Boîte à Outils Informatique
Guide

Comment diagnostiquer un VPN connecté sans accès LAN

Le tunnel peut être établi alors que routage, policies ou DNS empêchent encore l’accès aux ressources.

ThématiqueRéseau informatique →
⌚ Environ 2 min de lecture
Voir mes favoris
VPN Intermédiaire 20 min

Le tunnel peut être établi alors que routage, policies ou DNS empêchent encore l’accès aux ressources.

Avant de commencer : adaptez toujours les commandes et manipulations à votre environnement. Sur un système de production, prévoyez une sauvegarde ou un retour arrière lorsque l’action peut modifier la configuration.

Étapes à suivre

  1. 1

    Noter l’IP VPN

    Vérifiez pool et passerelle.

  2. 2

    Tester une IP LAN

    Écartez le DNS.

  3. 3

    Lire la table de routes

    Confirmez la route vers le LAN.

  4. 4

    Vérifier firewall

    Contrôlez policy et retour du trafic.

Commandes utiles

route print
tracert 192.168.1.1

À retenir

  • Testez d’abord par IP.
  • Attention aux sous-réseaux qui se chevauchent.
← Tous les guides
Complément technique

FortiGate IPsec : Phase 1, Phase 2 et trafic sont trois validations distinctes

Repères techniques

  • Phase 1 valide l’IKE/peer/authentification ; Phase 2 valide les SA IPsec et selectors. Un tunnel “up” peut malgré tout ne transporter aucun trafic.
  • NAT-T utilise UDP
  • Routes, policies, NAT et selectors doivent correspondre au flux réel dans les deux sens.

CLI ciblée

Lire les gateways/SA puis filtrer le debug sur le peer au lieu d’activer un debug IKE global non borné.

get vpn ipsec tunnel summary
diagnose vpn ike gateway list
diagnose vpn tunnel list

Pièges spécifiques

  • Un ping depuis le FortiGate sans préciser la source peut emprunter une autre interface que le trafic utilisateur.
  • Un Phase 2 down peut venir de selectors/proposals alors que la Phase 1 est parfaitement saine.

Comment valider

  • Les SA attendues sont up et leurs compteurs RX/TX augmentent pendant le test du vrai flux.
  • Policy, route et session montrent le chemin attendu sans NAT involontaire.

Preuves et vérifications

Phase 1 valide l’IKE/peer/authentification ; Phase 2 valide les SA IPsec et selectors. Un tunnel “up” peut malgré tout ne transporter aucun trafic. NAT-T utilise UDP/4500 lorsqu’un NAT est détecté ; sinon IKE démarre typiquement sur UDP/500.

Contrôle de résultat

Les SA attendues sont up et leurs compteurs RX/TX augmentent pendant le test du vrai flux. Policy, route et session montrent le chemin attendu sans NAT involontaire.

Point d’attention

Un ping depuis le FortiGate sans préciser la source peut emprunter une autre interface que le trafic utilisateur. Routes, policies, NAT et selectors doivent correspondre au flux réel dans les deux sens.

Concepts liés

Référence primaire : Fortinet Docs — FortiGate Administration Guide.

♡ 0