 installation openvpn 201 sur une debian etch but de ce document ce document me sert de mémo pour mettre en place le système openvpn sur un serveur debian sarge et sur des clients windows ou linux debian openvpn est un système permettant de relier des postes distants sur un réseau informatique en passant par internet mais de manière sécurisée tunnel vpn  but de ce document ce document me sert de mémo pour mettre en place le système openvpn sur un serveur debian etch et sur des clients windows ou linux debian openvpn est un système permettant de relier des postes distants sur un réseau informatique en passant par internet mais de manière sécurisée tunnel vpn  prérequis avoir installé une debian stable de base  http wwwcoagulorg articlephp3 idarticle 337 attention  il est fortement conseillé de savoir ce qu est un certificat et une clé de cryptage pour la configuration d openssl il est conseillé également de connaître le fonctionnement des tables de routage pour la configuration d openvpn installation d openvpn 201 sur une debian etch paquet à installer aptitude install openvpn remarques avec openvpn  il est possible de compresser les données passant dans le tunnel vpn pour limiter l utilisation de la bande passante c est la paquet liblzo22 qui permet d effectuer cette compression ce dernier est normalement installé par défaut pour sécuriser le tunnel vpn avec des clés et des certificats openvpn utilise openssl ce dernier est normalement installé par défaut si ce n est pas le cas vous pouvez l installer avec cette commande aptitude install openssl création du certificat de l autorité de certification ca  la partie la plus compliquée et la plus fastidieuse dans la mise en place d un serveur openvpn concerne la génération des clés et des certificats openvpn est livré avec plusieurs scripts permettant de générer plus facilement les clés et les certificats pour openssl ces scripts sont enregistrés dans le dossier  easyrsa  cd usr share doc openvpn examples easyrsa avant d utiliser les scripts il faut éditer le fichier  vars  pour initialiser les variables par défaut indiquées à la fin de ce fichier par exemple export keycountry  fr  export keyprovince  france  export keycity  dijon  export keyorg   monentreprise   export keyemail   contact monentreprisefr  une fois le fichier modifié la ligne suivante permet d initialiser les variables pour les scripts vars le script suivant permet de créer ou de réinitialiser le sousdossier  keys  cleanall le script suivant permet de créer dans  keys  le certificat principal du serveur  cacrt  et la clé correspondante  cakey  buildca ce script doit afficher à l écran quelque chose qui ressemble à ça buildca generating a 1024 bit rsa private key writing new private key to cakey you are about to be asked to enter information that will be incorporated into your certificate request what you are about to enter is what is called a distinguished name or a dn there are quite a few fields but you can leave some blank for some fields there will be a default value if you enter the field will be left blank country name 2 letter code fr state or province name full name france locality name eg city dijon organization name eg company monentreprise organizational unit name eg section common name eg your name or your server s hostname monserveur email address contact monentreprisefr mailto contact monentreprisefr  attention  pour les questions la plupart des champs sont renseignés par défaut sauf le  common name  qu il faut renseigner manuellement exemple  monserveur   création du certificat et de la clé pour le serveur openvpn le script suivant permet de créer dans  keys  le certificat  leserveurvpncrt  et la clé  leserveurvpnkey  pour le serveur vpn nommé par exemple  leserveurvpn  buildkeyserver leserveurvpn ce script doit afficher à l écran quelque chose qui ressemble à ça buildkeyserver monserveur generating a 1024 bit rsa private key writing new private key to monserveurkey you are about to be asked to enter information that will be incorporated into your certificate request what you are about to enter is what is called a distinguished name or a dn there are quite a few fields but you can leave some blank for some fields there will be a default value if you enter the field will be left blank country name 2 letter code fr state or province name full name france locality name eg city dijon organization name eg company monentreprise organizational unit name eg section common name eg your name or your server s hostname leserveurvpn email address votremail votredomainecom please enter the following extra attributes to be sent with your certificate request a challenge password an optional company name using configuration from usr share doc openvpn examples easyrsa opensslcnf check that the request matches the signature signature ok the subject s distinguished name is as follows countryname printable fr stateorprovincename printable france localityname printable dijon organizationname printable monentreprise commonname printable monserveurvpn emailaddress ia5string contact monentreprisefr certificate is to be certified until dec 7 134102 2015 gmt 3650 days sign the certificate y n y 1 out of 1 certificate requests certified commit y n y write out database with 1 new entries data base updated attention  pour les questions tous les champs sont renseignés par défaut sauf le  common name  qu il faut renseigner manuellement exemple  monserveurvpn  personnellement je n ai pas renseigné le champ password  création du certificat et de la clé pour un client openvpn le script suivant permet de créer dans  keys  le certificat  