LAN via Routeur 4G et VPN via VPS : Route/NAT/Forward ? Résolu

Question

*** Bonjours à tous ***

INTRODUCTION:

Je tourne en rond et j’en appel à votre aide !
Je suis développeur, avec de peu de connaissances en réseau (autre métier).

J’installe un LAN distant, nommé « LANgcs » (Organes: PClinux, Automate Siemens, variateur ABB, routeur 4G et switch). Pas de connexion Internet filaire.
Après bien des enseignements, j’ai installé:
- Un serveur OpenVPN « serverVPN » sur un VPS
- Un client « ClientGCS » sur le routeur du LANgcs
- Un client « PCwin11 »  nomade, quelque-part sur le NET
Depuis PCwin11, je souhaite me connecter à tous les périphériques du LANgcs (avec des ports spécifiques pour les logiciels Siemens, ABB et le PClinux qui héberge une appli « GCS », un HMI et une API).
Et ça fonctionne !…

…Mais non.
Le VPN fonctionne: Les deux clients VPN se connectent bien au serveur VPN.
Mais PCwin11 et serverVPN ne voient QUE ClientGCS, le routeur donc (ping et interface web), PAS les autres organes de LANgcs.
Je suis presque sûr que c'est juste une histoire de paramétrage du routeur USR-G806w !!

QUESTION:

Que faut-il que je configure dans le routeur ClientGCS, un USR-G806w, pour que tous les organes soient visibles depuis serverVPN (et en finalité depuis PCwin11) ?
Je vois sur Internet: Route statique, NAT, Forwarding… Mais où, comment, quoi ??

NOTE: (et question)

Pour test, j'ai mis un PCtest sur LANgcs.
Après avoir activé ICMP (local) dans le parefeu de PCtest, tous les organes de LANgcs ping bien PCtest, mais ClientPC et serverVPN ne ping pas PCtest.
Après avoir activé ICMP (virtuel) dans le parefeu de PCtest, ClientPC et serverVPN ping bien PCtest.
mais alors je comprends pas !!
Le VPN n'est-il pas sensé faire croire que ClientPC et ServerVPN sont en local sur LANgcs ??
Je veux éviter de modifier les configs réseau/parefeu des organes (Automate, variateur) je veux faire comme si ClientPC était en local sur LANgcs !!!
C'est pas le but d'un VPN !?

J’avoue ne pas trop m’intéresser pour l’instant à la sécurité de ce LANgcs…
Je veux que ça cause !! (Promis, je verrais la sécurité après)

MERCI TOUT PLEIN !!!

DETAIL:

VPS: 10.8.0.0/24
- « serverVPN »: Un serveur OpenVPN IP public 82.123.123.123, ip privée 10.8.0.1

LANgcs: 192.168.10.0/24
- « ClientGCS » routeur 4G USR-G806w, client VPN(10.8.0.2) en 192.168.10.1
- PClinux: Debian11, appli, une API port xx40 et un HMI port xx80 en 192.168.10.201
- Automate Siemens en 192.168.10.10
- variateur ABB en 192.168.10.11
- switch tout simple

Nomade:
- Un PC portable Windows11, on va dire pour l'instant en 192.168.192.200 sur un LAN tout simple 192.168.192.0/24
- « ClientPC » Sur ce PC, le client VPN(10.8.0.3) via le soft "OpenVPN Connect"

CONFIGURATION du VPN:

** Fichier server.ovpn (en partie)
proto udp
dev tun
#push "dhcp-option DNS 1.0.0.1"
#push "dhcp-option DNS 1.1.1.1"
#push "redirect-gateway def1 bypass-dhcp"
client-config-dir /etc/openvpn/ccd
client-to-client
route 192.168.10.0 255.255.255.0
push "route 192.168.10.0 255.255.255.0"
verb 3

** Fichier (complet) 'ccd' de ClientGCS (pour le routeur)
ifconfig-push 10.8.0.2 255.255.255.0
iroute 192.168.10.0 255.255.255.0

** Fichier (complet) 'ccd' de ClientPC (pour le PC Windows11)
ifconfig-push 10.8.0.3 255.255.255.0
iroute 192.168.192.0 255.255.255.0 ### Je pense que cette ligne est inutile ! Sinon quid du nomade !!!

