Freebox Server (Ultra V9/ Pop V8/ Delta V7 / Revolution V6 / Mini 4K)

Bonjour

@mmakassikis
Suite aux différentes failles des VPN SSL fournis par les éditeurs de sécurités du marché (CVE souvent du à des problèmes sous-jacent sur la libssl), certains fournisseurs de sécurités sont en train de progressivement supprimer les VPN SSL de leurs équipements (Fortinet par exemple)

En conséquences, IPSEC a du évoluer et aujourd'hui on peut changer le port ESP qui avant étaient "quasiment figés dans le protocole" historiquement

Un RFC récent permet également l'encapsulation de IPSEC sur TCP443 ou TCPXXX :

https://datatracker.ietf.org/doc/html/rfc8229

Voir Appendix B1

Establishing an IKE Session
 
                   Client                              Server
                 ----------                          ----------
     1)  --------------------  TCP Connection  -------------------
         (IP_I:Port_I  -> IP_R:Port_R)
         TcpSyn                    ---------->
                                   <----------          TcpSyn,Ack
         TcpAck                    ---------->
 
     2)  ---------------------  TLS Session  ---------------------
         ClientHello               ---------->
                                                       ServerHello
                                                      Certificate*
                                                ServerKeyExchange*
                                   <----------     ServerHelloDone
         ClientKeyExchange
         CertificateVerify*
         [ChangeCipherSpec]
         Finished                  ---------->
                                                [ChangeCipherSpec]
                                   <----------            Finished
 
     3)  ---------------------- Stream Prefix --------------------
         "IKETCP"                  ---------->
     4)  ----------------------- IKE Session ---------------------
         Length + Non-ESP Marker   ---------->
         IKE_SA_INIT
         HDR, SAi1, KEi, Ni,
         [N(NAT_DETECTION_*_IP)]
                                   <------ Length + Non-ESP Marker
                                                       IKE_SA_INIT
                                               HDR, SAr1, KEr, Nr,
                                           [N(NAT_DETECTION_*_IP)]
         Length + Non-ESP Marker   ---------->
         first IKE_AUTH
         HDR, SK {IDi, [CERTREQ]
         CP(CFG_REQUEST), IDr,
         SAi2, TSi, TSr, ...}
                                   <------ Length + Non-ESP Marker
                                                    first IKE_AUTH
                                       HDR, SK {IDr, [CERT], AUTH,
                                              EAP, SAr2, TSi, TSr}
         Length + Non-ESP Marker   ---------->
         IKE_AUTH + EAP
         repeat 1..N times
                                   <------ Length + Non-ESP Marker
                                                    IKE_AUTH + EAP
         Length + Non-ESP Marker   ---------->
         final IKE_AUTH
         HDR, SK {AUTH}
                                   <------ Length + Non-ESP Marker
                                                    final IKE_AUTH
                                     HDR, SK {AUTH, CP(CFG_REPLY),
                                                SA, TSi, TSr, ...}
         -------------- IKE and IPsec SAs Established ------------
         Length + ESP Frame        ---------->

Prévoyez vous d'implémenter ce RFC (rfc8229) ?
Et de permettre à l'utilisateur de modifier le port ESP et IPSEC utilisé par IPSec (tcp 443 par exemple pour faire de l'IPSEC vers sa freebox quand on est derrière un firewalls qui ne laisse passer que les flux web) ?

En vous remerciant d'avance
Cordialement
nbanba

Bonjour @mmakassikis

J'ai basculé ma box en IP fullstack ce midi.
Après reboot, j'ai effectivement récupéré la totalité des ports disponibles sur mon IP (une nouvelle IP d'ailleurs).

J'ai refait le test. La connexion VPN est établie comme auparavant. Je n'ai toujours pas accès aux équipements de mon réseau depuis le VPN.

Fait nouveau : je ne sors plus sur internet avec mon équipement connecté au VPN de la Freebox (historiquement, l'adresse IP publique affichée était celle de la box à partir de mon équipement connecté au VPN). D'ailleurs, je ne ping plus mon équipement connecté depuis un PC du réseau.
Ca donne l'impression d'un problème de routage car la connexion est bien établie et visible dans mafreebox.freebox.fr

Autre élément, je n'ai effectivement plus le message d'erreur sur mafreebox.freebox.fr

Merci de votre retour.
Emmanuel

En complément, j'ai lancé un trace route depuis mon pc vers l'IP locale de mon périphérique distant connecté au VPN et j'obtiens cela :

tracert 192.168.27.65 Détermination de l’itinéraire vers 192.168.27.65 avec un maximum de 30 sauts. 1 <1 ms <1 ms <1 ms 192.168.0.254
2 * * * Délai d’attente de la demande dépassé.
3 * * * Délai d’attente de la demande dépassé.
4 * * * Délai d’attente de la demande dépassé.
5 * * * Délai d’attente de la demande dépassé.
6 192.168.0.254 rapports : Impossible de joindre l’hôte de destination. Itinéraire déterminé.

A la 6ème itération, j'ai coupé le VPN et il a terminé la commande Trace route.

Dans l'interface de la FreeboxOS > Serveur VPN > Connexions, j'ai remarqué que si mon IP source est en IPv6, je n'ai pas de réception (émission ok).
J'ai testé avec une autre connexion (Bouygues Télécom) et la connexion arrive en IPv4. Et là tout fonctionne (émission et réception). J'accède même à mes équipements.

C'est quand même dommage que cela ne fonctionne pas avec une connexion mobile partagée FreeMobile.

J'ai trouvé un contournement :
Lors du paramétrage de mon VPN IKEv2 sur mon iPhone, j'avais mis mon nom de domaine _.freeboxos.fr dans la section "Serveur" et la section "Id. distant" (je rappelle que ça marchait avant).

J'ai remplacé l'adresse du serveur par ma nouvelle IP Publique (j'ai gardé mon nom de domaine pour la partie Id. distant).
Du coup, je me présente avec l'IPv4 de mon téléphone et tout fonctionne.

Merci de m'avoir fait basculer en Fullstack.