Newsgroup: it.comp.os.linux.sys
Titolo: solo per esperti fi ipsec non so + dove sbattere la testa

Ciao a tutti, è da qualche mese che saltuariamente sto impazzendo 
cercando di configurare freeswan per connettermi ad una server farm che 
usa netscreen (mi pare 208).
prima di spiegare il problema ecco la configurazione della mia macchina
eth0 192.168.0.212 (è il default gw di tutta la mia lan, fa il nat di 
tutti i server e le workstation lato mio
eth1 senza indirizzo ip, la uso per fare pppoe mediante modem adsl ethernet
ppp0 interfaccia del pppoe con indirizzo ip esterno e raggiungibile 
(dinamico).
non ho la possibilità di modificare la configurazione di netscreen lato 
provider ma comunque mi danno supporto. il mio ip dinamico è comunque 
risolto da un dns quindi il loro netscreen si accorge quando cambia (a 
detta loro, per ora mi fido)
segue la configurazione di ipsec.conf
# /etc/ipsec.conf - FreeS/WAN IPsec configuration file
# RCSID $Id: 
ipsec.conf.in
,v 1.11 2003/06/13 23:28:41 sam Exp $
# This file:  /usr/local/share/doc/freeswan/ipsec.conf-sample
#
# Manual:     ipsec.conf.5
#
# Help:
# 
http://www.freeswan.org/freeswan_trees/freeswan-2.06/doc/quickstart.html
# 
http://www.freeswan.org/freeswan_trees/freeswan-2.06/doc/config.html
# 
http://www.freeswan.org/freeswan_trees/freeswan-2.06/doc/adv_config.html
#
# Policy groups are enabled by default. See:
# 
http://www.freeswan.org/freeswan_trees/freeswan-2.06/doc/policygroups.html
#
# Examples:
# 
http://www.freeswan.org/freeswan_trees/freeswan-2.06/doc/examples
version 2.0     # conforms to second version of ipsec.conf specification
# basic configuration
config setup
         interfaces=%defaultroute
# Add connections here.
conn tc-25-hostname
         type=tunnel
         auth=esp
         authby=secret
         auto=add
         esp=3des-md5
         left=%defaultroute
         leftid=@
mioserver.dominiodns.org
         leftsubnet=
192.168.0.212/32
         right=indirizzoIPdiNetscreen
         rightsubnet=
192.168.25.0/24
dunque, la cosa bizzarra è la seguente:
sono in grado di collegarmi, ma mentre il provider riesce a fare ssh 
sulla mia macchina io non lo raggiungo! e qui una breve premessa: 
utilizzo alice adsl quindi il mio indirizzo ip esterno è collegato a 
192.168.100.1 che è alice. ecco infatti l'output di ifconfig ppp0 sulla 
mia macchina:
ppp0      Link encap:Point-to-Point Protocol
           inet addr:87.0.62.253  P-t-P:192.168.100.1  Mask:255.255.255.255
           UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
           RX packets:50511 errors:0 dropped:0 overruns:0 frame:0
           TX packets:47768 errors:0 dropped:0 overruns:0 carrier:0
           collisions:0 txqueuelen:3
           RX bytes:8083509 (7.7 Mb)  TX bytes:12129085 (11.5 Mb)
ora vi faccio vedere l'output di ipsec:
ipsec auto --up 'tc-25-hostname'
104 "tc-25-hostname" #1: STATE_MAIN_I1: initiate
106 "tc-25-hostname" #1: STATE_MAIN_I2: sent MI2, expecting MR2
108 "tc-25-hostname" #1: STATE_MAIN_I3: sent MI3, expecting MR3
004 "tc-25-hostname" #1: STATE_MAIN_I4: ISAKMP SA established
112 "tc-25-hostname" #2: STATE_QUICK_I1: initiate
003 "tc-25-hostname" #2: ignoring informational payload, type 
IPSEC_RESPONDER_LIFETIME
004 "tc-25-hostname" #2: STATE_QUICK_I2: sent QI2, IPsec SA established 
{ESP=>0xce67cef0 <0x046168f9}
dovrei essere collegato, infatti dal provider mi vedono e a questo punto 
mi raggiungono.
ma se io faccio per esempio un ping verso la macchina 192.168.25.22 (che 
è quella che usano loro per fare ssh su di me non la riesco a raggiungere
la cosa che mi lascia perplesso è in effetti l'output di traceroute:
traceroute to 192.168.25.22 (192.168.25.22), 30 hops max, 38 byte packets
  1  192.168.100.1 (192.168.100.1)  232.829 ms  49.376 ms  92.891 ms
  2  
r-mi225-vl14.opb.interbusiness.it
 (80.20.5.8)  142.481 ms  49.794 
ms  47.407 ms
  3  
r-mi258-mi225.opb.interbusiness.it
 (80.17.211.93)  43.894 ms 
44.393 ms  83.173 ms
  4  * * *
e qui le mie perplessità: perché instrada tutto su 192.168.100.1????
non dovrebbe essersi creato un tunnel tra l'ip 192.168.0.212 e l'ip di 
netscreen????
dove sbaglio? forse a volermi connettere con 192.168.0.212 (l'ip nella 
lan della mia macchina e non con l'ip esterno della mia macchina (che è 
purtroppo per me dinamico)? come mai allora dall'altra parte (il 
provider) funziona tutto correttamente?
grazie a chiunque mi aiuta
ecco per finire l'output di route -n
192.168.100.1   0.0.0.0         255.255.255.255 UH    0      0        0 ppp0
192.168.100.1   0.0.0.0         255.255.255.255 UH    0      0        0 
ipsec0
192.168.134.0   0.0.0.0         255.255.255.0   U     0      0        0 
vmnet8
192.168.0.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
192.168.25.0    192.168.100.1   255.255.255.0   UG    0      0        0 
ipsec0
169.254.0.0     0.0.0.0         255.255.0.0     U     0      0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         192.168.100.1   128.0.0.0       UG    0      0        0 
ipsec0
128.0.0.0       192.168.100.1   128.0.0.0       UG    0      0        0 
ipsec0
0.0.0.0         192.168.100.1   0.0.0.0         UG    0      0        0 ppp0