Pages de CONFIGURATION du routeur USR-G806w:
Image...

yg_be · Answer

bonjour,

Le VPN est sensé faire croire que les clients sont sur le LAN du serveur.

Si tu veux travailler via VPN, le serveur VPN doit donc se trouver sur LANgcs.

Calimero90 · Answer

Merci !

Heu, non c'est pas un impératif, je pense.

VPN client to client.

De plus, impossible de mettre le serveur VPN sur le LANgcs:

C'est un Internet 4G !!! Pas d'ip public !!!

yg_be · Answer

Avec ta configuration VPN, il est normal que seul le routeur ClientGCS,soit visible depuis serverVPN et PCwin11.

Ce que tu peux faire, c'est configurer le port forwarding du routeur ClientGCS, de façon à ce que ce routeur relaie des appels entrants vers d'autres clients du LAN.

Par exemple, tu peux configurer une redirection de porte de telle façon qu'un appel venant du vpn sur la porte 12345 soit redirigé vers la porte 12345 (ou une autre) de l'adresse 192.168.10.11.

Ainsi, pour se connecter à ton variateur ABB, serverVPN ou PCwin11 feront un appel vers le routeur, et cet appel sera redirigé vers le variateur.

L'utilité du VPN, dans ce contexte, c'est de sécuriser le LAN, car seuls les participants au VPN peuvent "profiter" de la redirection de porte.

Calimero90 · Answer

Merci bien !
J’apprends toujours !

ok,
Mais, sans règle de forwarding dans le routeur, je ping quand même le PCtest en 222 (si ICMP ‘virtuel’ activé dans son parefeu)
Donc la requête ICMP est bien redirigée par le Routeur… Non ? (Mais ok, c’est pas TCP…)

Et tu dis :
« L'utilité du VPN, dans ce contexte, c'est de sécuriser le LAN ». Oui certes, mais pour moi c’est surtout d’accéder aux organes distants en 4G…
Une autre possibilité ?

BREF :
J’ai fait 2 règles (image. J’hésite entre from VPN ou WAN)
Mais sur mon ClientPC, http://192.168.10.1:3880 ou 10.8.0.2:3880 ne fonctionnent pas. (je ping les 2 adresses)
En local sur le LANgcs (PCtest) ca marche, normal.

Une idée ?
Je suppose que tu va me dire nftable sur le PClinux (en 192.168.10.201)…
Peux-tu me dire, s’il te plait, (et si tu sais) quelle commande exactement ? (Masquarade, Forward… Pfffff, reste à apprendre encore !)
RJ45 du PClinux = enp1s0…

De plus :
Si c’est cela qu’il faut faire, cela sous-entend que je devrais intervenir sur les configs reseau/parefeu de l’automate et du variateur. Je sais même pas si c’est possible…

J’ai une autre vague idée (Rigole pas..) :
Avec ce VPN sur le VPS, j’arrive à atteindre le routeur 4G en ‘IP fixe’ (10.8.0.2 ou 192.168.10.1)
Est-il possible de faire alors un serveur OpenVPN sur le routeur (il a l’option)
Et le clientPC se connecte sur le premier VPN, puis sur le second…
Mais ça fait très farfelu et très bidouille ?

Une autre idée ?

brupala · Answer

Salut,

Je suis développeur, avec de peu de connaissances en réseau (autre métier)

Sur ce que tu nous décris, tu ne vas pas nous faire croire que tu as peu de connaissance, il faut déjà une bonne maitrise pour se lancer dans une architecture aussi complexe.

Très bonne idée ce VPS en relais pour ouvrir les connexions entrantes sur le routeur 4G, sinon c'est impossible, effectivement.

Reste qu'il doit manquer des choses dans ce VPS pour en faire un vrai routeur: déjà vérifier que le routage ipv4 est bien activé, c'est un VPS linux, je suppose ?

