que les sites qui permettent de tester l'ouverture des ports… ne testent pas !

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Fri, 05 Aug 2016 10:20:46 GMT

Bonjour,

Attention, je n'ai pas dit que "les sites qui permettent de tester l'ouverture des ports… ne testent pas !" !

En fait, parefeu de la Livebox réglé sur "Moyen", le port 1194 n'est pas ouvert. Pour l'ouvrir, il faut le faire dans le parefeu de la Livebox en réglage personnalisé.

Mais si la règle Nat est correcte, le routage doit se faire...

Quand tu appelles ton OpenVpn, est-ce que tu indiques bien ce port 1194 ?

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Fri, 05 Aug 2016 17:13:22 GMT

Bonsoir,

Tunnelblick appelle bien le bon port

2016-08-05 19:09:02 UDPv4 link remote: [AF_INET]XX.XX.XX.XX:1194

Et même en ouvrant moi même le port depuis le Firewall personnalisé, ça ne fonctionne pas

Protocole : VPN
Adresse IP source :
Masque sous réseau : 0.0.0.0
Port source :
Adresse IP destination :
Masque sous réseau : 0.0.0.0
Port destination : 1194
Action : Accepter

Je vais me replonger dans la ligne de commande en attendant une nouvelle idée…

Bonne soirée et merci du coup de main.

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Sat, 06 Aug 2016 19:00:00 GMT

Bon j'ai refait l'installation propre en ligne de commande en faisant bien attention, tout marche à merveille… mais la connexion VPN ne se fait pas !

À mon avis, c'est vraiment un problème de mappage de port cette histoire :-(

Je commence à regretter la freebox revolution et son VPN intégré !

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Sat, 06 Aug 2016 21:24:41 GMT

Bonsoir,

Le RPI a-t-il reçu son adresse IP (192.168.1.20) depuis le DHCP de la Livebox ? Ou bien est-ce toi qui lui as assigné cette adresse Ip dans sa config ?

Car dans ce second cas, il est tout à fait possible que le Livebox ne s'y retrouve pas pour router vers lui.

La règle d'or pour les Livebox (dont le DHCP est susceptible) : laisser toutes les machines recevoir leur adresse Ip automatiquement depuis le DHCP !

Et pour les machines qui nécessitent une Ip locale fixe, leur attribuer une bail DHCP statique depuis l'interface d'administration de la Livebox !

Je crains qu'en effet tu aies joué sur les 2 tableaux (bail statique sur la Livebox et Ip assignée manuellement au RPI), ce que la Livebox n'apprécie pas...

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Sun, 07 Aug 2016 17:25:12 GMT

Bonsoir,

Je ne suis pas certain de bien comprendre alors je vais expliquer comment je m'y suis pris pour cette IP locale.

1. À la première connection du RPI en ethernet, la livebox lui a attribué la 192.168.1.20

2. J'ai définit sur la livebox que ce serai un bail fixe (en sélectionnant proprement son nom dans la liste)

3. Dans la configuration du RPI, je lui ai dit que c'était un DHCP statique avec cette adresse là

Il est vrai qu'il pourrait y avoir une incompréhension de la box que l'appareil s'annonce avec cette IP (même si c'est bien l'IP attribuée par le bail statique), cependant, lorsque je me connecte en ssh en passant par son IP locale ou par l'adresse IP (90.XX.XX.XX) de la livebox, ou encore par un DNS qui pointe sur cette IP (90.XX.XX.XX), j'arrive à faire du ssh (port 22). Donc, si j'arrive à me connecter au RPI, que ce soit en locale ou en non local, par le port 22, la résolution de l'adresse (DNS ou IP) se fait bien ?

Bonne soirée.

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

fredolerouge — Sun, 07 Aug 2016 18:36:38 GMT

salut @a6tole

comme te l'as dit @mg36 il faut laisser les appareils en DHCP et laisser faire la box

Que tu aies défini une réservation de bail IP dans la box est une bonne chose, mais il est totalement inutile de dire au RPI qu'il est en IP fixe, laisses le en DHCP

il recevra de toutes façons toujours la même adresse

tu fais doublon et il est possible que ce chevauchement ne plaise pas trop au serveur DHCP de la box

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Sun, 07 Aug 2016 20:20:05 GMT

Bonsoir,

Je n'avais peut-être pas été très clair. Je voulais juste savoir si l'adresse Ip du RPI avait bien été attribuée par la Livebox. Et comme le dit très justement @fredolerouge, pourquoi, en plus, dire au RPI d'utiliser 192.168.1.20 ?

Il faudrait que quelqu'un de plus "pointu" se penche sur ton problème et trouve une solution... je ne suis pas du tout un cador, surtout sur linux !

Bon courage, cordialement,

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Sun, 07 Aug 2016 21:39:38 GMT

Bonsoir,

Je viens de mettre dans la configuration du RPI tout en automatique par l'intermédiaire du DHCP (/etc/network/interfaces) :

# interfaces(5) file used by ifup(8) and ifdown(8)

# Please note that this file is written to be used with dhcpcd
# For static IP, consult /etc/dhcpcd.conf and 'man dhcpcd.conf'

# Include files from /etc/network/interfaces.d:
source-directory /etc/network/interfaces.d

auto lo
iface lo inet loopback
iface eth0 inet dhcp
# iface eth0 inet static
#       pre-up /etc/firewall-openvpn-rules.sh
#       adress 192.168.1.20
#       netemask 255.255.255.0
#       network 192.168.1.0
#       broadcast 192.168.1.255
#       gateway 192.168.1.1 # IP de la Livebox

allow-hotplug wlan0
auto wlan0

et ça ne fonctionne toujours pas :-(

Bonne nuit à tous.

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

jb8 — Mon, 08 Aug 2016 05:17:23 GMT

Bonjour,

le RPI3 tourne sous Raspbian?

donc

https://wiki.debian.org/fr/OpenVPN

A+

JB8

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

a6tole — Tue, 09 Aug 2016 10:38:53 GMT

Bonjour,

J'ai trouvé la solution !

Il existait un défaut de configuration du serveur VPN, comme le montre une des lignes du fichier /var/log/openvpn.log

TCP/UDP: Socket bind failed on local address [AF_INET]192.168.1.20:1194: Cannot assign requested address

NB : pour obtenir ce fichier log détaillé, il faut changer dans le fichier /etc/openvpn/server.conf le "verb 1" pour "verb 6", enregistrer et reboot le RPI.

Cet erreur de connexion, vient du fait qu'il ne faut pas spécifier l'IP local (cf. de nombreux commentaires précédents sur ce fil @mg36, @fredolerouge) dans le fichier /etc/openvpn/server.conf :

;local 192.169.1.20 # adresse du Raspberry

Après un reboot du RPI, l'erreur disparaît du fichier openvpn.log et se termine par ceci :

Initialization Sequence Completed

Et la connexion est fonctionnelle !!!

Quelques éléments de réponse ici :

http://unix.stackexchange.com/questions/88667/openvpn-socket-bind-failed-on-local-address-af-inet-ip1194-cannot-assign-r

https://bbs.archlinux.org/viewtopic.php?id=183818

Merci encore de votre aide !

a6tole

Re : Mappage de port 1194 pour openVPN sur un Raspberry 3

mg36 — Tue, 09 Aug 2016 12:41:13 GMT

Bonjour,

Je m'en doutais un peu ! Puisqu'au niveau de la Livebox, tu avais mis un bail DHCP statique, il ne fallait pas donner une Ip fixe au RPI.

Tant mieux si tout fonctionne désormais. Bonne journée et merci pour le retour d'information.