Configuration OpenVPN pour accès réseau local sur Windows

[lochinver]

Bonjour,
N'étant clairement pas à l'aise avec les VPN, je n'arrive pas à assimiler comment intégrer mon client distant comme s'il se trouvait dans le réseau local...
Je m'explique, j'ai installer OpenVPN Server sur un Windows Server 2019 et le client sur un Windows 10, j'ai pu créer les certificats, ouvrir le firewall, bref, ça se connecte.
Mais voilà, mon réseau local est en 192.168.1.x et l'adresse de la carte virtuelle OpenVPN est 10.50.8.x. Lorsque je me connecte en VPN j'aurai aimé pouvoir accéder aux partages du serveur comme si j'était sur place et surtout utiliser une application du serveur comme si j'étais sur place.
Je comprends bien que je dois faire un "pont" entre ma carte virtuelle et mon réseau local, mais je ne comprends pas où faire cela... server.conf ? dans Windows server ?
Merci par avance pour vos aiguillages.

[Malekal_morte]

Salut,

Normalement, quand tu es connecté à OpenVPN, tu as accès aux ressources du serveur VPN.
Ce serait bien de donner les fichiers de conf.
L'IP VPN du client quand tu es connecté.
L'IP VPN du serveur
Faire un test de ping du client vers l'IP du serveur VPN.

[lochinver]

Salut,
Merci pour ta réponse.

Fichier conf serveur : *********************************************************************************************************************************************

Code : Tout sélectionner

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.50.8.0 255.255.255.0
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3

************************************************************************************************************************************************************************
Fichier conf client : ***********************************************************************************************************************************************

Code : Tout sélectionner

client
dev tun
proto udp
remote xxxxx.ddns.net 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client01.crt
key client01.key
comp-lzo
verb 3

***********************************************************************************************************************************************************************
IP VPN Client : 10.50.8.6
IP VPN Serveur : 10.50.8.5
Si je ping le serveur (10.50.8.5) depuis le client connecté : Timeout
Si je ping le client lui même (10.50.8.6) : OK
Pour le DNS serveur, évidemment ce n'est pas xxxxx.ddns.net, mais le vrai nom défini

[Malekal_morte]

Il a l'air de manquer la ligne suivante dans la configuration du serveur :

local xxxx

où XXX est l'adresse IP de ton interface du réseau LAN

Si le ping vers le serveur VPN ne fonctionne pas, c'est que la connexion VPN est mal établie.
Donc il faut regarder les logs du serveur openvpn-status.log et celui du client pour voir si tu n'as pas des erreurs.

[lochinver]

Merci,
J'ai ajouté local 192.168.1.5 sur la conf serveur qui est son adresse IP locale
Par contre pas de changement (j'ai bien redémarré le service sur le serveur)

Voici le log serveur :

