L’architecture du service VPN (station de travail -> VPN1\/2\/3\/… -> RADIUS -> LDAP\/RADIUS\/… ) pose le probl\u00e8me suivant : le client RADIUS est le serveur VPN. De ce fait, RADIUS re\u00e7oit par d\u00e9faut\u00a0 l’adresse IP du NAS (machine VPN) alors qu’il serait int\u00e9ressant d’obtenir \u00e9galement l’adresse IP du client r\u00e9el, c’est-\u00e0-dire, la station de travail.<\/p>\n
Sur le serveur VPN, le d\u00e9mon XL2TP lance le service PPP qui permet \u00e0 l’utilisateur de transmettre des informations, notamment login\/mot de passe. Le service PPP, inclut dans ses sources une partie RADIUSCLIENT (les binaires radiusclient1 que l’on charge sur le serveur VPN sont donc inutiles) qui adresse au serveur RADIUS via le protocole RADIUS les informations re\u00e7ues par le serveur VPN.<\/em><\/p>\n Or nous avons besoin pour certaines applications du VPN de conna\u00eetre (reconna\u00eetre) l’adresse IP de l’utilisateur (client final \u00e0 ne pas confondre avec le client du serveur RADIUS) pour l’autoriser ou non \u00e0 \u00e9tablir une connexion. Le serveur RADIUS n’a donc pas d’information sur l’IP de l’utilisateur.<\/p>\n Jean-Michel Caricand a cr\u00e9\u00e9 et appliqu\u00e9 un patch de quelques lignes pour transmettre cette information. maintenant, nous avons bien une information suppl\u00e9mentaire tr\u00e8s facile \u00e0 traiter :<\/p>\n L’architecture du service VPN (station de travail -> VPN1\/2\/3\/… -> RADIUS -> LDAP\/RADIUS\/… ) pose le probl\u00e8me suivant : le client RADIUS est le serveur VPN. De ce fait, RADIUS re\u00e7oit par d\u00e9faut\u00a0 l’adresse IP du NAS (machine VPN) alors qu’il serait int\u00e9ressant d’obtenir \u00e9galement l’adresse IP du client r\u00e9el, c’est-\u00e0-dire, la station de travail. […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[97,36,14,8],"class_list":["post-78","post","type-post","status-publish","format-standard","hentry","category-informations-techniques","tag-ip-utilisateur","tag-patch","tag-serveur","tag-xl2tp"],"_links":{"self":[{"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=\/wp\/v2\/posts\/78","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=78"}],"version-history":[{"count":0,"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=\/wp\/v2\/posts\/78\/revisions"}],"wp:attachment":[{"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=78"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=78"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vpn.univ-fcomte.fr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=78"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nOr les arguments transmis par le VPN au serveur RADIUS sont les suivants :<\/p>\nService-Type = Framed-User\r\nFramed-Protocol = PPP\r\nUser-Name = \"utilisateur@realm\"\r\nUser-Password = \"mot_de_passe\"\r\nNAS-IP-Address = IP_serveur_VPN\r\nNAS-Port = 1<\/pre>\n
\nEn effet, dans le fonctionnement de XL2TP (L2TP) sur le serveur VPN, nous pouvons transmettre des attributs statiques \u00e0 l’aide de l’argument \u00ab\u00a0ipparam\u00a0\u00bb. Si cet argument est transmis, l’attribut qui suit est \u00e9galement transmis. On retrouve cela dans les fichiers de configuration avec le plus souvent une cha\u00eene de caract\u00e8res (par exemple pour \u00e9viter les r\u00e9cursions sur L2TP).
\nNotre id\u00e9e est simple : introduire apr\u00e8s l’argument ipparam l’adresse IP de l’utilisateur.
\ncela nous donne le patch :<\/p>\n--- xl2tpd-1.1.12.orig\/control.c 2007-10-20 06:22:55.000000000 +0200\r\n+++ xl2tpd-1.1.12\/control.c 2008-06-12 15:01:16.000000000 +0200\r\n@@ -954,6 +954,14 @@ int control_finish (struct tunnel *t, st\r\n}\r\nif (c->lns->debug)\r\npo = add_opt (po, \"debug\");\r\n+\r\n+ po = add_opt (po, \"ipparam\");\r\n+ po = add_opt (po, \"%s\", IPADDY (t->peer.sin_addr));\r\n+\r\n+ l2tp_log (LOG_DEBUG,\r\n+ \"Use ipparam option with %s value\\n\",\r\n+ IPADDY (t->peer.sin_addr));\r\n+\r\nif (c->lns->pppoptfile[0])\r\n{\r\npo = add_opt (po, \"file\");<\/pre>\nService-Type = Framed-User\r\nFramed-Protocol = PPP\r\nUser-Name = \"utilisateur@realm\"\r\nUser-Password = \"motdepasse\"\r\nCalling-Station-Id = \"IP_utilisateur\"\r\nNAS-IP-Address = IP_serveur_VPN\r\nNAS-Port = 1<\/pre>\n","protected":false},"excerpt":{"rendered":"