client01crt  et la clé  client01key  pour le client vpn nommé par exemple  client01  cd usr share doc openvpn examples easyrsa vars buildkey client01 ce script doit afficher à l écran quelque chose qui ressemble à ça pgdebian usr share doc openvpn examples easyrsa buildkey client01 generating a 1024 bit rsa private key writing new private key to client01key you are about to be asked to enter information that will be incorporated into your certificate request what you are about to enter is what is called a distinguished name or a dn there are quite a few fields but you can leave some blank for some fields there will be a default value if you enter the field will be left blank country name 2 letter code fr state or province name full name france locality name eg city dijon organization name eg company monentreprise organizational unit name eg section common name eg your name or your server s hostname client01 email address contact monentreprisefr please enter the following extra attributes to be sent with your certificate request a challenge password an optional company name using configuration from usr share doc openvpn examples easysa opensslcnf debug loadindex uniquesubject yes check that the request matches the signature signature ok the subject s distinguished name is as follows countryname printable fr stateorprovincename printable france localityname printable dijon organizationname printable monentreprise commonname printable client01 emailaddress ia5string contact monentreprisefr mailto contact monentreprisefr certificate is to be certified until mar 4 091909 2016 gmt 3650 days sign the certificate y n y 1 out of 1 certificate requests certified commit y n y write out database with 1 new entries data base updated attention  il faudra renouveler cette opération pour chaque client pour les questions tous les champs sont renseignés par défaut sauf le  common name  qu il faut renseigner manuellement exemple  client01  chaque  common name  de chaque client doit être différent personnellement je n ai pas renseigné le champ  password   création du paramètre diffie hellman le script suivant permet de créer dans  keys  le fichier  dh1024pem  builddh ce script doit afficher à l écran quelque chose qui ressemble à ça builddh generating dh parameters 1024 bit long safe prime generator 2 this is going to take a long time  résumé des certificats et clés créés précédemment dans keys  emplacement du fichier type nom secret serveur de certification ca openssl certificat cacrt non serveur de certification ca openssl clé cakey oui serveur openvpn certificat leserveurvpncrt non serveur openvpn clé leserveurvpnkey oui paramètre diffie hellman dh1024pem non client openvpn n 1 certificat client01crt non client openvpn n 1 clé client01key oui mise en place des certificats et des clés concernant le serveur openvpn le plus simple est de copier les 4 fichiers dans le dossier etc openvpn cp keys cacrt etc openvpn cp keys leserveurvpncrt etc openvpn cp keys leserveurvpnkey etc openvpn cp keys dh1024pem etc openvpn pour le client il faudra copier ses deux fichiers une fois que celuici sera installé création d un utilisateur avec des droits limités pour openvpn pour limiter les risques d attaques sur openvpn il est important que le processus d openvpn fonctionne sur un utilisateur n ayant aucun droit sur le système souvent l utilisateur  nobody  est utilisé par défaut mais il est encore plus sécurisant de faire tourner chaque processus avec un utilisateur différent donc pour le processus openvpn nous allons créer l utilisateur  openvpn  groupadd openvpn useradd d dev null g openvpn s bin false openvpn configuration d openvpn par défaut openvpn est fourni avec plusieurs fichiers d exemples enregistrés dans le dossier   usr share doc openvpn examples sampleconfigfiles  pour configurer le serveur je suis parti du fichier d exemple  serverconfgz  qu il faut donc décompresser et mettre en place dans   etc openvpn  cd usr share doc openvpn examples sampleconfigfiles gunzip serverconfgz cp serverconf etc openvpn il suffit ensuite d adapter ce fichier en fonction des besoins voici par exemple le fichier de configuration que j utilise port en écoute utilisé pour la connexion vpn port 1194 protocole utilisé le protocole udp est plus sécurisé que le tcp proto udp type d interface réseau virtuelle créée dev tun nom des fichiers servant à l authentification des clients via openssl ca cacrt cert leserveurvpncrt key leserveurvpnkey dh dh1024pem adresse du réseau virtuel le serveur aura l adresse 10801 server 10800 2552552550 cette ligne ajoute sur le client la route du réseau du serveur push route 19216800 2552552550 ces lignes indiquent aux clients l adresse des serveur dns et wins push dhcpoption dns 19216802 push dhcpoption domain mondomainecom push dhcpoption wins 19216803 cette ligne permet aux clients de voire les autres clients clienttoclient keepalive 10 120 cette ligne active la compression complzo ces lignes indiquent un user et un group particulier pour le processus user openvpn group openvpn ces lignes permettent de rendre persistante la connexion persistkey persisttun status openvpnstatuslog cette ligne permet d indiquer le niveau de log souhaité de 1 à 9 verb 1 démarrage du serveur openvpn la commande suivante permet de démarrer ou redémarrer le serveur etc initd openvpn restart ne pas hésiter à regarder dans les logs que tout c est bien passé tail 100 var log syslog bien vérifier également que le processus tourne sous l utilisateur openvpn ps aux grep openvpn pour finir si tout c est bien passé l interface tun0 doit apparaître dans la configuration