Ensuite, il faut des routes statiques car le paramètre openvpn client to client ne suffit pas, il ne permet de communiquer que dans le réseau 10.8.0.0/24, pas avec 192.168.10.0/24

donc déjà une route statique de 192.168.10.0/24 via 10.8.0.2

Dans l' autre sens depuis lan GCS , il suffit que les machines aient la route par défaut vers 192.168.10.1, normalement, le routeur doit se débrouiller derrière, mais ça va être plus compliqué car il faudra renvoyer sur 10.8.0.3 (pc client) aussi, au lieu de 10.8.0.1 la route statique 192.168.192.0/24 via 10.8.0.1 est d'ailleurs fausse, ça doit être 10.8.0.3, mais effectivement elle ne sert probablement à rien, l'adresse source de PC client pour aller sur  Lan GCS devant être celle ci en principe une vois le vpn connecté.

Pour moi le problème n'est donc pas sur routeur client 10.8.0.2, mais sur le VPS, du moins son routage.

Pour test, j'ai mis un PCtest sur LANgcs.
Après avoir activé ICMP (local) dans le parefeu de PCtest, tous les organes de LANgcs ping bien PCtest, mais ClientPC et serverVPN ne ping pas PCtest.
Après avoir activé ICMP (virtuel) dans le parefeu de PCtest, ClientPC et serverVPN ping bien PCtest.
mais alors je comprends pas !!

Là moi non plus, ça passe ou ça ne passe pas ?

C'est quoi icmp virtuel ?

je veux faire comme si ClientPC était en local sur LANgcs !!!
C'est pas le but d'un VPN !?

Il ne peut pas être en local vu qu'il est derrière un (deux) routeurs (voire beaucoup plus en ajoutant ceux de l'internet.

Rappel ton serveur vpn est distant, et on peut installer un vpn surtout routé pour d'autres buts.

Calimero90 · Answer

il faut déjà une bonne maitrise pour se lancer dans une architecture aussi complexe.
rès bonne idée ce VPS en relais pour ouvrir les connexions entrantes sur le routeur 4G, sinon c'est impossible, effectivement.

Merci, mais je galère ! Autodidacte et pas de copain calé en Réseau !

déjà vérifier que le routage ipv4 est bien activé, c'est un VPS linux, je suppose ?

Oui, Debian11

routage ipv4 ? c’est ca : ?

sudo nano /etc/sysctl.conf
 ¤ 
net.ipv4.ip_forward=1
 ¤ 
sudo sysctl -p

Je sais pas comment vérifier que c'est opérationnel !
(ok après reboot !??)

Ensuite, il faut des routes statiques car le paramètre openvpn client to client ne suffit pas, il ne permet de communiquer que dans le réseau 10.8.0.0/24, pas avec 192.168.10.0/24. 
donc déjà une route statique de 192.168.10.0/24 via 10.8.0.2

Sur le VPS, j'ai fait:

root@srv566162:/etc/openvpn# ip route add 192.168.10.0/24 via 10.8.0.2

et ca renvoi:
RTNETLINK answers: File exists

Ou c'est pas là ??

Et il faudra relancer qqch je suppose ?

comment vérifier que c'est ok ? et après reboot ??

Dans l' autre sens depuis lan GCS…
...
...

Je n’ai pas tout compris ce paragraphe !
il suffit que les machines aient la route par défaut vers 192.168.10.1 : OK
il faudra renvoyer sur 10.8.0.3… Je fais ça comment où ??
 la route statique 192.168.192.0/24 via 10.8.0.1(3)… Je la vire, ok ?

C'est quoi icmp virtuel ?

Lol ! Je sais pas trop ! Sur le parefeu de PCtest, j’ai pleins de lignes sur ICMP :

« Analyse de l’ordinateur virtuel (demande d’echo - Trafic entrant ICMPv4) » (ici, mon « virtuel »)

¤

« Diagnostics de réseau de base – Demande d’écho ICMP (ICMPv4-Entrant) » (ici, mon « local »)

(¤ : J'ai pas trouvé à faire un saut de ligne !!)

Merci pour l'aide !

Calimero90 · Answer

Bien, vous discutez même entre vous et c'est très bien ! Merci !

