Newsgroup: it.comp.os.linux.sys
Titolo: VPN site to site Openswan to Openswan

Ciao  a tutti,
mi trovo nei guai per realizzare una vpn tra la mia sede che ha
connettività con Fastweb(ho un IP pubblico statico) e il ced remoto
dove è ospitata la nostra produzione (con connettività fornita da
altro provider).
Lo schema di rete è il seguente:
                                                   I N T E R N E T
			-------------------------------------------------------------------------
			|									|
                        |									|
	          81.XXX.XXX.XXX						 83.XXX.XXX.XXX
      R O U T E R   F A S T W E B		            FIREWALL/VPN-GW
PRODUZIONE
		 10.1XX.XXX.1						          192.168.XXX.11
			|									|
		 10.1XX.XXX.11						RETE INTERNA PRODUZIONE
        FIREWALL/VPN-GW  SEDE				        192.168.XXX.0
		  192.168.XX.1
			|
	      RETE INTERNA SEDE
		 192.168.XX.0/24
I due Firewall-VPN-gw  sono entrambi due server Linux ed usano
Openswan.
Come si vede dallo schema allegato nella mia sede interna a monte ho
un router di Fastweb che natta il mio firewall  con un ip pubblico
statico.
Tra il router ed il mio firewall esiste una sorta di dmz 10.1XX.XXX.
0/24 e sotto il mio firewall si sviluppa la mia rete interna.
Ho problemi a configurare ipsec per tirare su la vpn.
Sicuramente sto sbagliando la scrittura del file di configurazione per
quello che concerne il lato "fastweb".
Sto provando in tutte le maniere usando anche il nat traversal ma non
riesco ad agganciare i i vpn server.
Avete per caso qualche idea da darmi?
Qualcuno sa darmi qualche dritta per venirne a capo?
Grazie mille.
Ciao

 Ciao
[...]
Il mio consiglio visto, che non sei troppo vincolato all'HW, � di 
lasciar perder IPSEC, e buttati su OpenVPN, cos� ti togli tutti i 
problemi di NAT, NAT-TRASVERSAL ecc...
Non � escluso che tu abbia fatto / configurato le cose per bene alla 
perfezione, poi ti ritrovi uno dei 2 router forniti dal gestore che non 
sono VPN passthrough, quindi il pacchetto IKE non passa a dovere e di 
conseguenza sei tagliato fuori.

 Non è escluso che tu abbia fatto / configurato le cose per bene alla


 May 29 14:03:36  pluto[22778]: "con-sedi" #56: Main mode peer ID is
[...]
Per semplificazione, diamo per scontato che dal tuo lato (Fastweb) il 
router � configurato correttamente, e manipola correttamente i 
pacchetti. Dall'altra parte com'� la situazione? L'altro gateway � su ip 
pubblico, oppure � nattato pure lui?  Ad esempio se dall'altra parte hai 
uno dei vecchi Pirelli Telecom (il famoso disco volante), con alcune 
release di firmware le VPN IP SEC non c'era verso di farle funzionare.
Dovresti fare un altra prova, se hai modo di connetterti a internet con 
una macchina Linux, con un MODEM ADSL (usb o ethernet che sia), in modo 
da avere l'ip pubblico direttamente sull'interfaccia PPP della macchina 
linux, poi provare a tirar su il tunnel verso fastweb e vedere se dai 
log cambia qualcosa.

 pubblico, oppure è nattato pure lui?  
dall'altra parte ho un server firewall che ha l'ip pubblico attestato
direttamente sulla sua interfaccia.
E' un server che sta in un ced Telecom e che ha già delle vpn ipsec
attive con nostri clienti.

 Lo schema di rete � il seguente:

Ciao, prova a farti un giro su questo sito 
http://www.strongswan.org/
 vi 
sono contenuti tanti "Test Scenarios" interessanti. Magari uno di questi 
fa al caso tuo :) .

 previsione di questo.
Allora chiama quei rincoglioniti di Fastweb e digli che, siccome hai 
pagato PER UN IP PUBBLICO e non per un nat 1 a 1 castrato, se non ti 
permettono di usare tale ip direttamente sui tuoi apparati possono 
riprendersi la loro finta connessione.

 problemi di NAT, NAT-TRASVERSAL ecc...
pensa un po'...
magari dai anche un occhiatina a:
- campagnol, ( 
http://freshmeat.net/projects/campagnol
 )
- cloudvpn,  ( 
http://freshmeat.net/projects/cloudvpn
 )
- n2n        ( 
http://freshmeat.net/projects/n2n
 )

Grazie a tutti per avermi risposto.
ho contattato telefonicamente il supporto tecnico di fastweb a cui ho
spiegato il problema ed a cui ho chiesto delucidazioni su come viene
operato il natting del nostro IP.
E' emerso che in realtà non è il router in nostra dotazione che opera
il nat sulla rete pubblica (cosa che invece mi era stata spiegata in
un precedente intercorso da un loro altro tecnico)e che siamo soggetti
a più livelli di nat(il numero e le modalità non mi sono state
precisate) prima di uscire sulla rete pubblica.
E' a causa di questi strati di nat che non riesco a fare andare IPSEC
nonostante il nat traversal.
Ora i tecnici di Fastweb mi hanno detto che l'unica soluzione per
poter raggiungere il risultato da noi voluto è di abbandonare il
servizio ipaddress1, che attualmente mi fornisce un ip pubblico
nattato, e di sottoscrivere invece il servizio Ip Address 4 con
opzione secondary (è un'opzione del loro listino).
Questa opzione determina 4 IP Pubblici:
1)Subnet
2)Gateway
3)Ip Pubblico Libero direttamente gestibile dal cliente e che dovremmo
attestare direttamente sull'interfaccia del nostro firewall
4)Broadcast
Il problema in realtà sta nei costi.
Mentre il servizio Ip address 1 verrebbe chiuso senza costi
aggiuntivi, l'attivazione di Ip address4 costa attualmente 150 euro
con un canone di 50 euro mensili.
Non posso nemmeno escludere, vista l'esperienza passata, che le
informazioni ricevute dal supporto tecnico di Fastweb relative all'IP
Address4 possano poi rivelarsi parzialmente corrette o rivelare altri
problemi tecnici....
Grazie a tutti

 Questa opzione determina 4 IP Pubblici:
Questi sono fuori dai coppi!!! Un IP pubblico statico deve essere 
pubblico aperto in tutte le sue porte TCP, UDP ecc...non soggetto a 
regole di filtering, nat ecc...a monte.
Adesso mi tocca anche di sentire che ci sono piu livelli di ip pubblico 
e che cambiano pure i costi.
A questo punto se io fossi in te (ammesso che vi sia la possibilit�) 
manderei a quel paese Fastweb e cercherei un gestore serio.

 regole di filtering, nat ecc...a monte.
Bisognerebbe per� vedere cosa c'� scritto nel contratto sottoscritto.
Del resto, sono anni che si dice che un conto � essere collegati ad
internet, un conto � essere collegati a fastweb.
Oh, io sono anni che a casa uso fastweb, e per uso casalingo mi trovo
abbastanza bene, ma non per l'azienda il discorso � diverso.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net