du réseau ifconfig tun0 lien encap unspec hwaddr 00000000000000000000000000000000 inet adr 10801 ptp 10802 masque 255255255255 up pointopoint running noarp multicast mtu 1500 metric 1 rx packets 0 errors 0 dropped 0 overruns 0 frame 0 tx packets 0 errors 0 dropped 0 overruns 0 carrier 0 collisions 0 lg file transmission 100 rx bytes 0 00 b tx bytes 0 00 b et il doit être possible de la pinguer ping 10801 installation du client windows avec openvpn la notion de client et de serveur n existe pas étant donné que c est le même logiciel qui peut faire office de client ou de serveur dans mon cas le serveur est installé sur une debian sarge et les clients sont sous debian testing ou windows 2000 xp pour windows il existe une version d openvpn avec une installation simplifiée téléchargeable à cette adresse  http openvpnse downloadhtml   http openvpnse files installpackages openvpn205gui103installexe lors de l installation de ce programme la carte réseau virtuelle tapwin32 adapter v8 est installée une fois le programme installé il est lancé automatiquement et à chaque démarrage de windows un icône pour le configurer est disponible à coté de l heure ensuite il est possible de franciser openvpn en remplaçant le binaire enregistré dans  c program files openvpn bin openvpnguiexe par le binaire téléchargeable à l adresse cidessous attention il faut le renommer après l avoir téléchargé  http openvpnse files localized binary 103 openvpngui103frexe configuration du client windows la première chose à faire est de copier dans le dossier  c program files openvpn config les fichiers servant à l authentification du client via openssl créés dans les chapitres précédents cacrt client01crt et client01key ensuite il faut modifier le fichier de configuration pour l adapter à votre cas pour éditer le fichier il est possible de faire un clic droit sur l icône openvpn situé à gauche de l heure et de choisir l option éditer la configuration voici un exemple de fichier que j utilise pour mes clients client dev tun proto udp remote 192012 1194 resolvretry infinite nobind persistkey persisttun ca cacrt cert client01crt key client01key complzo verb 1 normalement si vous utilisiez la même configuration que moi vous n aurez qu à changer l adresse ip du serveur openvpn sur la ligne remote le nom des fichiers cacrt client01crt et client01key lancement du client windows pour lancer la connexion il suffit de faire un clic droit sur l icône openvpn situé à gauche de l heure et de choisir l option connecter si tout se passe bien une fenêtre affichant les logs doit s afficher et une fois la connexion effectuée le réseau est opérationnel en cas de problème et pour trouver l origine de celuici il faut augmenter le niveau des logs en changeant le paramètre  verb  du fichier de configuration verb 3 suffisamment de logs dans la plupart des cas verb 9 énormément de logs une fois la connexion établie il doit être possible de pinguer le serveur soit sur son adresse virtuelle ex 10801 dans notre cas soit sur son adresse réelle ex 19216801  remarque  depuis le serveur pour connaître les clients connecté il faut consulter le fichier   etc openvpn openvpnstatuslog installation client linux l installation du client est identique à celle du serveur car c est le même logiciel qui fait office de serveur ou de client en fonction de sa configuration aptget install openvpn liblzo1 le fichier de configuration et la gestion des clés est identique à celle du client windows permettre aux clients vpn d accéder à l ensemble du réseau distants avec la configuration précédente les clients peuvent accéder au serveur openvpn mais ils ne peuvent pas accéder au reste du réseau sur lequel est connecté le serveur openvpn pour permettre aux clients d accéder au reste du réseau il faut effectuer deux opérations  1 autoriser le serveur linux à transmettre les paquets au reste du réseau pour cela il faut activer le forwarding avec la commande suivante echo 1 proc sys net ipv4 ipforward la commande suivante permet de vérifier que le forwarding est bien activé cat proc sys net ipv4 ipforward 2 indiquer aux autres postes du réseau la route vers le serveur openvpn si le serveur vpn est sur l adresse 19216801 il faut ajouter une route manuellement sur chaque poste du réseau avec la commande suivante sous windows c route add 10800 mask 2552552550 19216801 la commande suivante permet d avoir la liste des routes c route print la commande suivante permet de supprimer une route c route delete 10800 mask 2552552550 19216801 pour ajouter une route sous linux il faut utiliser la commande suivante route add net 10800 netmask 2552552550 gw 19216801 la commande suivante permet d avoir la liste des routes sous linux route la commande suivante permet de supprimer une route sous linux route delete net 10800 netmask 2552552550 gw 19216801  remarque  pour éviter de devoir ajouter manuellement sur chaque poste du réseau une route si c est possible il faut ajouter une route statique au niveau de la passerelle ou du routeur du réseau accéder aux autres postes connectés derrière un client vpn avec la configuration précédente le serveur openvpn peux accéder à l adresse virtuelle du client mais il ne peux pas accéder à l adresse réelle et encore moins aux autres postes connectés derrière le client vpn pour permettre au serveur d accéder aux autres postes connectés derrière un client vpn il faut ajouter des routes dans la configuration d openvpn dans le fichier de configuration du serveur openvpn il faut ajouter ces lignes clientconfigdir ccd route 19216800 2552552550 la première ligne permet d indiquer le sousdossier de etc openvpn