Newsgroup: it.comp.os.linux.sys
Titolo: VPN dietro NAT

Ciao a tutti,
stò configurando una VPN tra due sedi di una ditta, prima di fare la
configurazione volevo però fare due domande, ho sempre saputo come fare a
settare vpn se esco con il server vpn e con il client con un ip pubblico,
statico lato server e anche dinamico lato client.
Ma se da un lato o da entrmabi sono dietro un NAT, come posso fare ??? ci
sono delle porte che posso nattare come fosse un servzio tipo server web o
altro ?? o non c'è modo ??
Io ho la possibilità di settare il router ma solo a livello di NAT non posso
assegnare ad un ip locale l'ip pubblico !!!
C'è il modo ?? grazie mille, chiedo quì questo in quanto la VPN sarà
costruita usando redhat 7.3 saluti
Matteo

Dipende da un sacco di cose come:
1) il tipo di vpn
2) il tipo di router (modello)
Senza altri dati se ti dicessi qualcosa sarebbe troppo generale.
Max

 2) il tipo di router (modello)
Il router da un lato è 3Com 812 Adsl router e dall'altro è un Alcatel Speed
Tuch PRO
Grazie mille
Matteo

Allora: per il 3com potrai avere problemi... ne ho uno solo e dopo un pò.
pure se la vpn rimane su, la rete non dietro il 3com non può accedere
all'altra... soluzione pingare da dietro il 3com l'altra rete.
Con l'alcatel non ci sono problemi.
Allora: devi fare in modo che tutti i pacchetti che arrivano al router
vadano al gateway VPN interno.
(full nat). ti servono in particolare i protocolli 50, 51 eudp porta 500
(ike).
Fatto questo, avrai la tua lan privata ed un pezzo di rete di un'altra
classe che va dal gateway (che ha 2 sk di rete) al router.
le configurazioni ( a parte le secrets) saranno + o meno cos'ì:
config setup
        # THIS SETTING MUST BE CORRECT or almost nothing will work;
        # %defaultroute is okay for most simple cases.
        interfaces=%defaultroute
        # Debug-logging controls:  "none" for (almost) none, "all" for lots.
        klipsdebug=none
        plutodebug=none
        # Use auto= parameters in conn descriptions to control startup
actions.
        plutoload=%search
        plutostart=%search
        # Close down old connection when new one using same ID shows up.
        uniqueids=yes
        hidetos=no
        # pass drop (default) reject drop
        #packetdefault=pass
        #nat_traversal=yes
        #plutowait=no
conn %default
        # authby=rsasig
        # leftrsasigkey=%dns
        # rightrsasigkey=%dns
        # Right security gateway, subnet behind it, next hop toward left.
        disablearrivalcheck=no
        keyingtries=0
       #IL PEZZO DI RETE TRA IL GW E IL ROUTER
        right=10.10.11.1
        rightnexthop=10.10.11.254
       # LA RETE DIETRO 1 GW
        rightsubnet=
10.10.10.0/24
        rightid=<IP PUBBLICO FISSO DEL ROUTER>
        auth=esp
        esp=3des-md5-96
        ikelifetime=28800
        keylife=28800
        authby=secret
        #pfs=no
conn  here-there
        # Left security gateway, subnet behind it, next hop toward right.
        #leftupdown=/usr/lib/ipsec/ciao
        # Right security gateway, subnet behind it, next hop toward left.
        left=<IP DELL'ALTRO PEER>
        leftnexthop=<IP DELL?ALTRO PEER MENO UNO (NON SERVE)>
        leftsubnet=
192.168.0.0/24
        leftid=<IP PUBBLICO DELL'ALTRO ROUTER>
        # To authorize this connection, but not actually start it, at
startup,
        # uncomment this.
        type=tunnel
        #auto=add
        auto=start
        #auto=route
Con questo a me funziona da dio.
Nota che alcune cose non sarebbero necessarie, tipo leftid e rightid ma per
interoperabilità con altri fw non linux ci stanno bene.
Max

 interoperabilitą con altri fw non linux ci stanno bene.
Grazie del tuo interesse,
due domande, tutti i settaggi che mi hai postato vanno dove ??? nel file di
configurazione di freeswan ??
poi, non c'č un modo nel router della 3com e nel router alcatel di far si
che facciano solo la funzione di modem adsl, poi a fare da router ci penserą
linux ???
E quindi avere una traslazione totale dall'ip pubblico all'ip privato ??
Altrimenti ti chiedo ancora una cosa sull'lato in cui c'č il router della
3com c'č una adsl 640 lan di virgilio tin con ip statico pubblico, sul
router č configurato il tutto con protocollo rfc1463 quindi senza user e
pass, č possibile usare un modem adsl tipo quello dell'alcatel ?????? Grazie
mille
Matteo

Grazie mlle
Prego
Max

Ciao ancora,
prima di tutto ti voglio fare i miei complimenti, sei veramente tosto e
sopratutto molto gentile.
Poi parlando del 3com, facendo come mi hai detto sulla questione del Default
Gatway, dovrei eliminare quindi il problema per la VPN di avere davanti un
router e non modem giusto ??
Quindi se sul router faccio questo settaggio non dovrei avere problemi ??
grazie mille
Mat
P.s. sei un grande anche sulla posta !!!

 router e non modem giusto ??
Allora, lascia perdere router, modem etcc...
Ti spiego. Il 3com, cosě come gli altri router, fanno natting di default.
Ovvero: si espongonoad internet con un IP pubblico e fanno in modo che tutto
quello che esce appaia con l'IP pubblico e non privato.
Normalmente, tutto quello che entra č bloccato, anche perchč come farebbe ad
entrare se gli IP sono privati? (detto alla buona, ovviamente).
Allora accade che se vuoi mettere qualcosa dietro il router in modo che
risponda alle chiamate dall'esterno, devi dire al router qualcosa del tipo:
"quando ricevi una connessione sulla porta XX del tuo IP pubblico, mandala
all'IP privato che ti dico io sulla porta YY".
Sul 3com questo si puň fare, porta per porta, sui protocolli TCP e UDP, ma
non su ESP e AH (50 e 51) che sono quelli di freeswan.
Per risolvere il problema, allora, viene in aiuto quello che ti ho spiegato
che in soldoni significa:
"caro 3com, tutte le nuove connessioni che ti arrivano dall'esterno, mandale
comunque alla macchina interna che ti indico..."
Tutto qua.
Max

 comunque alla macchina interna che ti indico..."
Grazie mille, quindi uso il default indicando la macchina su c'č il
freeswan.....
Saluti
Matteo