2024-07-23 15:08:25 WARNING: Compression for receiving enabled. Compression has been used in the past to break encryption. Sent packets are not compressed unless "allow-compression yes" is also set.
2024-07-23 15:08:25 WARNING: --topology net30 support for server configs with IPv4 pools will be removed in a future release. Please migrate to --topology subnet as soon as possible.
2024-07-23 15:08:25 Note: --cipher is not set. OpenVPN versions before 2.5 defaulted to BF-CBC as fallback when cipher negotiation failed in this case. If you need this fallback please add '--data-ciphers-fallback BF-CBC' to your configuration and/or add BF-CBC to --data-ciphers.
2024-07-23 15:08:25 Note: '--allow-compression' is not set to 'no', disabling data channel offload.
2024-07-23 15:08:25 Consider using the '--compress migrate' option.
2024-07-23 15:08:25 OpenVPN 2.6.11 [git:v2.6.11/ddf6bf6d2a135835] Windows [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] [DCO] built on Jun 20 2024
2024-07-23 15:08:25 Windows version 10.0 (Windows 10 or greater), amd64 executable
2024-07-23 15:08:25 library versions: OpenSSL 3.3.1 4 Jun 2024, LZO 2.10
2024-07-23 15:08:25 DCO version: N/A
2024-07-23 15:08:25 NOTE: your local LAN uses the extremely common subnet address 192.168.0.x or 192.168.1.x. Be aware that this might create routing conflicts if you connect to the VPN server from public locations such as internet cafes that use the same subnet.
2024-07-23 15:08:25 Diffie-Hellman initialized with 2048 bit key
2024-07-23 15:08:25 interactive service msg_channel=0
2024-07-23 15:08:25 ROUTE_GATEWAY 192.168.1.1/255.255.255.0 I=8 HWADDR=b0:26:28:c1:b6:6a
2024-07-23 15:08:25 open_tun
2024-07-23 15:08:25 tap-windows6 device [OpenVPN TAP-Windows6] opened
2024-07-23 15:08:25 TAP-Windows Driver Version 9.27
2024-07-23 15:08:25 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.50.8.1/255.255.255.252 on interface {D5F2066A-AEF3-40F8-8CE4-ABD38B5A674C} [DHCP-serv: 10.50.8.2, lease-time: 31536000]
2024-07-23 15:08:25 Sleeping for 10 seconds...
2024-07-23 15:08:35 Successful ARP Flush on interface [19] {D5F2066A-AEF3-40F8-8CE4-ABD38B5A674C}
2024-07-23 15:08:35 IPv4 MTU set to 1500 on interface 19 using SetIpInterfaceEntry()
2024-07-23 15:08:35 C:\Windows\system32\route.exe ADD 10.50.8.0 MASK 255.255.255.0 10.50.8.2
2024-07-23 15:08:35 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=25 and dwForwardType=4
2024-07-23 15:08:35 Route addition via ipapi [adaptive] succeeded
2024-07-23 15:08:35 Could not determine IPv4/IPv6 protocol. Using AF_INET
2024-07-23 15:08:35 Socket Buffers: R=[131072->131072] S=[131072->131072]
2024-07-23 15:08:35 UDPv4 link local (bound): [AF_INET]192.168.1.5:1194
2024-07-23 15:08:35 UDPv4 link remote: [AF_UNSPEC]
2024-07-23 15:08:35 MULTI: multi_init called, r=256 v=256