qui contiendra la configuration spécifique de chaque client remarque il faut penser à créer ce dossier manuellement la deuxième ligne permet d ajouter la configuration du réseau d un client ensuite il faut créer un fichier dans le dossier etc openvpn ccd ayant le même nom que le certificat du client ex client01 contrant la ligne suivante iroute 19216800 2552552550 cette ligne permet d indiquer le client connecté à ce réseau pour finir il faut redémarrer le serveur et le client pour que les routes soient correctement prises en compte a partir de ce moment le serveur doit pouvoir accéder à tous les postes connectés au client vpn révocation d un certificat client si le certificat d un client à été volé au si ce dernier n est plus nécessaire il est important de le révoquer pour qu il ne puisse plus être utilisé pour révoquer un certificat il faut disposer de celuici normalement le dossier   usr share doc openvpn examples easyrsa keys  contient tous les certificats créés la commande suivante permet de révoquer un certificat cd usr share doc openvpn examples easyrsa vars revokecrt client01crt using configuration from usr share doc openvpn examples easysa opensslcnf debug loadindex uniquesubject yes revoking certificate 16 data base updated cette commande permet également de révoquer un certificat et vérifie ensuite que cette révocation est effective revokefull client01 using configuration from usr share doc openvpn examples easy sa opensslcnf debug loadindex uniquesubject yes revoking certificate 17 data base updated using configuration from usr share doc openvpn examples easysa opensslcnf debug loadindex uniquesubject yes client01crt fr st france o mondomaine cn client01 emailaddress tony domainecom error 23 at 0 depth lookup certificate revoked remarque  avec ce script il ne faut pas mettre l extension  crt  du certificat a chaque révocation de certificat son numéro est ajouté dans le fichier  keys crlpem  ce fichier contient donc la liste des certificats révoqués après chaque révocation de certificat il faut donc copier ce fichier dans   etc openvpn  la commande suivante permet de consulter la liste des certificats révoqués openssl crl in keys crlpem text il faut également ajouter cette ligne dans  etc openvpn serverconf  du serveur openvpn crlverify crlpem pour information le fichier  keys indextxt  contient la liste des certificats créés et révoqués pour finir et pour information lors de la création d un client les fichiers suivants sont créés ou modifiés dans  keys crlpem   fichier description 01pem les deux premiers caractères de fichier correspond au numéro d ordre sous forme hexadécimal du certificat 01 le premier certificat créé 0a le dixième créé serial contient le numéro du prochain certificat à créer laclecrt certificat clé public du client signée par le certificat du serveurle certificat permet de s authentifier sur le serveur laclecsr fichier temporaire utilisé pour la création du certificat ce fichier permet de générer des certificats c est une demande de certification ne nécessitant pas la clé privée laclekey clé privée du client la clé permet de déchiffrer les données en provenance du serveur indextxt contient la liste des clés créées et révoquées crlpem contient la liste des certificats révoqués historique des modifications version date commentaire 01 091205 création par tony galmiche 02 230306 mise à jour pour publication 03 280806 ajout accéder aux autres postes connectés derrière un client vpn 04 310107 ajout révocation d un certificat client 05 181208 installation sur un nouveau serveur sous debian etch  installation openvpn 201 sur une debian sarge test de commentaire sur mon article pour jibux  installation openvpn 201 sur une debian sarge a priori ça marche pas car aucun message n est arrivé sur la liste corga  installation openvpn 201 sur une debian sarge ras installation openvpn 201 sur une debian sarge excelent merci  installation openvpn 201 sur une debian sarge merci pour ce tutoril vraiment complet  installation openvpn 201 sur une debian sarge super tutorial merci j ai le warning suivant warning no server certificate verification method has been enabled see http openvpnnet howtohtml mitm for more info savezvous comment puisje corriger la config de mon serveur vpn pour ne plus l obtenir merci  installation openvpn 201 sur une debian sarge bonjour tout d abord merci pour ce tuto pense bête et super site que je suis regulièrement j ai bien suivi l install tout fonctionne bien mis a par que je me retrouve avec un problème a la fin lorsque je me connecte de mon client windows sur mon debian testing il me met un problème lié a la date dont le message d erreur est unable to connect because your certificate is not yet valid check that your system time is correct mon problème vient donc de la date mais je ne vois pas comment le gérer car bien sur l heure de mon pc client de mon serveur et même de ma freebox sont les même si qqn à une idées je serai preneur cordialement sckyzo installation openvpn 201 sur une debian sarge bonjour et merci pour ce superbe article sur openvpn je suis un chanceux qui suis tombé sur votre site par pur hazard il fait desormais parti de mes favoris voila j ai malgre tout un souci lors de l etablissement de la connxion de mon client sous windows xp sp2 avec la config tournant sur le serveur voila mon probleme sur le serveur apres avoir lancé un ifconfig j ai bien tun0 inet addr 192801 ptp 10802 masque 255255255255 et lorsque mon client windows se connecte apres avoir lancé ipconfig ip 10806 mask 255255255252 et il m est impossble de pinguer mon serveur je perds la tete et je suis