Newsgroup: it.comp.sicurezza.varie
Titolo: Problema VPN

Sulla mia Lan ho installato windows 2000 server su di un pc con due schede
di rete (una con IP privato ed una con IP pubblico) ed ho attivato il
servizio di server VPN. Quando accedo alla Vpn da casa con un modem 56k non
ho nessun problema. Se invece tento di accedere quando mi trovo all'interno
di un'altra Lan (con router ma senza firewall) il collegamento si blocca al
momento della verifica di Username e Password. Qualcuno mi sa aiutare?
Grazie.

 ha scritto nel messaggio
news:9iv924$pmf$1...@serv1.iunet.it...

se sei in lan dietro un router do per certo al 99 per ciento (hehehe) che
sei nattato. succede che i pacchetti IPSEC (il protocollo che usa cisco,
linux e w2k, ora molto in voga, ipsec, non w2k, per crittare (hihihih))
oltre ad essere criptati sono pure "firmati" vale a dire che se solo cambi
un bit del pacchetto partito il pacchetto viene visto come "modificato da un
terribile e cattivissimo hacker bastardo" e quindi scartato. te tieni conto
che quel router, quando ti natta, non cambia un bit, ma l'intero header,
sostituendo l'ip mittente al proprio, la porta sorgente con una sua, e varie
ed eventuali. immagina un po' che ne pensa il tuo server vpn (mi viene
freddo a chiamare cosi' un w2k messo li') di quei pacchetti alterati. il
drop e d'obbligo.
x max: aggiungi la faq che va forte pure su it.comp.cisco: ipsec e nat sono
come me e mia madre: se noin sono sullo stesso pianeta e' meglio ;P
un mayhem commosso dal caloroso bentornato avuto sull'altro 3ad :)
--
Three things are certain: Death, taxes and lost data. Guess which has
occurred.
(remove ME to reply)

E quindi come si potrebbe risolvere?
"mAyhEm" <may...@MEspippolatori.com> ha scritto nel messaggio
news:9ivqhi$p2p$1...@fe2.cs.interbusiness.it...


 E quindi come si potrebbe risolvere?
esiste la possibilita con gli altig ... oooopppsss .... con i vpn
concentrator e con vpn-1 di check-point di incapsulare tutto il traffico
ipsec in un tunnel udp ... ma sono soluzioni proprietarie che devono ancora
essere standardizzate. per w2k non mi risulta ci sia questa possibilita' ma
potrei sbagliare.
un mayhem che vuole un 100aio di milioni da spendere su hw cisco per casa
:(((
--
"no no non si preoccupi, il numero di NUA e' solo un parametro commerciale,
come il numero del contratto."

 ha scritto nel messaggio
: x max: aggiungi la faq che va forte pure su it.comp.cisco: ipsec e nat sono
: come me e mia madre: se noin sono sullo stesso pianeta e' meglio ;P
non esattamente..... il PIX support IPSEC+NAT
http://www.cisco.com/warp/public/cc/so/neso/sqso/eqso/dplip_in.htm
bye
-- 
  --==> ALoR <==---------------------- -  -   -
  ettercap project: 
http://ettercap.sourceforge.net
  e-mail: alor (at) users (dot) sourceforge (dot) net    

 
http://www.cisco.com/warp/public/cc/so/neso/sqso/eqso/dplip_in.htm
non leggo l'articolo (per ora ... ho un po' di sonno) ma ti dico questo:
sia cisco che altri vendor supportano nat ed ipsec a patto che sia lo stesso
device su cui temina il tunnel a fare nat. se cerchi di fare nat tra un pix
che natta ed un router/pix/linux/quelchevuoi che natta verso internet o
tunnela in ipsec, o natta e poi ipsecca nel tunnel va tutto. se metti un
peer dietro qlcs che fa nat ipsec non funziona e non puo' funzionare. questo
perche' i pacchetti ipsec sonbo anche firmati e se cambia un bit l'hash non
corrisponde piu'. fai te se mi cambi l'header intero.
Cisco con il concentrator (altiga) e vpn-1 (checkpoint) supportano ipsec
dietro nat incapsulandolo in un tunnel udp.  ma sono soluzioni proprietarie
non standard, anche se i signori dell'ietf stanno vedendo di
standardizzarlo.
un mayhem un esame e sono cisco security expert ... poi mi pagheranno di
piu'? mah non credo :(((


 che sia lo stesso device su cui temina il tunnel a fare nat.
Anche col netscreen con cui sto "giocando" e' lo stesso; del resto, 
per quanto hai ottimamente esposto, non potrebbe essere altrimenti, salvo
soluzioni tipo VPN1 
(che poi alla checkpoint all'udp dovrebbe stare piu' attenti...<G>)

potrei sbagliare.
Non so se e' applicabile come soluzione, ma invece di usare IPSec si
potrebbe usare PPTP, che e' standard (anche se proposto da M$) e funziona
bene anche dietro il NAT.
Non e' sicuro quanto IPSec, ma meglio di un calcio in bocca. :-)
-- 
BlueRaven
Prima di parlare, ricorda:
mount -t auto /dev/brain /mnt/mouth

 come me e mia madre: se noin sono sullo stesso pianeta e' meglio ;P
Preso nota, in attesa che l'euro mi lasci un po' di tempo... (ma chi
l'ha inventata quella moneta, non lo possiamo segnalare alla
eurodeliri?).
Max che ditemelo che l'affare s'ingrossa, cribbio! 8-)
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/