Clients mobile IPsec n'ont pas accès à Internet

[sigri44]

Hello,

Un peu nouveau, et novice dans le domaine, j'ai installé OPNsense virtualisé via Proxmox.
Le tout tourne aux petits oignons depuis quelques mois, et j'ai voulu y intégrer un VPN.

Ne souhaitant pas partir sur une AppTierce (OpenVPN), j'ai choisis IPsec avec configuration compatible iOS.

Après pas mal de dur labeur, le LAN est totalement fonctionnel et accessible.

Hors, mes clients VPN n'ont pas accès au WAN/internet.

J'ai suivi ce tuto : https://forum.opnsense.org/index.php?topic=11340.0
Mais je ne comprends pas tout, et pas sur qu'il soit toujours d'actualité vu les versions.

WAN : 192.168.0.0/24
LAN : 192.168.1.0/24
IPsec : 10.0.0.0/24

Le DNS est geré par PiHole virtualisé, et il est accessible mais ne semble pas communiquer de translation.

IPsec :

LAN :

WAN :

Nat sortant :


Merci

[sigri44]

Hello,

J'ai pas mal cherché de mon côté, toujours le soucis. Personne n'as d'idée lumineuse ?

V

[Baliste]

Bonjour,

IPsec n'est vraiment PAS conseillé pour des clients mobiles. C'est plutôt dédié à du site à site.

De plus tu indiques : "WAN : 192.168.0.0/24", ce qui implique que tu as du double NAT. IPSec n'aime VRAIMENT PAS le double NAT.

Et encore, IPsec n'est pas réputé comme étant infaillible, on y trouve des traces de la NSA.

Utilise OpenVPN ou même mieux encore WireGuard

Frédéric

[thibodude]

OpnSense virtualisé dans ProxMox... pas une bonne idée... OpnSense devrait etre installé natif

[sigri44]

OpnSense virtualisé dans ProxMox... pas une bonne idée... OpnSense devrait etre installé natif

Je n'ai malheureusement pas trouvé une meilleur machine que mon hyperviseur, pour pas trop cher avec deux ports.
Avoir une machine à 150$ pour 50W juste pour avoir 2 ports RJ n'était pas dans mes optiques.

J'ai testé du port mutualisé via un RPi, ainsi que via un Synology mais cela n'a pas été fameux.

[sigri44]

Bonjour,

IPsec n'est vraiment PAS conseillé pour des clients mobiles. C'est plutôt dédié à du site à site.

De plus tu indiques : "WAN : 192.168.0.0/24", ce qui implique que tu as du double NAT. IPSec n'aime VRAIMENT PAS le double NAT.

Et encore, IPsec n'est pas réputé comme étant infaillible, on y trouve des traces de la NSA.

Utilise OpenVPN ou même mieux encore WireGuard

Frédéric

Merci des infos. Malheureusement je n'ai pas trop le choix pour le double NAT je pense, car sinon j'avais des conflits de routage entre mes 2 legs.

J'ai effectivement abandonné les idées de VPN lié à OPNsense, mais mes essais d'installation via PiVPN (OPNVPN/WG) n'ont pas portés leurs fruits non plus, toujours un soucis lié au routage visiblement, même sur un client dedié.

Pourtant le premier NAT est en bridge, donc je pensais être vu comme un "simple bridge".