au desespoir une ame charitable pourrait elle m aider je tourne vraiment en rond et je ne sais pas pourquoi cela ne fonctionne pas j ai essayé de forcer l ip et le masque sous windows mais rien y fait encore merci a tous ps j ai supprimer toutes les tap win32 de mon serveur et recréé une autre mais aucun changement installation openvpn 201 sur une debian sarge c est certainement un problème de définition des routes il me faudrait la table de routage du poste client et du serveur pour pouvoir aider installation openvpn 201 sur une debian sarge super tuto ca marche du premier coup grace à vous merci par contre vous n expliquez pas comment lancer le cleient linux x installation openvpn 201 sur une debian sarge un grand merci a toi tony tu avais mis le doit dessus le probleme venait du routage hihaaaaa le cri du cowboy en fait héhé tout est aux petits oignons et la solution vpn marche nickel encore merci a toi pour ce superbe tuto j ai modifié le fichier interface pour faire echo 1 dans ipforward directement au demarrage du serveur en regardant un autre tuto du site  installation openvpn 201 sur une debian sarge le client linux se lance comme le serveur automatiquement au démarrage ou en faisant etc initd openvpn restart installation openvpn 201 sur une debian sarge si vous suivez à la lettre les instructions çà marche sans aucun problème chapeau  installation openvpn 201 sur une debian sarge et bein moi je suis content que ce soit utile  installation openvpn 201 sur une debian sarge je n arrive pas à créer l interface tun0 quand je veux lancer le service failed server que ce passetil je suis pourtant à la lettre le tuto qui est tres bien construit  installation openvpn 201 sur une debian sarge j ai le meme probleme que bidouille82 installation openvpn 201 sur une debian sarge sur quel système debian win xp vista pour vista je ne donne aucune garantie  installation openvpn 201 sur une debian sarge bonjour merci beaucoup pour ce tuto trés utile comme sckyzo j ai pu aller jusqu au bout du tuto tout fonctionne jusqu à ce que je tente une connexion là je me retrouve comme lui avec un message d erreur me disant que le certificat n est pas valide voici les logs mon apr 02 174338 2007 openvpn 209 win32mingw ssl lzo built on oct 1 2006 mon apr 02 174338 2007 important openvpn s default port number is now 1194 based on an official port number assignment by iana openvpn 20beta16 and earlier used 5000 as the default port mon apr 02 174338 2007 warning no server certificate verification method has been enabled see http openvpnnet howtohtml mitm for more info mon apr 02 174338 2007 lzo compression initialized mon apr 02 174338 2007 control channel mtu parms l 1542 d 138 ef 38 eb 0 et 0 el 0 mon apr 02 174338 2007 data channel mtu parms l 1542 d 1450 ef 42 eb 135 et 0 el 0 af 31 mon apr 02 174338 2007 local options hash ver v4 41690919 mon apr 02 174338 2007 expected remote options hash ver v4 530fdded mon apr 02 174338 2007 udpv4 link local undef mon apr 02 174338 2007 udpv4 link remote 82662461971194 mon apr 02 174338 2007 tls initial packet from 82662461971194 sid 1706bd58 9d43f44b mon apr 02 174338 2007 verify error depth 1 error certificate is not yet valid c fr st france l paris o emmausidf cn emmaussiege emailaddress xxxxxx freefr mon apr 02 174338 2007 tlserror bio read tlsreadplaintext error error 14090086 ssl routines ssl3getservercertificate certificate verify failed mon apr 02 174338 2007 tls error tls object incoming plaintext read error mon apr 02 174338 2007 tls error tls handshake failed mon apr 02 174338 2007 tcp udp closing socket mon apr 02 174338 2007 sigusr1 soft tlserror received process restarting mon apr 02 174338 2007 restart pause 2 second s mon apr 02 174340 2007 important openvpn s default port number is now 1194 based on an official port number assignment by iana openvpn 20beta16 and earlier used 5000 as the default port mon apr 02 174340 2007 warning no server certificate verification method has been enabled see http openvpnnet howtohtml mitm for more info mon apr 02 174340 2007 reusing ssl tls context mon apr 02 174340 2007 lzo compression initialized mon apr 02 174340 2007 control channel mtu parms l 1542 d 138 ef 38 eb 0 et 0 el 0 mon apr 02 174340 2007 data channel mtu parms l 1542 d 1450 ef 42 eb 135 et 0 el 0 af 31 mon apr 02 174340 2007 local options hash ver v4 41690919 mon apr 02 174340 2007 expected remote options hash ver v4 530fdded mon apr 02 174340 2007 udpv4 link local undef mon apr 02 174340 2007 udpv4 link remote 82662461971194 mon apr 02 174340 2007 tcp udp closing socket mon apr 02 174340 2007 sigterm hard received process exiting j ai fait l installation coté serveur sur une débian etch et coté client j ai un windows xp pro pour les tests je regarderais un peu plus tard pour tester depuis une station débian bien amicalement benxico installation openvpn 201 sur une debian sarge je vois deux pistes le certificat n est pas valide refaire les clés et les certificats pour voir essayer depuis un autre poste client le serveur n est pas accessible vérifier si un parefeu est actif et voire ce qui se passe dans les logs du serveur installation openvpn 201 sur une debian sarge bon ben sans rien changer tout marche visiblement faut pas faire le test directement dans la foulée de la création du certificat client en tout cas grand merci pour ce tuto bien amicalement benxico installation openvpn 201 sur une debian sarge peutêtre un décalage entre l heure du client et l heure du serveur  installation openvpn 201 sur une debian sarge salut merci d avoir répondu alors je tourne sous debian sarge j ai suivi exactement