VPN du campus¶

Le VPN d'OTERIA permet de vous connecter au réseau du campus depuis l'extérieur, de façon chiffrée. C'est utile pour accéder à des ressources internes lorsque vous n'êtes pas sur place. Le VPN repose sur OpenVPN et se configure à partir d'un unique fichier .ovpn.

Le fichier de configuration¶

Enregistrez le contenu ci-dessous dans un fichier nommé oteria.ovpn :

oteria.ovpn

client
dev tun
proto tcp
remote 194.88.119.97 1194
resolv-retry infinite
nobind
# Downgrade privileges after initialization (non-Windows only)
user nobody
group nogroup
persist-key
persist-tun
auth-user-pass
remote-cert-tls server
cipher AES-256-CBC
comp-lzo
verb 3
auth SHA1
key-direction 1
reneg-sec 0
redirect-gateway def1
<ca>
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</ca>
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
4d2400f8b97afecd985da488ccc4c04f
a1dbd36213bfb9c58d55ce98865754c7
923b5dcab16b69858d91aca2acb1618d
940577e79e8fc9141ecf137f92005e36
1f2fb196e910a60394b57a290b13b76d
221a084dcc75ac6015b61889756259ff
6dcf76f987f66eaf254c3aa74b0b6f41
7c3cbd0381cd92b68a2c642ddab275c2
4667f2aeedf69525b0f14b285977d618
ee5aed47ae42efa670256bf6d816bd63
b7846e6cb6410ac4351353513a2a95e5
890034bf420be9db40863fb664de673d
6a2eb91433b90beb8636b9bc218f522e
f455a61143e13cf6e48a0ae48e51ffd3
cce2bc1cb64a4ff8729e09ecc4e5061b
98a1b652f4901d16046a5a6db4d26c37
-----END OpenVPN Static key V1-----
</tls-auth>
<cert>
-----BEGIN CERTIFICATE-----
MIIEmDCCA4CgAwIBAgIIKMcVGfrJD18wDQYJKoZIhvcNAQELBQAwgYExCzAJBgNV
BAYTAlVTMREwDwYDVQQIDAhOZXcgWW9yazERMA8GA1UEBwwITmV3IFlvcmsxFjAU
BgNVBAoMDVViaXF1aXRpIEluYy4xGTAXBgNVBAsMEFVuaUZpX09wZW5WUE5fQ0Ex
GTAXBgNVBAMMEFVuaUZpX09wZW5WUE5fQ0EwHhcNMjUwOTE4MDg0MzM1WhcNMzAw
OTE3MDg0MzM1WjCBiTELMAkGA1UEBhMCVVMxETAPBgNVBAgMCE5ldyBZb3JrMREw
DwYDVQQHDAhOZXcgWW9yazEWMBQGA1UECgwNVWJpcXVpdGkgSW5jLjEdMBsGA1UE
CwwUVW5pRmlfT3BlblZQTl9DbGllbnQxHTAbBgNVBAMMFFVuaUZpX09wZW5WUE5f
Q2xpZW50MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAj2QQYkwmrdSm
RzklnxdnE+NGN4LXea676U/9gFzgkUQQ6CwNdORrrl7VGod7OHP3ENjthQ84jUvZ
Q3CrrzqvQIPFvyLVt0WPa7FkYhbfa82KnqaReQb5HtheRcWlfszLnyPUveI0LI+R
q/a0RAo/M+1Le6ua+HezfQyyApRtXXtrfASlJ3qOmx4gxYxyLmh55IXytwNcjpFp
DY8hwp2zk4I+zCfo7DthQkFmM5/fRHSlYmEUCZEL7CGxgCN8E0F6tYI9LGlhD+QI
uhNe1KeXVB/4PPod5xw+2zxL70xdLgVn8gMe85LjFsEiJuLZnckDwjmE/WIQTnwo
OvxY2ScRfwIDAQABo4IBCDCCAQQwgbUGA1UdIwSBrTCBqoAU7CCZsXDFO5gm73Sg
mxzM/1HFVQ2hgYekgYQwgYExCzAJBgNVBAYTAlVTMREwDwYDVQQIDAhOZXcgWW9y
azERMA8GA1UEBwwITmV3IFlvcmsxFjAUBgNVBAoMDVViaXF1aXRpIEluYy4xGTAX
BgNVBAsMEFVuaUZpX09wZW5WUE5fQ0ExGTAXBgNVBAMMEFVuaUZpX09wZW5WUE5f
Q0GCCBLSGz/lbNKHMAkGA1UdEwQCMAAwCwYDVR0PBAQDAgeAMBMGA1UdJQQMMAoG
CCsGAQUFBwMCMB0GA1UdDgQWBBSADXS3A3VKFiCO/8aXmmt8qAWfODANBgkqhkiG
9w0BAQsFAAOCAQEAYDhWfzbJjpauRPuQ//L6ZISW0MnGLaSg1nXTNmbk6aaeF7vc
mjQrsXTvMR+cuNy4fZrIygM6/A+IHB+f66/ZjmgxYSyhP1xQYN5P9QZ9X/eydy9/
q03ScB23mosxEw1O5y1aUc5oV5KU9BJ+5Fpb4aEm8MJboVBWjiz6yF7EKGEYJPl1
dsnMhZUrNYLaCeNWNmJYWDonRgHUw+9K2f5aIsuT4J0cIC9CDZA2AdNF/Buf4Qgu
O5VGF/EcOZTZEWGEgR05C8GbtsHoV2OYfcEGaxz6Th2loBUF3PJq3rCXN4XO9hvH
sodyrnSFB24bWxqYAJg4M3NFdHTl5qLeYxahhg==
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQCPZBBiTCat1KZH
OSWfF2cT40Y3gtd5rrvpT/2AXOCRRBDoLA105GuuXtUah3s4c/cQ2O2FDziNS9lD
cKuvOq9Ag8W/ItW3RY9rsWRiFt9rzYqeppF5Bvke2F5FxaV+zMufI9S94jQsj5Gr
9rRECj8z7Ut7q5r4d7N9DLIClG1de2t8BKUneo6bHiDFjHIuaHnkhfK3A1yOkWkN
jyHCnbOTgj7MJ+jsO2FCQWYzn99EdKViYRQJkQvsIbGAI3wTQXq1gj0saWEP5Ai6
E17Up5dUH/g8+h3nHD7bPEvvTF0uBWfyAx7zkuMWwSIm4tmdyQPCOYT9YhBOfCg6
/FjZJxF/AgMBAAECggEABN1ovuUFhO1LjOwP7jNdkGusFLMQO3Uls/c+Sw4bomIU
TsQ72qTrUFmwUjuZfyNUFRK/ED4hdY3Gu8aFVKchjgdKfL8iUBsAkC9PEBLllqM9
Gj/dfKUza4v8utJHWKN7HxWYoK6dhYuDbjmrCQnt9gWNg48hbV+mS85T9clyYnMC
BNm3eqgKd8AZt1hmrG+3NZ7l+KcyVpfRHk4pgykfsmw9T4PnI3Qe1GnR0hk7rYds
lkoosDCcIgl6+wxDOvByWHirMWI4Ty7oABoAykaqJa0rC3isCBnnTth8dv9sod+w
pQYGdWYZfNTH/7CSddhRaowI1yX0jXwjn9MK3LlvtQKBgQC/B6xgyWylx1LKZqzu
SmADAAzmkzbwOlEOek1qxi83tDdMvS19A1fL5MPkRSfTH/w7A66AElXQg4jeRftR
ZuxfwxEmx7W4S+NNqALL48HFfMDpfFFJA++b9ZJQd15ElE1ZXiv8XXzVzRDckOjY
DLeTuxDAE4BsTyuFltib286yXQKBgQDAKJ4ADNM8CRfnu7cLIlVMqD7WMZhiOLdv
dTtnRrwZtx5N5+xbhQnGd0NWiRZh1FNUPVaH86C+LwRbqE/bF6yhuHhhKq80UaZx
2DWo14QUdukT3CbJoWIC49h16kVLg0nQcC/ZBkb/MSJU2Cuci9rkRWUOAKTTq2r9
BoCSeXuNiwKBgQCbvu3Tm2VxY6kkS8ICJbFRwODDvJK2GVWssBoeS6aDi/LqJfLI
Uclq+wCbQ6bMgu9qTf4ffNNqRVN5pSTZoUhmauu46mpF79lKnwhoozCAis3djvXW
yda5GOZJpIi+8Qp/KkBCaRY2WhK9QYgVXYjucT2e3EeABqw9JldD+1nyIQKBgBqV
A9Zp78a8U0xBUX7+zuH93ENxNO1Rfz6x7vfIdzjvdge875txefq0gOI1sJzz7FsY
6SGBeFkW0/mB/RoH2l+8zxpR9067hNT23eVvetwB3xhaOhtmcdKIhmc5c0CQ9uMY
weW50pR2zZMDHHVZe3xchTA8spB9hB1giuS4XXklAoGABlaFnDidsl6bX6WqNuri
Y/b2X4MT9yjWgRmHM7/nxKYx/O6M7JdA2a0JFTX0q1tf531neyqr/HJJZAQnI0bI
5a+fUjvMIK3n8+Ye40IItgsgE0KuHI4ZXojm8uwYgVe+r8a0vA4tLPwdyGM4yFg0
ggYWTw1ZShuCjZNwUaFIqgc=
-----END PRIVATE KEY-----
</key>

