Newsgroup: it.comp.os.linux.sys
Titolo: VPN SERVER- [LUNGHETTO e difficilino]

Ciao,
Introduzione:
Ho la necessità di configurare un VPN Server sotto Linux che accetti client
Windows 2000(e XP); questo perchè ho la necessità che nella mia intranet
aziendale si possa utilizzare netmeeting e altri programmi verso
Internet...per fare questo però ho constatato che i client devono
necessariamente 'arrivare' alla macchina che fà da proxy e che è connessa ad
Internet.Dato che però internamente ci possono essere anche 'salti' di 3-4
router prima di arrivare al PROXY si rende quindi necessario un VPN SERVER
in modo da far sembrare al client di essere connesso direttamente a detto
Proxy.Per fare delle prove ho configurato in lan un portatile con 2 schede
di rete, una verso il router Internet e una verso il router della Intranet
aziendale. Il portatile è configurato in modo da fungere da proxy e vpn
server con i seguenti programmi:
Squid
SquidGuard
Sarg
Iptables (nessuna regola durante le prove)
Ipsec-freeswan/X509
kernel patchato per supporto protocollo h323(netmeeting)
cbq.init
Ora...per quanto riguarda le funzioni di Proxy e h323 funziona tutto....non
mi funziona il VPN Server. Non riesco a venirne a capo e sono sicuro che
manca un niente....il fatto è che io stò facendo delle prove tra due
macchine che GIA' si vedono...appena attacco il tunnel non si vedono
più...cmq dalla doc non
dovrebbe essere un problema....il solo cambiamento è che dopo si dovrebbero
vedere in modo sicuro....la conf è questa:
machineA (server VPN)
eth0 192.168.1.37
eth1 10.23.5.242
ipsec0 10.23.5.242
machineB(client win2000 server)
eth0 10.23.5.20
default gateway 10.23.5.200
La prova l'ho effettuata con detto portatile che funge VPN SERVER e un
client, connessi però direttamente in lan..quindi uno schema potrebbe essere
questo:
[Client]-----------------------[Portatile(VPN)]----------------------[Router
-Internet]
10.23.5.20                       10.23.5.242          192.168.1.37
192.168.1.1
Il Problema è che quando cerco di lanciare una connessione dal client, lui
non dà errore ma non funziona....il VPN-Server dal canto suo non dà
un'errore neanche a pagarlo e io comincio a pensare che sia un problema di
instadamento rotte (Forse il fatto che le prove si effettuino in lan non gli
piace). Di seguito riporto la configurazione del Server e del client con
Output di Ifconfig e 'Route-n'. Grazie a chi riesce a darmi una mano.
___________
****Output di ipsec sul client quando lancio il ping:****
Negoziazione protezione IP in corso...
Negoziazione protezione IP in corso...
Negoziazione protezione IP in corso...
Negoziazione protezione IP in corso...
Statistiche Ping per 
10.23.5.242
:
    Pacchetti: Trasmessi = 4, Ricevuti = 0, Persi = 4 (100% persi),
Tempo approssimativo percorsi andata/ritorno in millisecondi:
    Minimo = 0ms, Massimo =  0ms, Medio =  0ms
****IFCONFIG E ROUTE -N sul portatile****:
IFCONFIG:
eth0 Link encap:Ethernet HWaddr 00:10:D7:05:02:35
inet addr:192.168.1.37 Bcast:192.168.1.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1120 errors:1 dropped:0 overruns:0 frame:0
TX packets:489 errors:6 dropped:0 overruns:3 carrier:3
collisions:0 txqueuelen:100
RX bytes:531116 (518.6 Kb) TX bytes:83436 (81.4 Kb)
Interrupt:11 Base address:0x4000
eth1 Link encap:Ethernet HWaddr 00:D0:59:C0:A7:56
inet addr:10.23.5.242 Bcast:10.23.5.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:2313 errors:0 dropped:0 overruns:0 frame:0
TX packets:96 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:244447 (238.7 Kb) TX bytes:12596 (12.3 Kb)
Interrupt:11 Base address:0xf000
ipsec0 Link encap:Ethernet HWaddr 00:D0:59:C0:A7:56
inet addr:10.23.5.242 Mask:255.255.255.0
UP RUNNING NOARP MTU:16260 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:
0collisions:0 txqueuelen:10
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:38 errors:0 dropped:0 overruns:0 frame:0
TX packets:38 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:3516 (3.4 Kb) TX bytes:3516 (3.4 Kb)
****ROUTE:****
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0  0.0.0.0  255.255.255.0  U 0 0 0  eth0
10.23.5.0     0.0.0.0  255.255.255.0  U 0 0 0 eth1
10.23.5.0     0.0.0.0  255.255.255.0  U 0 0 0 ipsec0
127.0.0.0     0.0.0.0  255.0.0.0         U 0 0 0 lo
0.0.0.0   192.168.1.1 0.0.0.0            UG 0 0 0 eth0
****LINUX(ipsec.conf del gateway):****
config setup
interfaces="ipsec0=eth1"
klipsdebug=none
plutodebug=none
plutoload=%search
plutostart=%search
uniqueids=yes
conn %default
keyingtries=1
compress=yes
disablearrivalcheck=no
authby=rsasig
leftrsasigkey=%cert
rightrsasigkey=%cert
conn roadwarrior-net
leftsubnet=
10.23.5.0/24
also=roadwarrior
conn roadwarrior
right=%any
left=10.23.5.0
leftcert=magobin.mydomain.com.pem
auto=add
pfs=yes
****WINDOWS(ipsec del client):****
conn roadwarrior
 left=%any
 right=10.23.5.242
rightca="C=IT,S=ITALIA,L=mycity,O=shadow,CN=magobin,Email=
net...@mydomain.co
m"
 network=lan
 auto=start
 pfs=yes
conn roadwarrior-net
 left=%any
 right=10.23.5.242
 rightsubnet=
10.23.5.0/24
rightca="C=IT,S=ITALIA,L=mycity,O=shadow,CN=magobin,Email=
net...@mydomain.co
m"
 network=lan
 auto=start
 pfs=yes
Ciao
Alessandro

 piace). Di seguito riporto la configurazione del Server e del client con
mi sa che il prob è proprio lì.
il server, cerca d assegnare al client un indirizzo ip appartenente alla
stessa subnet di quello assegnato alla eth.
in questo modo, il server ha problemi di instradamento verso l'interfaccia
vpn del client e verso quella lan, sempre del client (quale usare? vpn? lan?
boh!).
stessa cosa dicasi per il client: probabilmente quando inizia a negoziare un
ip appartenente alla stessa lan della eth per una connessione vpn, si
incarta il processo che rimane quindi sospeso.


Già...lo avevo sospettato...anche perchè non mi dava errori di sorta...ok,
domani al lavoro in laboratorio configuro 3-4 cisco e simulo una w.a.n. e
poi vediamo cosa mi dà..speriamo bene...si diceva che la configurazione non
era proprio user-frendly, ma in questo caso non penso ci siano problemi di
conf
Ciao
Alessandro