la procédure que tu as faites mais le server est toujours failed y a t il des prerequis pour l install du serveur et j aurais voulu savoir si tu aurais pu être plus claire dans l adressage ip c est deja assez claire mais je ne sais pas je ne comprend pas très bien dsl au niveau de la config de la carte réseau que faut t il mettre je pense que mon probleme vient au niveau de l adressage donc si tu pouvais m éclairer je devrais y arriver merci beaucoup d installation openvpn 201 sur une debian sarge j ai poster pour mon probleme le meme que bidouille82 le post ce trouve un peu plus bas dans la page installation openvpn 201 sur une debian sarge ecrit moi en privé en me donnant la configuration de ton serveur de ton client ainsi que la configuration ip de tes deux postes ainsi que le détail des logs tonygalmichecoagul at freefr installation openvpn 201 sur une debian sarge j y ai pensé aprés le serveur est à l heure gmt alors que le poste de travail windows que j utilisais pour les tests est à l heure d été française p c est trés con mais quand on n y pense pas ça fout la pagaille je vais maintenant me pencher sur la question du routage et de l attribution des adresses ip en essayant de trouver une solution pour attribuer tout le temps la même adresse ip pour chaque client soit en fonction du certificat soit en fonction de la mac bien amicalement benxico installation openvpn 201 sur une debian sarge tu pourrais nous en dire un peu plus car j ai le même soucis impossible de pinguer mon serveur depuis le etc initd openvpn restart help  interface réseau virtuelle tun0 unique  bonjour j ai suivi le tuto avec une debian etch et un winxp sp2 et ça marche nickel du premier coup merci beaucoup pour cette superbe doc cela dit je me demandais si je créé les certificats et clés pour plusieurs ordinateurs est ce que seul l interface tun0 est nécessaire pour tous les clients openvpn ou alors d autres interfaces virtuelles tun1 tun2 sont créés en même temps que les certificats et clés pour chaque client en fait je pose la question car auparavant j utilisais cipe et j avais une interface virtuelle cipe par client qui pouvait se connecter merci par avance pour vos réponses interface réseau virtuelle tun0 unique  apparemment j ai eu un echo comme quoi on pouvait créer un fichier de configuration serveur pour chaque client ainsi sur le serveur on a une interface vituelle tun par ordi client tun0 tun1 tun2 mais est ce que c est nécessaire et si non est ce que ça a un avantage ou inconvénient pour l une ou pour l autre des solutions  installation openvpn 201 sur une debian sarge bonjour j ai un souci au moment du redemarrage d openvpn j ai le message suivant dans les logs apr 28 165801 localhost ovpnserver 19238 openvpn 209 i486pclinuxgnu ssl lzo epoll built on jan 21 2007 apr 28 165801 localhost ovpnserver 19238 diffiehellman initialized with 1024 bit key apr 28 165801 localhost ovpnserver 19238 tlsauth mtu parms l 1542 d 138 ef 38 eb 0 et 0 el 0 apr 28 165801 localhost ovpnserver 19238 note cannot open tun tap dev dev net tun no such device errno 19 apr 28 165801 localhost ovpnserver 19238 note attempting fallback to kernel 22 tun tap interface apr 28 165801 localhost ovpnserver 19238 cannot allocate tun tap dev dynamically apr 28 165801 localhost ovpnserver 19238 exiting comment faire pour résoudre ce probleme merci installation openvpn 201 sur une debian sarge superbe travail merci beacoup  interface réseau virtuelle tun0 unique  il n est pas nécessaire d avoir un fichier de configuration serveur pour chaque client personnellement je n ai qu un fichier pour tous mes clients l intérêt d avoir plusieurs fichiers est d avoir des paramètres ou des droits spécifique à chaque client ou chaque groupe de clients installation openvpn 201 sur une debian sarge bonjour super le tuto ça me tarde de tester tout ça mais avant pour être sur de ne pas me tromper j aurais voulu savoir sur quelle maquette je pourrais faire mes tests je pensais a deux serveurs debian etch avec deux cartes réseaux sur chaques serveurs même adressages pour l interco entre les serveurs et deux autres adressages distinct pour les autres interfaces représentant le lan de chaque site si vous pouvez me confirmer merci installation openvpn 201 sur une debian sarge bonjour cela devrait en effet permettre de tester le système mais il est déjà possible de presque tout tester avec deux machines connectées au même réseau et avec une seule carte réseau par machine autrement une autre solution est d avoir deux machines avec deux accès internet séparés ex accès par modem et accès adsl  installation openvpn 201 sur une debian sarge bonjour et chapeau pour cet article très bien construit je ne suis sous linux que depuis janvier alors je vous demande de m excuser si la réponse a cette question est évidente car elle ne l est pas pour moi voici ma config un serveur sous ubuntu 1921680103 2 mac xxx102 et 104 un routeur serveur dhcp et 19216801 et une connexion par cable la configuration du client et du serveur semblent avoir bien marché je reçois un ok après le vpn restart sur le serveur et le client mac open vpn avec tunnelblick me dit que je suis connecté je peux pinger 10801 et 6 1 serveur et 6 étant l invité mais je n arrive pas à voir mon réseau je ne peux pas pinger les adresses 192168 de mes machines j ai ajouté les routes comme indiqué sur les clients et sur le serveur route add net 10800 netmask 2552552550 gateway 1921680103 de plus si je débranche mon cable réseau de mon mac et que je le connecte au net via le téléphone je me connecte au vpn mais j ai le même problème a savoir que je ne vois