2024-07-23 15:08:35 IFCONFIG POOL IPv4: base=10.50.8.4 size=62
2024-07-23 15:08:35 ifconfig_pool_read(), in='client01,10.50.8.4,'
2024-07-23 15:08:35 succeeded -> ifconfig_pool_set(hand=0)
2024-07-23 15:08:35 IFCONFIG POOL LIST
2024-07-23 15:08:35 client01,10.50.8.4,
2024-07-23 15:08:35 Initialization Sequence Completed
2024-07-23 15:08:43 5.134.27.144:55996 VERIFY OK: depth=1, CN=OSIRIS
2024-07-23 15:08:43 5.134.27.144:55996 VERIFY OK: depth=0, CN=client01
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_VER=2.6.11
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_PLAT=win
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_TCPNL=1
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_MTU=1600
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_NCP=2
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_CIPHERS=AES-256-GCM:AES-128-GCM
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_PROTO=990
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_LZ4=1
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_LZ4v2=1
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_LZO=1
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_COMP_STUB=1
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_COMP_STUBv2=1
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_GUI_VER=OpenVPN_GUI_11.49.0.0
2024-07-23 15:08:43 5.134.27.144:55996 peer info: IV_SSO=openurl,webauth,crtext
2024-07-23 15:08:43 5.134.27.144:55996 TLS: move_session: dest=TM_ACTIVE src=TM_INITIAL reinit_src=1
2024-07-23 15:08:43 5.134.27.144:55996 TLS: tls_multi_process: initial untrusted session promoted to trusted
2024-07-23 15:08:43 5.134.27.144:55996 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, peer certificate: 2048 bits RSA, signature: RSA-SHA256, peer temporary key: 253 bits X25519
2024-07-23 15:08:43 5.134.27.144:55996 [client01] Peer Connection Initiated with [AF_INET]5.134.27.144:55996
2024-07-23 15:08:43 client01/5.134.27.144:55996 MULTI_sva: pool returned IPv4=10.50.8.6, IPv6=(Not enabled)
2024-07-23 15:08:43 client01/5.134.27.144:55996 MULTI: Learn: 10.50.8.6 -> client01/5.134.27.144:55996
2024-07-23 15:08:43 client01/5.134.27.144:55996 MULTI: primary virtual IP for client01/5.134.27.144:55996: 10.50.8.6
2024-07-23 15:08:43 client01/5.134.27.144:55996 SENT CONTROL [client01]: 'PUSH_REPLY,route 10.50.8.1,topology net30,ping 10,ping-restart 120,ifconfig 10.50.8.6 10.50.8.5,peer-id 0,cipher AES-256-GCM,protocol-flags cc-exit tls-ekm dyn-tls-crypt,tun-mtu 1500' (status=1)
2024-07-23 15:08:44 client01/5.134.27.144:55996 Data Channel: cipher 'AES-256-GCM', peer-id: 0, compression: 'lzo'
2024-07-23 15:08:44 client01/5.134.27.144:55996 Timers: ping 10, ping-restart 240
2024-07-23 15:08:44 client01/5.134.27.144:55996 Protocol options: protocol-flags cc-exit tls-ekm dyn-tls-crypt

