Newsgroup: it.comp.os.linux.sys
Titolo: Doppio Tunneling con VTunD, è possibile?

In ufficio stiamo provando a realizzare una connessione utilizzando il VTunD
per consentire a delle macchine Linux di collegarsi a un AS/400. Per motivi
di controllo del traffico sulla rete dobbiamo far si che le due macchine
siano collegate secondo questo schemino:
MAcchina1--->Macchina2--->ReteLAN ufficio(AS/400)
In modo che la Macchina1 NON possa andare DIRETTO sull'AS/400 ma debba
SEMPRE passare su Macchina2
Macchina1 è impostata con il VTund sulla 2 con un tunneling criptato e
mascheramento IP, Macchina2 lo stesso sia verso 1 che verso l'AS/400.
Pingando l'AS dalla Macchina2 tutto funziona regolarmente, mentre provando
da 1 non si riesce.
Ho provato a modificare il Vtund.conf della macchina1 aggiungendo sotto alla
riga
Macchina1-Macchina2
[...]
        up {
                # Connection is Up,
                #Indirizzo IP interfaccia tun
                ifconfig "%% 192.168.250.32 pointopoint 192.168.250.53 mtu
1450
                #routing attraverso la nuova interfaccia
                route "add -net 192.168.4.0 netmask 255.255.255.0 dev %%";
                route "add -net 192.168.1.11 netmask 255.255.255.0 gw
192.168.200 dev %%";
        };
aggiungendo alla prima Route che come vedete porta alla macchina2 (indirizzo
rete 192.168.4.0 , server linux 192.168.4.200)
una seconda route statica che punti all'AS/400 usando come gateway del
routing la macchina linux Macchina2
Purtroppo non riusciamo a vedere dove sia il problema, ma a quanto pare la
macchina2 NON permette il passaggio dei pacchetti da 1 a AS, li blocca (il
ping non restituisce alcun risultato, nemmeno Host Unreachable).
Qualcuno ha mai riscontrato un problema di questo genere?
Preciso che NON possiamo consentire il tunneling diretto dalla Macchina1
all'AS/400 per questione di controllo di quanto traffico viene effettuato
sull'AS (motivi contabili e di fatturazione, principalmente).
Grazie a tutti per l'aiuto.
--
Stefano Finetti
Lynx Automotive
sfin...@lynxtesoft.it
http://www.lynxtesoft.it

 ping non restituisce alcun risultato, nemmeno Host Unreachable).
L'AS sa come raggiungere la macchina1? Per come avete impostato le cose 
potete farlo in 2 modi
1. La macchina 2 maschera la connessione
2. L'AS ha nelle tabelle di routing una voce che gli dice di raggiungere la 
macchina 1 passando attraverso la macchina 2.
Adesso come adesso l'AS probabilmente riceve il ping ma non sa dove spedire 
la risposta.
Ciao!

 Qualcuno ha mai riscontrato un problema di questo genere?
Si', ma non era un problema di routing, che e' banale. Risolto pistolando
a livello di masquerading con qualcosa del tipo
    /sbin/ipfwadm -F -a accept -m -S 
192.168.1.0/24
 -D 
192.168.0.0/24
    /sbin/ipfwadm -F -a accept -m -S 
192.168.0.0/24
 -D 
192.168.1.0/24
da fare simmetricamente su macchina1 e 2. Controlla sulle due macchine
con tcpdump sulle varie interfacce cosa succede pingando.
Ciao,
         Umberto
PS - vtund non e' un granche' come sicurezza, ma forse sufficiente. Quale
paranoico preferisco usare SSH per il tunnel.

 paranoico preferisco usare SSH per il tunnel.
che limiti ha? il suo encrypt non e' affidabile?
grazie e ciao.
        striscio

 che limiti ha? il suo encrypt non e' affidabile?
vtund esegue la criptazione con un banale xor con la password, una
tecnica assai primitiva e a livello di sicurezza minimo.
Con OpenSSH hai, allo stesso prezzo (zero euro) l'autenticazione RSA,
la criptazione Blowfish e la compressione, e qui siamo al top delle
tecnologie al momento disponibili.
Ciao,
         Umberto