pas mon réseau mon but est de pouvoir voir mon réseau a distance comme si j étais à la maison et de pouvoir greffer l ordinateur de mon père sur le vpn afin de l administrer à distance ouf c étais long merci et vous pouvez me répondre à leducmike hotmailcom  michel installation openvpn 201 sur une debian sarge bonjour c est certainement un problème de route mal configurées sur le client et sur le serveur il faut afficher la table de routage pour vérifier avec la commande route il faut également utiliser la commande traceroute pour trouver ou ça bloque pour finir la commande tcpdump permet d analyser les paquets arrivant ou sortant d une interface réseau bonne chance installation openvpn 201 sur une debian sarge salut moi j avais le même problème j ai suivi le tuto a la lettre et impossible de pingué les postes du réseau directement connecté derrière mon client openvpn j avais toutes les routes de configurées ipforward activé sur mes deux postes openvpn et tout et tout bref je me suis renseigné sur le net et je suis passé en mode tap au lieu de tun et là aucun souci je ping je fais du tse du vnc du partage de fichierstout ce dont j ai besoin en espérant t avoir éclairé sinon mail me crevasse hotmailfr installation openvpn 201 sur une debian sarge salut tres bon tuto mise a part une boulette dans le fichier conf d openvpn le protocole udp est plus sécurisé que le tcp c est l inverse a ps je me suis planté sur loral du bts sur ca  installation openvpn 201 sur une debian sarge salut très intéressant cet article justement je bosse dessus entre autre pour comprendre comment configurer un openvpn sur une debian etch ce qui m amène à une question sur d autres site j ai vu qu en principe il fallait créer le tunnel de communication via une série de commandes de ce type après avoir créé un fichier localconf dev tun ifconfig 10001 10002 takey etc openvpn ecreall key complzo port 5000 user nobody group nobody bon ton blog laisse passer les commandes sur une seule ligne mais en fait dev tun0 est sur une ligne ifconfig sur la ligne suivante etc en gros dev tun pour préciser de quoi on parle ifconfig pour préciser le point de départ et d arrivée secret etc pour préciser où se trouvera le fichier takey en référence à la clé pré partagée obtenue en faisant openvpn genkey enfin bref je ne vois pas de fichier de configuration de ce style chez toi je n en comprends pas la raison il n est peutêtre pas nécessaire ou bien il y est et je ne l ai pas reconnu comme tel merci d avance  installation openvpn 201 sur une debian sarge bonjour les commandes que tu cites ne sont pas sur une seule ligne mais bien sur des lignes séparées comme indiqué dans mon article tu as peutêtre un problème avec ton navigateur  installation openvpn 201 sur une debian sarge client vista installation openvpn 201 sur une debian sarge client vista je me réponds google est notre ami la solution est là la police de securité par default de windows vista est d utiliser seulement l authentification ntlmv2 et que samba ne la supporte pas encore ntlmv2 sera supporté dans samba v3 j explique dans la suite de ce billet comment faire en sorte de windows vista puisse accèder à vos partages samba voilà jb installation openvpn 201 sur une debian sarge client vista mais avant il faut ajouter 2 lignes dans le confxxxopenvpn routemethod exe routedelay 2 trouvé ici jb installation openvpn 201 sur une debian sarge client vista merci pour les questions et les réponses  installation openvpn 201 sur une debian sarge bonjour je dois reinstaller un serveur et j aimerai savoir si j ai besoin de rajouter des options spécifiques lors de la recompilation pour openvpn  installation openvpn 201 sur une debian sarge très bon mémo pour démarrer avec openvpn  installation openvpn 201 sur une debian sarge merci installation openvpn 201 sur une debian sarge bonjour super tuto mais j ai un ptit soucis qqu pour me filer un coup de main  installation openvpn 201 sur une debian sarge il faut décommenter nscerttype server dans la config client installation openvpn 201 sur une debian sarge merci bien pour ce tutoriel i lm a beaucoup servi sauf que je comprend pas un truc ceci remote 192012 1194 dans votre fichier de configuration client correspond à l ip de quoi du serveur local ou distant car si c est local je vois pas l utiliter d openvpn avec ssh on fait pareille non maintenant je voudrais me connecter à un serveur distant où j ai installer et configurer openvpn quelle ip je dois indiquer l ip virtuelle ou l ip routable internet  installation openvpn 201 sur une debian sarge bonjour très bon article mais comment faire pour que cette commande route add 10800 mask 2552552550 19216801 sur les clients windows ne soit pas effacée au prochain redémarrage de la machine  installation openvpn 201 sur une debian sarge bonjour a la ligne remote cela correspond au serveur distant installation openvpn 201 sur une debian sarge pareil pour moi impossible de voir les postes derrière le client openvpn les routes étaient bien indiquées de chaque côté j avais configuré les options suivantes au niveau du serveur vpn serverconf 2 lignes clientconfigdir ccd route idreseauduclientvpn 2552552550 dans le répertoire ccd j avais crée un fichier portant le nom du cn du client contenant la ligne suivante iroute dreseauduclientvpn 2552552550 les routes côté client vpn étaient directement précisées sur la passerelle de son réseau je pouvais pinguer depuis mon poste derrière le serveur vpn la passerelle et le client sur leur adresse ip privé mais pas les autres postes du réseau ces mêmes postes ceux que je ne pouvais pas atteindre pouvaient