Vous avez une question ?
Interrogez la communauté
internet & fixe
Bonjour à tous,
Je vous écris car je suis bloqué chez un client possédant une Livebox "Business", et je vous demande donc votre aide concernant la mise en place d’un VPN s'il vous plait.
Je vous explique la situation :
Le client a un réseau LAN et Wifi 192.168.7.0/24
Une passerelle 192.168.7.254
Un serveur 192.168.7.1
Il aimerait pouvoir se connecter à son serveur depuis n'importe où, d'où l'utilisation d'un VPN.
Etant donné que la Livebox Business ne propose pas de VPN, nous lui avons installé un firewall CISCO ASA.
Voici le schéma actuel du réseau :
Depuis cette infrastructure, nous avons :
- Internet fonctionne bien : j'arrive à accéder à tous les sites web depuis le réseau 192.168.7.0/24
- les mails fonctionnent bien
- tout fonctionne sauf... le VPN.
Les paramétrages réalisés sur la Livebox Business :
- Désactivation du firewall de la livebox Business (donc théoriquement, tout passe ??)
- Configuration des redirections de ports vers la DMZ comme suit :
* Port 4500 UDP vers 192.168.5.253 (IP « outside » du cisco ASA)
* Port 500 UDP vers 192.168.5.253
* Port 50 et 51 en TCP et UDP vers 192.168.5.253
* Et bien entendu, le HTTPS et http afin d’obtenir la connexion Internet
Donc comme indiqué ci-dessus, tout fonctionne, sauf le VPN.
J’ai configuré le Cisco ASA avec un VPN IKEv1 type IPSec.
Attention, VPN IPSec NON Site à Site, mais pour une utilisation via le logiciel « Client VPN Cisco » que voici :
Une fois le Cisco ASA configuré, et testé en LOCAL à le VPN fonctionne bien (je précise également que ce n’est pas le premier que je configure, donc le pb ne provient pas du Cisco, je peux vous le garantir).
Il ne reste plus qu’à configurer le Client VPN Cisco :
- Host : je mets l’IP publique du site Client
- Group Name : le nom de groupe
- PSK Group : la PSK du groupe
Je lance ensuite la connexion… et là j’ai une erreur « 412 » :
Reason 412: The remote peer is no longer responding.
Après recherche sur le net, je comprends bien qu’il s’agit d’un problème de filtrage / port :
– A network device or network interface card has failed (hardware failure) –> impossible
– There is significant packet loss or delay being experienced due to a poor network connection. This can cause the VPN session to drop throwing the error à impossible
IPSec, IP protocol 51 and UDPport 500 are required
– An Access Control List (ACL) or network firewall is blocking the required ports or protocols for the VPN to function appropriately à étant donné que j’ai désactivé le firewall de la Livebox, elle n’est pas censée bloquer quelque chose, si ?
– If using IPSec, UDP port 500 and IP protocol 51 are not available -> j’ai paramétré les redirections de ports vers le Cisco ASA
– If using PPTP, TCP port 1723 and IP protocol 47 are not available -> pas besoin car IPSec
– The client computer is behind a network firewall which is blocking ESP or UDP ports 4500/500 -> Firewall désactivé sur la Livebox
– The Internet connection is not stable and there are network packets that are not reaching the server or conversely, there are network packet replies from the server that are not reaching the client computer -> peu de chance que ce soit ça
– The client computer is located behind a NAT device and the VPN server does not have NAT-T enabled. In this case, the VPN client will connect, but will not be able to send or receive traffic. After a set amount of time, the client will delete the VPN tunnel -> peut être, mais comment verifier ? Sur la livebox business on ne peut rien faire..
– The VPN client program is attempting to connect using TCP and the default TCP port 10000 for NAT-T is blocked à je n’utilise pas le TCP 10 000
Désolé pour le long poste, j’espère pouvoir obtenir votre aide car je ne sais vraiment pas quoi faire de plus…
Concernant la Livebox, j’ai remarqué sur divers Forum qu’il faudrait cocher la case « VPN PassThrough ». Le problème ici est que la Livebox BUSINESS ne possède pas cette fameuse case « VPN PassThrough ». Donc existe-t-il un moyen de le contourner via des règles de NAT/PAT ?
Je vous remercie d’avance pour votre aide.
Cordialement,
Frédéric.
Suite au retrait de la capture d'écran de l'outil "clien VPN Cisco", j'en remets une ici avec moins de données sensibles.
Merci d'avance.