Je comprends que finalement ce ne serait pas un problème de route ou forwarding dans serverVPN, clientGCS(routeur4G) ou PClinux(.10.201),
mais plutôt un problème de parefeu dans ces organes, principalement dans le PClinux.
(et quid des auttomate et variateur !!... Grrr...Next problem...)

PAREFEU :

voici déjà sur le serverVPN :

root@srv566162:~# iptables -L -n -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
34299 7292K ACCEPT     udp  --  eth0   *       0.0.0.0/0            0.0.0.0/0            udp dpt:44090
  192 16056 ACCEPT     all  --  tun0   *       0.0.0.0/0            0.0.0.0/0

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
   20  1040 ACCEPT     all  --  tun0   eth0    0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  eth0   tun0    0.0.0.0/0            0.0.0.0/0

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
root@srv566162:~#

Demain j'essai de faire idem avec le nft(que je ne connais pas encore...) de PClinux

Dans l'intervalle, j'ai pas tout compris:
Vous voulez que je test quoi d'autres au juste ?

Encore merci.

Calimero90 · Answer

Bonjour à vous ! 1. Comment interprétez vous ces deux erreurs différentes, est-ce normal ? : depuis clientPC (192.200) vers PClinux (10.201) PS C:\Users\Damien> ssh xxx@192.168.10.201 ssh: connect to host 192.168.10.201 port 22: Connection timed out PS C:\Users\Damien> ssh xxx@10.8.0.2 ssh: connect to host 10.8.0.2 port 22: Connection refused PS C:\Users\Damien> 2. De plus, vous me confirmez bien que c'est normal que, une fois clientPC connecté au serverVPN, je n'ai pas (sur clientPC) une "Carte reseau magique" avec qqch comme: Carte OpenVPN : Adresse IPv4. . . . . . . . . . . . . .: 192.168.10.??? (?:srv DHCP ? ou fixée qqpart ?) Masque de sous-réseau. . . . . . . . . : 255.255.255.0 Passerelle par défaut. . . . . . . . . : 192.168.10.1 3. ip route depuis le VPS Et voici sur le VPS (serverVPN): root@srv566162:~# ip route default via 82.112.241.254 dev eth0 onlink 10.8.0.0/24 dev tun0 proto kernel scope link src 10.8.0.1 82.112.241.0/24 dev eth0 proto kernel scope link src 82.112.241.69 192.168.10.0/24 via 10.8.0.2 dev tun0 root@srv566162:~# route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface default 82.112.241.254 0.0.0.0 UG 0 0 0 eth0 10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 tun0 82.112.241.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 192.168.10.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0 root@srv566162:~# 4. (@brupala <32>) j'ai pas tcpdump sur ce Debian, je vais installer et voir ca. Tu me demande de faire juste : "# tcpdump icmp" sur PClinux (10.201) et de lancer un ping depuis clientPC (et serverVPN) vers 10.201 c'est bien ça ? 5. (@yg_be <33>) Heu, non, voir ma réponse en <17> du 01/08 à 11:33 (Ou j'ai pas compris) 6. nft sur clientPC 10.201, pas encore fait 7. là, je suis ocupé à installer un clientVPN sur le PC de l'automaticien pour voir s'il peu se connecter, par magie(?), à l'automate (10.10 ou 10.20) (La vraie finalité en fait) 8. Si .7 ne marche pas... J'ai très peur... Avec cette config, le VPN ne simule pas une connection local de clientPC sur le reseau LANgcs, ce qui amène ces problemes... y a t-il qqch à faire de mieux ? Est-rentable que je passe du temps à mon idée "farfelue" du début <5>: Avec ce VPN sur le VPS, j’arrive à atteindre le routeur 4G en ‘IP fixe’ (10.8.0.2 ou 192.168.10.1) Est-il possible de faire alors un serveur OpenVPN sur le routeur (il a l’option) Et le clientPC se connecte sur le premier VPN, puis sur le second… Mais ça fait très farfelu et très bidouille..

yg_be · Answer

Tu as deux PC qui communiquent correctement entre eux, me semble-t-il:

clientPC (192.168.192.200, 10.8.0.3), 
	PCtest (192.168.10.222)

Peux-tu confirmer que chacun peut pinger l'autre :  
10.8.0.3  <====> 192.168.10.222

Il serai utile de tester si il peuvent communiquer par TCP entre eux.  Par exemple, via http ou via telnet ou ssh.

