{"id":133,"date":"2012-02-15T23:43:18","date_gmt":"2012-02-15T22:43:18","guid":{"rendered":"http:\/\/blog.brimbelle.org\/?p=133"},"modified":"2012-08-10T16:40:28","modified_gmt":"2012-08-10T15:40:28","slug":"passerelle-vpn-l2tpipsec-pour-smartphone-avec-openbsd","status":"publish","type":"post","link":"https:\/\/blog.brimbelle.org\/index.php\/2012\/02\/15\/passerelle-vpn-l2tpipsec-pour-smartphone-avec-openbsd\/","title":{"rendered":"Passerelle VPN L2TP\/IPsec pour smartphone avec OpenBSD"},"content":{"rendered":"

\"logo.png\"<\/a>Dans cet article, je vais pr\u00e9senter la marche \u00e0 suivre pour configurer une passerelle VPN utilisant les protocoles L2TP\/IPsec sur un syst\u00e8me OpenBSD (en version 5.1). Cette passerelle vous permettra de vous y connecter \u00e0 l’aide de votre smartphone Android (test\u00e9 avec Android 4.0 ICS) ou iPhone, puisque ces terminaux supportent maintenant nativement ces types de VPN.<\/p>\n

Le protocole L2TP (Layer 2 Tunneling Protocol) est un protocole de tunneling \u00e0 la popularit\u00e9 grandissante, car support\u00e9 nativement par de nombreux OS : Windows, MacOS X, Linux, etc. mais \u00e9galement par les plate-formes mobiles populaires que sont Android et iOS. De plus, L2TP permet ais\u00e9ment de r\u00e9aliser des VPN au dessus d’infrastructures existantes puisqu’il est transport\u00e9 dans des paquets IP\/UDP sur le port 1701. Dans la suite du document, nous allons utiliser le nouveau daemon<\/em> npppd(8)<\/a>, inclus dans le syst\u00e8me de base d’OpenBSD.<\/p>\n

Afin de rendre le VPN plus s\u00fbr, la m\u00e9thode est de chiffrer le trafic L2TP dans un tunnel IPsec. Ici rien de bien nouveau, nous nous reposerons sur l’extr\u00eame simplicit\u00e9 de configuration offerte par OpenBSD.<\/p>\n

Un petit HOWTO est disponible avec les sources du ‘daemon’ npppd(8) que nous allons utiliser \u00e0 cette adresse<\/a>. Seulement, cet exemple de configuration ne s’int\u00e9resse qu’au cas g\u00e9n\u00e9rique et ne peut pas \u00eatre repris tel quel dans certains sc\u00e9narios.<\/p>\n

1. El\u00e9ments d’architecture<\/strong><\/p>\n

Mon op\u00e9rateur internet est Free. J’utilise une Freebox Revolution (v6) en mode routeur afin d’utiliser toutes les fonctionnalit\u00e9s multimedia qu’elle offre. Il faut donc noter que ma passerelle VPN poss\u00e8de une adresse IPv4 priv\u00e9e (192.168.0.1) sur le r\u00e9seau interne de ma Freebox. Il ne faut donc pas oublier de configurer la Freebox pour rediriger le trafic IPsec et L2TP (chiffr\u00e9 avec IPsec) sur la passerelle VPN, en utilisant une IP \u00ab\u00a0DMZ\u00a0\u00bb dans l’interface de configuration de la Freebox.<\/p>\n

Note :<\/strong> Les simples redirections de ports ne fonctionnent pas, car il faut non seulement rediriger le trafic UDP sur les ports 500 et 4500 (pour respectivement les protocoles ISAKMP et NAT-Traversal concernant la gestion de cl\u00e9s) mais \u00e9galement le trafic ESP (Encap Security Payload), qui a le num\u00e9ro de protocole IP n\u00b050 ; et qui concerne nos donn\u00e9es utiles chiffr\u00e9es.<\/em><\/p>\n

Ensuite, mon op\u00e9rateur mobile est \u00e9galement Free. Free ne pouvant techniquement pas assigner une adresse IP publique \u00e0 chaque \u00e9quipement mobile sur son r\u00e9seau, lorsque vous utilisez des connexions pour de la donn\u00e9e, vous vous retrouvez avec une IP en adressage priv\u00e9 (10.X.X.X).<\/p>\n