******************************************************************************************************************************************************************************
Log client :

2024-07-23 15:08:41 WARNING: Compression for receiving enabled. Compression has been used in the past to break encryption. Sent packets are not compressed unless "allow-compression yes" is also set.
2024-07-23 15:08:41 Note: --cipher is not set. OpenVPN versions before 2.5 defaulted to BF-CBC as fallback when cipher negotiation failed in this case. If you need this fallback please add '--data-ciphers-fallback BF-CBC' to your configuration and/or add BF-CBC to --data-ciphers.
2024-07-23 15:08:41 Note: '--allow-compression' is not set to 'no', disabling data channel offload.
2024-07-23 15:08:41 OpenVPN 2.6.11 [git:v2.6.11/ddf6bf6d2a135835] Windows [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] [DCO] built on Jun 26 2024
2024-07-23 15:08:41 Windows version 10.0 (Windows 10 or greater), amd64 executable
2024-07-23 15:08:41 library versions: OpenSSL 3.3.1 4 Jun 2024, LZO 2.10
2024-07-23 15:08:41 DCO version: 1.2.1
2024-07-23 15:08:41 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
2024-07-23 15:08:41 Need hold release from management interface, waiting...
2024-07-23 15:08:42 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:61157
2024-07-23 15:08:42 MANAGEMENT: CMD 'state on'
2024-07-23 15:08:42 MANAGEMENT: CMD 'log on all'
2024-07-23 15:08:42 MANAGEMENT: CMD 'echo on all'
2024-07-23 15:08:42 MANAGEMENT: CMD 'bytecount 5'
2024-07-23 15:08:42 MANAGEMENT: CMD 'state'
2024-07-23 15:08:42 MANAGEMENT: CMD 'hold off'
2024-07-23 15:08:42 MANAGEMENT: CMD 'hold release'
2024-07-23 15:08:42 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
2024-07-23 15:08:42 MANAGEMENT: >STATE:1721740122,RESOLVE,,,,,,
2024-07-23 15:08:42 TCP/UDP: Preserving recently used remote address: [AF_INET] xxxx:1194
2024-07-23 15:08:42 Socket Buffers: R=[65536->65536] S=[65536->65536]
2024-07-23 15:08:42 UDPv4 link local: (not bound)
2024-07-23 15:08:42 UDPv4 link remote: [AF_INETxxx:1194
2024-07-23 15:08:42 MANAGEMENT: >STATE:1721740122,WAIT,,,,,,
2024-07-23 15:08:42 MANAGEMENT: >STATE:1721740122,AUTH,,,,,,
2024-07-23 15:08:42 TLS: Initial packet from [AF_INET]xxx:1194, sid=6c15ab07 bf0a5089
2024-07-23 15:08:42 VERIFY OK: depth=1, CN=OSIRIS
2024-07-23 15:08:42 VERIFY OK: depth=0, CN=server
2024-07-23 15:08:42 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, peer certificate: 2048 bits RSA, signature: RSA-SHA256, peer temporary key: 253 bits X25519
2024-07-23 15:08:42 [server] Peer Connection Initiated with [AF_INET]xxxxx:1194
2024-07-23 15:08:42 TLS: move_session: dest=TM_ACTIVE src=TM_INITIAL reinit_src=1
2024-07-23 15:08:42 TLS: tls_multi_process: initial untrusted session promoted to trusted
2024-07-23 15:08:42 PUSH: Received control message: 'PUSH_REPLY,route 10.50.8.1,topology net30,ping 10,ping-restart 120,ifconfig 10.50.8.6 10.50.8.5,peer-id 0,cipher AES-256-GCM,protocol-flags cc-exit tls-ekm dyn-tls-crypt,tun-mtu 1500'
2024-07-23 15:08:42 OPTIONS IMPORT: --ifconfig/up options modified
2024-07-23 15:08:42 OPTIONS IMPORT: route options modified
2024-07-23 15:08:42 OPTIONS IMPORT: tun-mtu set to 1500
2024-07-23 15:08:42 interactive service msg_channel=580
2024-07-23 15:08:42 ROUTE_GATEWAY 192.168.1.1/255.255.255.0 I=11 HWADDR=60:02:b4:67:15:81
2024-07-23 15:08:42 open_tun
2024-07-23 15:08:42 tap-windows6 device [OpenVPN TAP-Windows6] opened
2024-07-23 15:08:42 TAP-Windows Driver Version 9.27
2024-07-23 15:08:42 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.50.8.6/255.255.255.252 on interface {4BB138C4-F8A2-4C93-9380-1D6B16F76C84} [DHCP-serv: 10.50.8.5, lease-time: 31536000]
2024-07-23 15:08:42 Successful ARP Flush on interface [9] {4BB138C4-F8A2-4C93-9380-1D6B16F76C84}
2024-07-23 15:08:42 MANAGEMENT: >STATE:1721740122,ASSIGN_IP,,10.50.8.6,,,,
2024-07-23 15:08:42 IPv4 MTU set to 1500 on interface 9 using service
2024-07-23 15:08:42 Data Channel: cipher 'AES-256-GCM', peer-id: 0, compression: 'lzo'
2024-07-23 15:08:42 Timers: ping 10, ping-restart 120
2024-07-23 15:08:42 Protocol options: protocol-flags cc-exit tls-ekm dyn-tls-crypt
2024-07-23 15:08:47 TEST ROUTES: 1/1 succeeded len=1 ret=1 a=0 u/d=up
2024-07-23 15:08:47 MANAGEMENT: >STATE:1721740127,ADD_ROUTES,,,,,,
2024-07-23 15:08:47 C:\Windows\system32\route.exe ADD 10.50.8.1 MASK 255.255.255.255 10.50.8.5
2024-07-23 15:08:47 Route addition via service succeeded
2024-07-23 15:08:47 Initialization Sequence Completed
2024-07-23 15:08:47 MANAGEMENT: >STATE:1721740127,CONNECTED,SUCCESS,10.50.8.6,xxxx,1194,,

[Malekal_morte]

La connexion a l'air de se faire et rien de vraiment anormal sur les rapports, à priori.
Le truc, c'est que je n'ai jamais installé de serveur OpenVPN sur Windows, cela a toujours été sur Windows.
Donc s'il y a une subtilité, je la connais pas.