Le but étant de vérifier si la connexion est acceptée, refusée, ou si elle expire en timeout.

Une connexion acceptée ou refusée indique que la communication fonctionne bien dans les deux sens.

Calimero90 · Answer

Bonjour,

Me revoila avec toujours mon problème...

@yg_be<36>:
Oui, les deux ping dans les deux sens.
ce sont deux windows11, sans serveur http ni ssh ni telnet...
Pour faire du TCP, je pourais installer un petit qqch si vraiment il faut,
mais déjà ca ne cause meme pas bien sur le VPS (serverVPN)

@tous:

Bon, lorsque j'ai voulu installer tcpdump sur le PClinux (10.201),
je me suis appercu que le gateway de enp1s0 etait en fait le gw du enp3s0
(qui ne sert pas pour l'instant. problème de config)
c'est réglé, j'ai bien gw=192.168.10.1 (le routeur) maintenant.

Du coup, ping 192.168.10.201 passe bien depuis le severVPN et depuis le clientPC
(lan externe 192.168.192.200 => maintenant chez moi, c'est 192.168.1.85)
(Et le tcpdump icmp sur le PClinux donne bien request et reply echo)

MAIS depuis serverVPN (et depuis le clientPC), le wget du PClinux (10.201) ne fonctionne pas.
(Ca marche en local)
root@srv566162:~# wget http://192.168.10.201:3880
--2024-08-05 09:22:45--  http://192.168.10.201:3880/
Connecting to 192.168.10.201:3880... ^C
J'ai lancé un tcpdump (tout court, donc tout le trafic)
et ca ne donne rien
(que la repetition infinie de deux lines sur le ssh en cours (local) je suppose)

Je precise que le nft sur le PClinux est:
#sudo service nftables status
...disable, inactive, dead...

Ci-dessous, quelques règles que j'ai essayé dans le routeur...
Idem...

GRrrrr.. !
Des idées ?

Merci !

Calimero90 · Answer

Bon, 
Je suis un gros con...

Je confirme,
Depuis que j'ai mis la bonne passerelle dans mon /etc/network/interfaces,
ça marche beaucoup mieux!
J'ai viré toutes les règles dans le routeur4G, j'ai redémarré le routeur, le VPS, le PClinux, le clientVPN du clientPC
Et ça marche !! (Tout cause, ping, tracert, http...)
Depuis clientPC, j'arrive même à me connecter avec winSCP et aussi à mon dev via studio code en remote (ssh)
et même en réactivant le parefeu nft du PClinux (bon, une bonne passoire pour l'instant... à voir)

En fait, mon PClinux est un mini PC industriel avec 3 RJ45 dont une seule est utilisé (enp1s0).
enp3S0 etait configuré pour un autre cas (non branchée)
Mais apparemment, c'est seulement la dernière ligne gateway qui est prise en compte dans ce fichier
(Ou j'ai pas encore tout compris !!!, à voir)

Bref, je suis vraiment désolé de vous avoir fait perdre votre temps.
Mais j'ai beaucoup appris avec votre aide, merci !

En conclusion,

Il faut quand même activer le ICMP distants sur les PC windows11 (normal, on n’est pas en local, non non !)
item : Ordinateur virtuel - ICMP echo - Trafic entrant IPv4. (virtuel veut dire ici distant je suppose, pas direct en tout cas!)

Pour les automates, j'ai un peu vu des tutos qui montrent que l'on peut activer un mode "connexion à distance",
J’ai donc bon espoir ! A voir (Je suis pas au boulot là, mais en vacance. Si si !)

Pour les variateurs, je sais pas... J'espère aussi !

MERCI TOUT PLEIN A VOUS DEUX !
En cas de gros problème, je reviens sur ce forum !!!

LAN via Routeur 4G et VPN via VPS : Route/NAT/Forward ?

11 réponses

Votre réponse

Discussions similaires