✎ vpnc [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

{{tag>réseau securite vpn cryptage}}
----

====== VPNC ou « libérer » sa connexion VPN Cisco Systems® ======

On peut déjà constater l'usage par des étudiants et des universitaires d'un client VPN Libre compatible avec le Client VPN Cisco Systems® : [[http://www.unix-ag.uni-kl.de/~massar/vpnc/|le Client VPN Vpnc]].

Comparé au client VPN Cisco Systems®, la procédure d'installation est plus simple. Mais l'avantage principal réside dans le fait que la connexion VPN reste fonctionnelle même après les mises à jour du noyau système, contrairement au Client VPN Cisco Systems®.

À titre d'information, nous décrivons une procédure générique pour Debian/Ubuntu issue de diverses sources disponibles sur Internet (sites Web d'universités, forums, blogs, etc.).

===== Installation =====

[[tutoriel:comment_installer_un_paquet|Installez le paquet]] **vpnc** en cliquant sur le lien [[apt://vpnc|{{apt.png}}]]

===== Conversion d'un profil Cisco Systems® en profil Vpnc =====

Le poste étant connecté à Internet, on place le fichier-profil Cisco Systems® avec l'extension « .pcf » correspondant au fournisseur de réseau VPN sur le Bureau. Puis on lance un terminal et on tape :

cd Desktop
  /usr/share/vpnc/pcf2vpnc NOM_DU_PROFIL_CISCO.pcf

Le résultat ressemble a ceci :
<code>
## generated by pcf2vpnc
IPSec ID XXXXX
IPSec gateway XXX.XXX.XXX.XXX
IPSec secret XXXXXXXX

IKE Authmode psk

## To add your username and password,
## use the following lines:
# Xauth username <your username>
# Xauth password <your password>
</code>

<note>
Parfois, la ligne IPSec gateway est donné en adresse du site Web (avec des lettres), si ca ne marche pas, on la convertit alors en adresse IP en ouvrant un Terminal puis en tapant (connexion Internet requise...) :

host ADRESSE_DU_SITE_WEB
</note>

<note>
En décommentant (enlever le symbol #) les lignes Xauth et en remplaçant <your username> par votre identifiant et <your password> par votre mot de passe vous n'aurez plus à les saisir à chaque connexion, mais cela constitue aussi trou de sécurité (car ils apparaissent "en clair" sur votre ordinateur, s'ils servent à d'autres accès VPN plus sensibles qu'une connexion Internet, c'est potentiellement dangereux. Sécurité ou ergonomie : au choix de chacun.
</note>

On sauvegarde le résultat dans un fichier texte simple en lui rajoutant une extension « .conf » : le profil Vpnc est créé.

//Pour la suite de ce tutoriel, nous nommerons ce fichier "vpn.conf".//

===== Configuration du Client VPN Vpnc =====

[[:sudo|On place en tant que superutilisateur]] le fichier-profil « vpn.conf » dans le répertoire « /etc/vpnc/ ».

Une commande dans un Terminal permet de copier simplement des fichiers .conf depuis son Bureau vers ce répertoire

===== Lancement du Client VPN Vpnc =====

==== Connexion Manuel ====

Le client Vpnc peut être lancé en tapant ces lignes dans un Terminal :
  * connexion : <code>sudo vpnc-connect vpn.conf</code>  (On remarquera que l'extension .conf n'est pas obligatoire )
  * déconnexion : <code>sudo vpnc-disconnect</code>
==== Connexion "clic-clic" ====
On crée un Lanceur-raccourcis en cliquant avec le bouton droit de la souris sur le bureau puis « Créer un Lanceur » puis en entrant comme commande : <code>gksudo "xterm -e vpnc-connect --no-detach vpn.conf"</code>
Quand on clique sur le lanceur-raccourcis une demande de mot de passe [[http://doc.ubuntu-fr.org/vpnc|super-utilisateur]] apparait puis un Terminal avec les demandes d'identifiant et mot de passe VPN (le mot de passe ne s'affiche pas quand on le tape, c'est normal). Valider à chaque fois en tapant sur Entrée. La connexion est établie si la phrase "VPNC started in foreground..." s'affiche et elle se termine si l'on ferme la fenêtre du Terminal.

==== Connexion "clic-clic intelligent" ====
Cette solution permet de lancer une déconnexion avant de relancer une nouvelle connexion, notamment utile si vos débit sont faibles et que la connexion est instable.
Bien sûr vous pouvez ajouter d'autre commande dans ce script.

On crée un dossier vpn et le fichier de connexion dans le répertoire home:
<code>mkdir ~/vpn && touch ~/vpn/vpn.sh</code>
Ensuite on remplis le fichier texte contenant les commandes :

<code>echo -e 'vpnc-disconnect\nxterm -e vpnc-connect vpn.conf\n' | tee ~/vpn/vpn.sh</code>
pour voir le résultat 
<code>cat ~/vpn/vpn.sh</code>

Puis on crée un Lanceur-raccourcis en cliquant avec le bouton droit de la souris sur le bureau puis « Créer un Lanceur » puis en entrant comme commande.
<code>gksudo bash /home/NOM_DE_VOTRE_SESSION/vpn/vpn.sh</code>

(''gksudo'' est remplacé par ''kdesu'' si on est sous KDE)

==== Connexion via Network Manager ====
On utilise Kvpnc ou l'extension VPN de Network-manager.=> Tutoriel à faire !
FIXME NB : cette dernière solution peut ne pas fonctionner avec certains systèmes et pilotes de cartes WIFI.

==== Probleme de connexion ====

Il se peut que le logiciel vpnc demande deux mots de passes :
<code>
root@pc:/etc/vpnc# vpnc-connect vpn.conf 
Enter username for xxx.xxx.xxx.xxx: xxxx
Enter password for xxxx@xxx.xxx.xxx.xxx: 
Password for VPN xxxx@xxx.xxx.xxx.xxx: 
Password for VPN xxxx@xxx.xxx.xxx.xxx: 
vpnc-connect: authentication unsuccessful</code>

Ceci veut dire que vous avez fait une erreur dans votre login ou mot de passe.

==== Problème avec firestarter ====
L'interface graphique de firestarter ne permet pas d'autoriser les flux lorsque vpnc est lancé. Il faut modifier le fichier /etc/firestarter/user-pre pour qu'il contienne les commandes iptables suivantes:
<code>
iptables -A INPUT -j ACCEPT -s w.x.y.z -p esp
iptables -A INPUT -j ACCEPT -s w.x.y.z -p udp -m multiport -sports isakmp, 10000
iptables -A INPUT -j ACCEPT -i tun+
iptables -A OUTPUT -j ACCEPT -d w.x.y.z -p esp
iptables -A OUTPUT -j ACCEPT -s w.x.y.z -p udp -m multiport -sports isakmp, 10000
iptables -A OUTPUT -j ACCEPT -o tun+
</code>
il faut remplacer w.x.y.z par l'adresse IP de votre passerelle IPSEC.
Il faut autoriser le protocole esp (données encryptées) dans les 2 sens.
Il faut autoriser IKE (isakmp) dans le sens PC->passerelle.
Certaines configurations de passerelles utilisent le port UDP/10000 pour encapsuler le flux ESP.
Au lancement de firestarter, ces commandes sont prises en compte, et les connexions IPSEC sont autorisées.
----

//Contributeurs : andatiep, NerOlph, Mike17, ...//

Merci de recopier le code ci-contre pour prouver que vous êtes humain : T Y X L Q Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported