Auteur Sujet: VPN PPTP sur routeur Mikrotik - problemes de connexions (Lu 4120 fois)

cetipabo · « **le:** 18 janvier 2022 à 22:06:18 »

Bonjour,

on a un routeur Mikrotik RB2011 au boulot, on a mis en place dessus un service VPN PPTP pour nous connecter au réseau de l'entreprise. Ca marche très bien depuis des années.
Depuis la semaine dernière, une personne de la société ne parvient plus a se connecter au VPN avec son PC. Elle est chez Free en FTTH, avec une Freebox POP.
Je lui ai demandé d'utiliser son smartphone (chez Orange) en point d'accès partagé, et ca ne fonctionne pas non plus.

Aujourd'hui elle arrive au boulot, je supprime et reconfigure la connexion VPN sur son PC. Je teste la connexion VPN depuis son bureau (par le wifi), ca fonctionne. Je teste en passant par mon Smartphone (un samsung galaxy S6, chez Orange) ca fonctionne. Donc j'en déduis que son PC n'a pas de souci.
On teste ensuite en passant par son smartphone (un samsung plus récent), ca ne marche pas. J'appelle une autre collègue qui a un iphone 7, chez orange aussi, ca ne marche pas...

Coté mikrotik, on regarde les logs. Lorsque ca ne marche pas on voit la tentative de connexion, et plus rien...

Les ip en 88.124 c'est les tentative depuis sa box FREE. Les ip en 92.184 ce sont les essais avec son smartphone Orange.

Pour une connexion qui se déroule normalement les logs sont comme ceci:

La connexion VPN fonctionne parfaitement pour une 20ene d'autres personnes, dont moi. Donc je ne comprends pas ce qu'il se passe. Ce n'est pas moi qui administre le Mikrotik, c'est un prestataire de notre maison mère donc meme si j'ai l'accès, pas le droit de bricoler dedans.

A votre avis que se passe t'il ?
sur le PC, lorsque la connexion échoue, windows affiche le message suivant :

De ce qu'on peut lire c'est que les paquets GRE ne semble pas être recus... ou envoyés. Pourquoi ??

doctorrock · « **Réponse #1 le:** 18 janvier 2022 à 22:33:56 »

Tu peux demander au Mikrotik de cracher beaucoup plus de logs que ça.

Dans /system/logging , demande de logguer tout ce qui est du topic "pptp". Tu auras beaucoup d'infos, et possiblement tu trouveras ton problème.

cetipabo · « **Réponse #2 le:** 18 janvier 2022 à 22:44:25 »

Citation de: doctorrock le 18 janvier 2022 à 22:33:56

Tu peux demander au Mikrotik de cracher beaucoup plus de logs que ça.

Dans /system/logging , demande de logguer tout ce qui est du topic "pptp". Tu auras beaucoup d'infos, et possiblement tu trouveras ton problème.

ha merci ! je viens de le faire, du coup on pourra pousser plus loin demain...

doctorrock · « **Réponse #3 le:** 19 janvier 2022 à 18:44:48 »

Ca vient p-e des postes Windows ? Microsoft a semble-t-il comme d'habitude foiré ses dernières mises à jour :

https://publish.twitter.com/?query=https%3A%2F%2Ftwitter.com%2FWindowsUpdate%2Fstatus%2F1483212333560172545&widget=Tweet

cetipabo · « **Réponse #4 le:** 21 janvier 2022 à 17:06:41 »

Citation de: doctorrock le 19 janvier 2022 à 18:44:48

Ca vient p-e des postes Windows ? Microsoft a semble-t-il comme d'habitude foiré ses dernières mises à jour :

https://publish.twitter.com/?query=https%3A%2F%2Ftwitter.com%2FWindowsUpdate%2Fstatus%2F1483212333560172545&widget=Tweet

oui j'ai vu, j'ai vérifié les mises a jour et tout est OK, ca ne semble pas venir de là.
Concernant le les logs j'ai soumis l'idée que tu m'as donnée, mais j'ai pas eu de retour la dessus, je relancerai.

De son coté La personne qui galère a appelé FREE, ils lui ont fait mettre le pare feu de sa Box au minimum, et rien à faire... ca ne passe pas.

Du coup j'ai demandé la création sur le Mikrotik d'un VPN en L2TP/IPsec avec clé partagée. Lorsque je fais le test au boulot, ca marche depuis mon PC. Mais ca ne marche pas depuis chez moi

je suis chez SFR avec une NB6VAC (BOX 7 plus). Dans cette box l'interface web n'a pas de firewall, on ne peut rien faire !! c'est une blague !! le Firewall en fait c'est ca :

Que j'active ou désactive le filtrage, ca ne marche pas.

Dans le log Mikrotik ils me disent qu'ils voient juste cela :

ils ont pas du activé les logs détaillés...

cetipabo · « **Réponse #5 le:** 22 janvier 2022 à 12:30:36 »

Bon pour ce qui est de la connexion L2TP je viens de faire un test sur une VM Windows 10 installée sur mon PC en Windows 11. Et bien cela fonctionne...
Donc on peut exclure un problème de BOX FAI.
C'est bien la mise a jour de windows qui fou le bordel.

cetipabo · « **Réponse #6 le:** 24 janvier 2022 à 12:54:50 »

re !
le PC de la personne qui a le souci a été mis a jour avec le patch qui régle le souci de VPN qui est sorti il y a quelques jours : KB5010793
dans ce patch il est fait mention du L2TP, pas du PPTP.

