Newsgroup: it.comp.os.linux.sys
Titolo: I nuovi pirelli

Ciao a tutti,
presso un cliente abbiamo piazzato uno zywall5, per poter fare una VPN
presso un'altra sua sede (con un altro zywall5). Premesso che uso da anni
con soddisfazione queste macchine, sia dal punto di vista puramente
firewall, che come gestione di VPN, ora mi trovo in difficoltà con un
router pirelli, di proprietà Telecom.. Non che sia la prima volta, ma
questa volta il problema è bizzarro: questo router permette di redirigere
le porte che mi interessano sul firewall, infatti sulla 443 faccio remote
management del firewall, e con la 500 UDP instauro la VPN, salvo il fatto
poi che non vi transita nulla!!
Quindi ho i due FW che vedono la VPN, ma le macchine agli estremi del tunnel
non comnuicano, nemmeno con un ping! Esiste qualche workaround per
bypassare questo problema del Pirellone (so che non è un problema delle
altre apparecchiature, perchè gestisco allo stesso modo circa una
cinquantina di VPN sparse per l'italia, ed i problemi li ho solo con i
Pirelli...)
grazie mille
-- 
g4b0, linux user n. 369000
http://gabo.homelinux.com


Domanda che presumo sia sciocca (nel senso di banale), ma per quella che
è la mia esperienza è causa di problemi simili: a livello di gateway,
come sono messe le macchine dietro il pirelli?
Perché se il pirelli instrada le porte verso la macchina, ma questa ha
un gateway verso un altro indirizzo, il pacchetto arriva, riparte ma non
raggiunge più l'origine, quindi sembra che non transiti nulla.
Luca

 Pirelli...)
Ti consiglierei, se puoi, di metere lo zyWall in DMZ. Oltretutto le VPN
IPSE sono abbastanza "sensibili" a come vengono gestiti i pacchetti IP
delle VPN.
O-Zone
-- 
O-Zone ! No (C) since 1996
On the road with VFR VTec 2002 "Vuffy", on the net with Linux Slackware.
Home @ 
http://www.zerozone.it
 and BLOG @ 
http://www.openitaly.net/diary/O-Zone
Photos @ 
http://myphotos.zerozone.it/user/o-zone

 O-Zone
Ciao,
Innanzitutto grazie per la risposta cosě celere! Non ho perň ben capito cosa
intendi per "Ti consiglierei, se puoi, di metere lo zyWall in DMZ".. La
configurazione in oggetto č molto semplice, eccone lo schema:
---------
|internet|
---------
    |
---------
|pirelli|
---------
    |
---------    ---------
|Zywall5|----|  LAN  |
---------    ---------
    |
---------
|SERVER |
---------
Dove sbaglio, secondo te? Con altri router questo schema funziona alla
grande..


 Luca
Lo schema della rete lo puoi vedere nel post di risposta a O-Zone, comunque
i gateway sono corretti, infatti le macchine navigano, e la VPN viene
instaurata tra i due FW.. Il problema è che poi non transita nulla
all'interno del tunnel, o meglio, si ferma tutto nel pirellone (almeno
credo)


 
Domanda scema: sei sicuro che quei router riescano a gestire protocolli
diversi da TCP e UDP? Perchè se non fa passare ESP e/o AH è abbastanza
normale che non ti vada una ceppa...


io con i pirelli non ci sono mai riuscito..
non ho mai trovato la voce per redirigere il traffico GRE...
-- 
Rebbe on bmw r1150r dark blue (2006)

 
Ho avuto lo stesso identico problema: vpn up ma nessun pacchetto che
passava. Non sono mai riuscito a capire come mai.
Luca

 ha scritto:

Idem.
A me però è successo con un router fornito da Albacom (non ricordo il 
modello). Se non ricordo male mi dissero semplicemente che non supportava i 
pacchetti IPSEC.
Ovviamente è bastato cambiare router.

 pacchetti IPSEC.
Sul nostro zyxel non funzionava il nat ip-wan<=>ip-lan ; sebbene quando 
me ne accorsi fosse già fuori garanzia il servizio assistenza della 
zyxel si è connesso in remoto risolvendo il problema.
Era un bug del firmware
Alessandro

Alessandro wrote:

Ma si trattava di una VPN o di un semplice port forwarding?


router pirelli, di proprietà Telecom..
Tutto questo non ha nulla a che vedere con it.comp.linux.sys, prova su
it.comp.reti.locali
(tra l'altro c'è proprio un mio thread riguardo a un problema che sto
incontrando su degli Zywall2+)
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Ma si trattava di una VPN o di un semplice port forwarding?
Nessuno dei due: nattava tutte le porte di un ip con le equivalenti di 
un altro ip. "Multinat"?
Lo so, non si tratta di VPN ma il problema può essere lo stesso: un bug 
che solo il produttore può correggere
Alessandro

 poi che non vi transita nulla!!
Se i due firewall sono dietro il nat del router devi andare di nat 
traversal senno' è normale che non funga.

 un altro ip. "Multinat"?
Nat one-to-one

Per quello che so io, i Pirelli Telecom sia i modelli vecchi che quelli 
piu nuovi, NON sono VPN through, la redirezione delle porte viene fatta 
unicamente a livello di porta TCP o UDP. Non per niente Telecom, spesso 
obbliga a comprare una classe da 8 ip pubblici aggiuntivi puliti dove ci 
puoi pubblicare cio che vuoi.
Alcuni router Telecom, ricordo che avevano un flag chiamato 
impropriamente "DMZ", dico impropriamente, perchè in realtà non facevano 
altro che inoltrare tutte le porte dall'ip pubblico, verso un ip privato 
di un server interno, ma sempre gestito tramite Nat, quindi anche in 
questo caso la VPN non funzionerebbe!

sengo wrote:

Niente da fare nemmeno col nat-traversal, c'era già fin dall'inizio.. Il
problema sta nei router, questo è il verdetto!


 poi che non vi transita nulla!!
Non e' solo una questione di porte: occorrerebbe redirigere almeno anche 
il traffico con protocollo ip 50 (dando per scontato che userai esp).
Fabio