Ces points sont \u00e0 prendre en compte, surtout concernant la configuration IPsec qui devient l\u00e9g\u00e8rement plus complexe sur notre passerelle.<\/p>\n

2. Configuration de la passerelle VPN<\/strong><\/p>\n

L’\u00e9tape d’installation de l’OS OpenBSD ne sera pas d\u00e9taill\u00e9e puisque c’est une installation tout ce qu’il y a de plus standard. Deux points sont cependant \u00e0 noter.<\/p>\n

D’une part, vous aurez besoin d’utiliser au minimum OpenBSD 5.1 dont la date de sortie est comme d’habitude (cycles de d\u00e9veloppement de 6 mois) fix\u00e9e au 1er mai 2012. A l’heure o\u00f9 je r\u00e9dige cet article, OpenBSD 5.1 est seulement tagg\u00e9 dans le CVS, vous pouvez donc utiliser un snapshot<\/a> de -current.<\/p>\n

D’autre part, vous aurez besoin d’installer les sources de l’OS (src, pas xenocara ni les ports). J’utilise pour ma part une machine \u00e0 base de Soekris net5501<\/a> avec le syst\u00e8me install\u00e9 sur une carte flash. Ne pouvant pas vraiment installer les sources et compiler les outils n\u00e9cessaires, du fait de l’utilisation d’une carte flash, je monte les r\u00e9pertoires (\/usr\/obj et \/usr\/src) via un partage NFS export\u00e9 par une autre machine.<\/p>\n

Je vous invite \u00e0 lire la FAQ d’OpenBSD<\/a> qui est un mod\u00e8le du genre pour de plus amples informations sur l’installation de l’OS.<\/p>\n

Une fois l’OS OpenBSD 5.1 install\u00e9, ainsi que ses sources, il faut modifier le fichier \/etc\/sysctl.conf pour autoriser certaines fonctionnalit\u00e9s au niveau du noyau d’OpenBSD. Pour cela, il faut s’assurer que ces lignes soient d\u00e9-comment\u00e9es :
\nnet.inet.ip.forwarding=1 # transfert IP entre interfaces
\nnet.inet.gre.allow=1 # autorise le protocole de tunneling GRE
\nnet.pipex.enable=1 # acc\u00e9l\u00e9rateur de transfert IP pour PPP<\/code><\/p>\n

4. Installation et configuration de npppd(8)<\/strong><\/p>\n

Ensuite, il faut compiler le daemon<\/em> npppd(8). Celui-ci est d\u00e9j\u00e0 stable ; il n’est cependant pas compil\u00e9 par d\u00e9faut, suite \u00e0 un manque de documentation mais \u00e9galement \u00e0 une configuration qui doit \u00eatre r\u00e9-\u00e9crite, afin de coller \u00e0 la syntaxe des autres daemons<\/em> d’OpenBSD. Pour compiler npppd(8) :
\n$ cd \/usr\/src\/usr.sbin\/npppd
\n$ make
\n$ sudo make install<\/code><\/p>\n

Pour compiler npppdctl(8), son outil de contr\u00f4le :
\n$ cd \/usr\/src\/usr.sbin\/npppctl
\n$ make
\n$ sudo make install<\/code><\/p>\n

Cr\u00e9er le fichier npppd.conf (issu du HOWTO \u00e9voqu\u00e9 pr\u00e9c\u00e9demment) :
\ninterface_list: tun0
\ninterface.tun0.ip4addr: 10.0.0.1
\npool.dyna_pool: 10.0.0.0\/25
\npool.pool: 10.0.0.128\/25
\nauth.local.realm_list: local
\nauth.local.realm.acctlist: \/etc\/npppd\/npppd-users.csv
\nrealm.local.concentrate: tun0
\nlcp.mru: 1400
\nauth.method: mschapv2 chap
\npptpd.enabled: true
\npptpd.ip4_allow: 0.0.0.0\/0
\nl2tpd.enabled: true
\nl2tpd.ip4_allow: 0.0.0.0\/0
\nl2tpd.require_ipsec: false<\/code><\/p>\n

Adapter ce fichier \u00e0 votre convenance, en particulier les param\u00e8tres :<\/p>\n