Verdict, le VPN marche maintenant en L2TP avec son PC et son Smartphone. Mais toujours pas en PPTP avec le smartphone... on verra si ce soir il marche depuis chez elle, au travers de sa freebox pop.

Au passage j'ai vu sur le forum Mikrotik ici : https://forum.mikrotik.com/viewtopic.php?t=182163#p906348
qu'un membre indique que le logiciel freeware (smart vpn) de Draytek fonctionne parfaitement, indépendement du souci de VPN intégré de windows.
Je ne connaissait pas ce logiciel, ca tombe très bien car des clients VPN gratuits, à part le vieillissant SHREW https://www.shrew.net/download/vpn il n'y en a pas des masses.

Je le joins au message des fois qu'ils décident de le rendre payant

cetipabo · « **Réponse #7 le:** 24 janvier 2022 à 21:58:58 »

Bon, ben ca reste incompréhensible. Le verdict final :
Le PPTP ne marche plus, malgré les updates et les patch correctifs.
Le L2TP, lui, fonctionne.
Test avec 2 PC différents, sur une freebox pop, en wifi.

Avec le Samsung A72, en hotspot wifi, L2TP OK, PPTP KO...

Merci à tous de m'avoir lu ! hahaha !

cetipabo · « **Réponse #8 le:** 30 mars 2022 à 13:09:00 »

Coucou !
depuis ces événement (toujours pas résolus), j'ai eu 2 nouvelles personnes, dont une hier et pour qui le VPN à toujours fonctionné jusqu'a maintenant. le point commun elles sont toutes chez FREE, et confrontées au même problème: Le VPN en PPTP ne fonctionne plus, obligé de passer en L2TP.

Après de nouvelles recherches, je me demande si elles ne sont pas passées en CGNAT ?
Ca se passe comment chez FREE ? c'est comme chez SFR ? tu passes d'IPV4 dédiée à CGNAT sans avertissement ? ou c'est du CGNAT dès le début et pour etre en full stack il faut faire une demande ?

Fuli10 · « **Réponse #9 le:** 30 mars 2022 à 13:33:12 »

Citation de: cetipabo le 30 mars 2022 à 13:09:00

Ca se passe comment chez FREE ? c'est comme chez SFR ? tu passes d'IPV4 dédiée à CGNAT sans avertissement ? ou c'est du CGNAT dès le début et pour etre en full stack il faut faire une demande ?

Hello,
Chez Free, cela fonctionne par zone.
Soit on est dans une zone "historique" pas encore basculé, en xDSL, auquel cas on est en IPv4 dédié (et 6rd).
Soit on est dans un zone plus récente (par exemple toutes les ZMD, mais aussi certain DSLAM qui ont basculé dans le nouveau mode de fonctionnement), auquel cas on est en préfixe IPv6 et IPv4 4rd (et non pas CG-NAT).

Dans les zone IPv6, c'est du 4rd qui est différent par rapport au CG-NAT dans le sens ou L'IPv4 est fixe et il est encore possible à un utilisateur d'ouvrir des ports, mais seulement sur un range (4 ranges chez Free). IMHO c'est BEAUCOUP plus intelligent de faire ça plutôt que d'interdire complètement l'ouverture de ports.

De plus (je ne sais plus ou dans ce forum mais cela a été confirmé par quelqu'un de chez Free) IPSec et quelques autres protocoles chiffrés passent, donc il doit y avoir certains ports couples port sources/port dest qui doivent passer sans remapping des ports malgré le 4rd (qui se limite sur le range de port en sortie via un remap). Je pense par exemple à IPSec qui a besoin de port source/port dest fixes (genre UDP 500 & 4500, et aussi des paquets non TCP/UDP), et qui doit probablement utiliser l'IPv4 du 4rd avec le même couple 500/500 ou 4500/4500, même si le destinataire est la box avec un range de port > 16K (genre le tracking de connexion doit se faire uniquement sur l'IP destination).

Depuis le début (+ quelques semainessssssss) il y a la possibilité de retrouver une IPv4 "full stack" avec l'ensemble des ports accessibles. Cela se fait via l'interface client chez Free (pas besoin d’appeler, d’insister ou de payer, seulement de patienter qu'il y a un range d'IPv4 qui se libère). En général dans ce cas on retrouve - au bout de quelques minutes - une IPv4 qui n'a rien a voir avec les IPv4 que l'on a eu précédemment.

A savoir: si on a les compétences techniques pour se passer complètement de la freebox, on peut avoir 2 IPv4 pour soi: l'IPv4 du 4rd (et son range de port) est toujours valide même après un passage en IPv4 "full stack". Par contre il faut VRAIMENT dégager la freebox pour cela.

cetipabo · « **Réponse #10 le:** 30 mars 2022 à 13:51:09 »

Citation de: Fuli10 le 30 mars 2022 à 13:33:12

Depuis le début (+ quelques semainessssssss) il y a la possibilité de retrouver une IPv4 "full stack" avec l'ensemble des ports accessibles. Cela se fait via l'interface client chez Free (pas besoin d’appeler, d’insister ou de payer, seulement de patienter qu'il y a un range d'IPv4 qui se libère). En général dans ce cas on retrouve - au bout de quelques minutes - une IPv4 qui n'a rien a voir avec les IPv4 que l'on a eu précédemment.

Ha ! MERCI @Fuli10
ca m'interesse il y a des images écran quelque part pour que je puisse expliquer la manip à faire a mes collègues ?

Ha trouvé !

cetipabo · « **Réponse #11 le:** 30 mars 2022 à 14:30:11 »

Bon !
Problème résolu suite au passage en IPV4 full stack !!

encore merci @Fuli10