Tu as essayé de désactiver le pare-feu Windows ?
Sinon il faut autoriser TAP-Win32 adapter.
=> https://www.malekal.com/autoriser_bloqu ... u-windows/

ou en PowerShell côté serveur :

Code : Tout sélectionner

New-NetFirewallRule -DisplayName "OpenVPN" -Direction Inbound -Protocol UDP -LocalPort 1194 -Action Allow

Côté client :

Code : Tout sélectionner

New-NetFirewallRule -DisplayName "OpenVPN_Network" -Direction Inbound -RemoteAddress 10.50.8.0/24 -Action Allow

~~

Dans tes tutos, certains font modifier le registre Windows !

Ordinateur\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

Passer "IPEnabledRouter" à "1"
Relance le service "Routage et accès à distance" depuis services.msc ou redémarrez l'ordinateur

[lochinver]

Le Pare-feu Windows était déjà désactivé côté serveur, je l'ai également désactivé côté client, mais pas de différence, il n'y a évidemment pas d'autres antivirus/pare-feu

J'ai changé la valeur de la IPEnabledRouter à 1 en redémarrant le service, pas de différence
Comme le serveur est en production, je ne peux pas le redémarrer la journée, mais je ne pense pas que cela changera qqch

J'aimerai quand même y arriver ainsi, mais sinon, si je fais comme ton exemple https://www.malekal.com/acceder-a-un-la ... s-serveur/ sur quoi je redirige le Raspberry Pi ? Sur 192.168.1.5 ? Et au niveau performances le Raspberry Pi ne sera pas un goulot d'étranglement ?

Dans tous les cas merci déjà pour tes propositions

[Malekal_morte]

ok sinon côté client, vérifie que la route existe bien :

Code : Tout sélectionner

route print

Elle semble être créé :

2024-07-23 15:08:47 C:\Windows\system32\route.exe ADD 10.50.8.1 MASK 255.255.255.255 10.50.8.5

Tu peux alors ajouter ceci dans la configuration du serveur :

Code : Tout sélectionner

route 10.50.8.0 255.255.255.0

Et pour créer la route quand le client se connecte :

Code : Tout sélectionner

push "route 10.50.8.0 255.255.255.0"
push "route 10.11.2.0 255.255.255.0"

~~

OpenVPN a un forum, tu peux aller poser la question en donnant les conf et logs.
Dans les logs, pense à masquer l'adresse IP du serveur (je l'ai fait ici en éditant ton message).

[lochinver]

Merci pour la réponse et les IP

Je ne comprends pas l'utilité de cette ligne : push "route 10.11.2.0 255.255.255.0" ?

[lochinver]

Je viens de mettre le doigt dessus je crois, en fait la connexion se fait, le ping aussi (le serveur est 10.50.8.1, pas 5....) mais après depuis mon client mes accès au serveur ne se font que par le nom du serveur.local, si je le ping depuis le client, pas de réponse, si je le ping depuis le serveur lui-même, j'ai une réponse en IPv6...
Ce n'est donc pas un problème OpenVPN mais plutôt de DNS, je vais cherche là-autour
Sinon, pour d'autres situations, est-ce que la solution Raspberry Pi ne représenterai pas un goulot d'étranglement ? Quel modèle de Raspberry ?

[Malekal_morte]

Erreur de copier/coller pour la ligne push "route 10.11.2.0 255.255.255.0"
Elle ne sert à rien en effet.

Pour le client, tu peux tenter d'accéder aux ressources partagés du serveur via l'IP du VPN
\\10.50.8.1\nompartage
Mais normalement Windows depuis le VPN, il doit lister les machines avec leur vrai nom et la nouvelle IP, vu qu'il envoie une requête sur le réseau, les machines doivent y répondre comme tu n'es pas dans un domaine.

Pour le Raspberry, je n'en ai aucune idée, j'ai mis cela que chez moi et pas en production.

[lochinver]

Oui, \\10.50.8.1\nompartage fonctionne, mais l'idée est que le partage utilisé dans le bureau fonctionne aussi en VPN, donc en l'appelant par son nom.local, je vais creuser, juste, est-ce que j'ai un autre moyen que de redémarrer le serveur pour appliquer les changements lorsque je modifie le fichier hosts de Windows ?