pinguer mon poste sur lequel j avais saisi directement les routes pour atteindre le reseau du client vpn ils prenaient donc bien en compte les routes statiques de la passerelle réseau sur un poste derrière le client vpn que je ne pouvais pas voir j ai ajouté une route statique précisant sur quelle passerelle l adresse ip du client vpn passer pour router les paquets à destination de mon réseau  route add net idreseauderrièreserveurvpn netmask 2552552550 gw ipprivéclientvpn  et là boom je pingue la machine mais bon je voulais que les postes derrière le client vpn utilisent la passerelle de leur réseau pour éviter de faire la manip ajout des routes stat sur tous les postes j ai donc saisi cette commande sur le client vpn  iptables t nat a postrouting s 10701 d idresauduclientvpn 24 j snat to ipprivéduclientvpn et là ça fonctionne parfaitement bah voilà sinon ce mémo reste toujours le meilleur que j ai trouvé sur le net de par sa simplicité de mise en oeuvre installation openvpn 201 sur une debian sarge bonjour excellent tuto chez moi tout fonctionne excepte que de mon poste client je ne vois pas mes imprimantes cups interface réseau virtuelle tun0 unique  merci pour l infodsl du retard pour les remerciementmais je pense que c était une bonne question à poser installation openvpn 201 sur une debian sarge bonjour super ton tuto j ai un probleme avec openvpn quand je fais restart openvpn ça me met failed installation openvpn 201 sur une debian sarge bravo très bonne doc je voudrais cependant préciser que la copie du fichier cakey clef privée de l ac dans le répertoire de configuration d openvpn ne sert à rien et est même déconseillée seul le fichier cacrt partie publique est utile pour vérifier la signature des certificats clients le cakey est utile uniquement pour signer les certificats clients lors de leur génération c est un peu dangereux de le laisser trainer merci encore pour cette super doc probleme de deconnection avec client openvpn sur windowsxp  alors moi je dis rien à redire sur ce tuto parfait sauf peutêtre un petit problème de mon coté il en faut toujours alors j ai monté un serveur vpn sur une machine ubuntu 710 tout marche bien je ping le serveur ensuite j ai une machine virtuelle sous winxp avec vmware server et la une fois openvpn client installé et que je tente une connections ça marche mais mais mais au bout de même pas 2 minutes le client ce déconnecte pourquoi je ne sais pas c est pour cela que je viens vers vous pour essayer de trouver une solution voila le log du coté du client wed mar 19 102716 2008 openvpn 205 win32mingw ssl lzo built on nov 2 2005 wed mar 19 102716 2008 important openvpn s default port number is now 1194 based on an official port number assignment by iana openvpn 20beta16 and earlier used 5000 as the default port wed mar 19 102716 2008 warning no server certificate verification method has been enabled see http openvpnnet howtohtml mitm for more info wed mar 19 102716 2008 lzo compression initialized wed mar 19 102716 2008 attempting to establish tcp connection with 108011194 wed mar 19 102716 2008 tcp connection established with 108011194 wed mar 19 102716 2008 tcpv4client link local undef wed mar 19 102716 2008 tcpv4client link remote 108011194 wed mar 19 102717 2008 leserveurvpn peer connection initiated with 108011194 wed mar 19 102718 2008 warning potential conflict between remote address 10801 and ifconfig address pair 10806 10805 this is a warning only that is triggered when local remote addresses exist within the same 24 subnet as ifconfig endpoints silence this warning with ifconfignowarn  wed mar 19 102718 2008 tapwin32 device connexion au réseau local 5 opened global 3991c3bf57064127a2f336e9df508b03tap wed mar 19 102718 2008 notified tapwin32 driver to set a dhcp ip netmask of 10806255255255252 on interface 3991c3bf57064127a2f336e9df508b03 dhcpserv 10805 leasetime 31536000 wed mar 19 102718 2008 successful arp flush on interface 2 3991c3bf57064127a2f336e9df508b03 wed mar 19 102721 2008 initialization sequence completed wed mar 19 102742 2008 connection reset restarting 1 wed mar 19 102742 2008 sigusr1 soft connectionreset received process restarting wed mar 19 102747 2008 important openvpn s default port number is now 1194 based on an official port number assignment by iana openvpn 20beta16 and earlier used 5000 as the default port wed mar 19 102747 2008 warning no server certificate verification method has been enabled see http openvpnnet howtohtml mitm for more info wed mar 19 102747 2008 reusing ssl tls context wed mar 19 102747 2008 lzo compression initialized wed mar 19 102747 2008 attempting to establish tcp connection with 108011194 wed mar 19 102808 2008 sigterm hard initinstance received process exiting voila le clientovpn config et celui donné plus haut mon serveur est en 10801 et l obtention d une adresse pour mon client est 10806 donc voila je reste dans le coin si quelqu un pouvait m aiguiller ou s il y a besoin de donner des informations supplémentaires installation openvpn 201 sur une debian sarge bonjour merci pour ce site complet en fait j ai un serveur debian et un client xp en listant les connexions réseaux sur mon client je vois la carte virtuelle mais elle apparait toujours comme déconnctée je me suis dit que probablement c est le tapwin32 qui pose un probleme je l ai réinstallé plusiers fois mais j ai toujours le même sousci en plus sur les logs de mon client j ai tls error tls key negotiation failed to occur within 60 seconds check your network connectivity mon may 26 112922 2008 tls error tls handshake failed pouvez vous m aidez svp   débian openvpn réseaux  