Identifiants demandés à la connexion

La directive auth-user-pass signifie que le VPN vous demandera un identifiant et un mot de passe en plus du certificat, au moment de la connexion.

Utilisez vos identifiants Wi-Fi, ceux générés par UniFi Endpoints : l'identifiant commence par uid- (par exemple uid-prenom.nom@oteria.fr) et le mot de passe est celui associé à cet identifiant. Ce ne sont pas vos identifiants Google @oteria.fr. Si vous n'avez pas encore ces identifiants, suivez la page Wi-Fi & réseau.

Bon à savoir sur ce profil :

Directive	Ce que ça implique
`proto tcp` / `remote … 1194`	Connexion TCP vers le serveur sur le port 1194.
`redirect-gateway def1`	Tout votre trafic passe par le VPN une fois connecté.
`user nobody` / `group nogroup`	Abaissement de privilèges, ignoré sous Windows (voir dépannage pour Fedora/Arch/macOS).
`cipher AES-256-CBC` / `comp-lzo`	Réglages hérités : peuvent nécessiter un ajustement sur OpenVPN récent (voir Dépannage).

Installation par plateforme¶

Debian / UbuntuRocky LinuxFedoraArch LinuxmacOSWindows

Client en ligne de commande :

sudo apt update
sudo apt install openvpn

Intégration au gestionnaire de réseau (interface graphique) :

sudo apt install network-manager-openvpn-gnome

Importez ensuite le profil, soit via Paramètres › Réseau › VPN › + › Importer depuis un fichier, soit en ligne de commande :

nmcli connection import type openvpn file oteria.ovpn

Ou lancez-le directement (le mot de passe vous sera demandé) :

sudo openvpn --config oteria.ovpn

OpenVPN se trouve dans le dépôt EPEL :

sudo dnf install epel-release
sudo dnf install openvpn NetworkManager-openvpn-gnome

Connexion en ligne de commande :

sudo openvpn --config oteria.ovpn

Groupe nogroup

Sous Rocky, le groupe nogroup n'existe pas toujours. Si la connexion échoue avec « Failed to find GID for group nogroup », remplacez group nogroup par group nobody dans le fichier (voir Dépannage).

sudo dnf install openvpn NetworkManager-openvpn-gnome

Connexion en ligne de commande :

sudo openvpn --config oteria.ovpn

Groupe nogroup

Comme sur Rocky, utilisez group nobody si group nogroup provoque une erreur.

sudo pacman -S openvpn networkmanager-openvpn

Connexion en ligne de commande :

sudo openvpn --config oteria.ovpn

Groupe nogroup

Sous Arch, le groupe par défaut est nobody. Remplacez group nogroup par group nobody si nécessaire.

Utilisez une application cliente OpenVPN : Tunnelblick (gratuit) ou OpenVPN Connect. Avec Homebrew :

brew install --cask tunnelblick

Puis double-cliquez sur oteria.ovpn pour l'importer dans Tunnelblick, saisissez vos identifiants Wi-Fi uid-… et cliquez sur Connecter.

Privilèges

Le groupe nogroup n'existe pas sous macOS. Tunnelblick gère cela automatiquement ; en ligne de commande, utilisez group nobody.

Installez OpenVPN GUI (client communautaire) ou OpenVPN Connect depuis le site officiel openvpn.net.

OpenVPN GUI : placez oteria.ovpn dans C:\Users\<vous>\OpenVPN\config\, puis faites un clic droit sur l'icône OpenVPN dans la zone de notification et choisissez Connect.
OpenVPN Connect : cliquez sur Import › File et sélectionnez oteria.ovpn.

Lignes ignorées

Les directives user nobody et group nogroup sont sans effet sous Windows (le commentaire du fichier l'indique déjà). Aucune modification n'est nécessaire.

Se connecter et vérifier¶

Lancez la connexion (GUI ou sudo openvpn --config oteria.ovpn).
Saisissez votre identifiant Wi-Fi uid-… et son mot de passe (ceux récupérés depuis UniFi Endpoints) lorsqu'ils sont demandés.

Vérifiez qu'une interface tun est active et que le tunnel est monté :

ip a show tun0        # Linux : l'interface doit exister

Tout le trafic passe par le VPN

Avec redirect-gateway def1, l'intégralité de votre navigation transite par le VPN une fois connecté. Déconnectez-vous du VPN lorsque vous n'en avez plus besoin.

Dépannage¶

Erreur « Failed to find GID for group nogroup »

Le groupe nogroup n'existe pas sur votre système (fréquent sous Rocky, Fedora, Arch et macOS). Remplacez dans le fichier :

group nogroup

par :

group nobody

Avertissement ou échec lié à comp-lzo (OpenVPN 2.5+/2.6)

La compression comp-lzo est dépréciée sur les versions récentes d'OpenVPN. Si la connexion échoue ou affiche un avertissement, ajoutez :

allow-compression yes

ou remplacez comp-lzo par compress lzo.

Erreur de négociation du chiffrement (AES-256-CBC)

OpenVPN 2.6 peut refuser AES-256-CBC s'il n'est pas déclaré comme cipher de données. Ajoutez au fichier :

data-ciphers AES-256-CBC:AES-256-GCM
data-ciphers-fallback AES-256-CBC

Authentification refusée

Vérifiez que vous utilisez bien votre identifiant Wi-Fi uid-… généré par UniFi Endpoints et son mot de passe, et non votre compte Google @oteria.fr. Assurez-vous aussi d'utiliser le fichier officiel le plus récent : un certificat expiré ou révoqué empêche la connexion.

Un problème persiste ?

Contactez le support technique en précisant votre système d'exploitation, la version d'OpenVPN (openvpn --version) et le message d'erreur exact.