 grazie a chiunque mi aiuta
ip route replace $NET/$NM via $defaultroutenexthop dev $defaultroutephys
src $INT_ADDR
$NET/$NM è la subnet che vuoi raggiungere
$defaultroutenexthop è il tuo default GW
$defaultroutephys è nel tuo caso ppp0
$INT_ADDR è il tuo IP locale con cui dovresti raggiungere la lan remota.
Quello che chiedi è una faq.
Max

  4  * * *
La 100.1 è la default route per tutte le adsl di Telecom
Matteo
-- 
Linux User #374427
Running Linux on a Hp Pavilion dv1000 Laptop with Debian Sarge
--
To find out my real email address copy and paste the following code on a 
console
echo 42123385348364182251069474678883075567184442298743080175893312522P | dc

 [...]
prova dopo che hai tirato su il tunnel a dare ip route flush cache, e'
probabilmente un problema di lookup (la tua situazione e' strana), che
non si presenta quando arrivano loro perche' lo stack (per culo) ruota
le risposte sull'interfaccia giusta.
ciao,
--
oggei

ti devo ringraziare...
al posto di ppp0 nella linea di comando che mi hai suggerito ci andava 
ipsec0 (altrimenti non usava il tunnel) ma mi hai proprio indirizzato al 
99% verso la direzione giusta.
ne approfitto per chiederti un'altra cosa visto che mi pare tu sia 
pratico di freeswan...
ho notato che con la vpn su la macchina, che di relola natta tutta la 
mia lan smette di farlo... è una opzione di default di freeswan 
disaabilitare il nat? è possibile riabilitarlo?
ciao e grazie