Newsgroup: it.tlc.gestori.fastweb
Titolo: Cisco VPN Client con Easy Inclusive Office

Ciao a tutti,
ho letto avidamente le (ottime) FAQ1.4 ed i thread sulle VPN ed ho
cercato di applicarne i concetti al problema che abbiamo incontrato
appena ci hanno attivato Fastweb.
Abbiamo un Easy Inclusive Office: 5 IP della nostra LAN privata
possono attraversare il router Fastweb Cisco 1751V.
Sui PC di questa LAN abbiamo la necessità di usare il software Cisco
VPN Client 3.6 per collegarci al PIX della sede centrale attestato su
un collegamento Telecom (il PIX ha un IP statico pubblico).
Nella condizione attuale (Easy Inclusive Office "standard")il VPN
client non funziona.
Dopo l'indigestione di FAQ e post ho capito che questo e' normale ma
non ho capito bene perche': troppi NAT applicati ai pacchetti?
Con un banale collegamento ADSL telecom SMART-5 senza IP fisso e con
router in comodato funziona benone.
Il problema sta nel fatto che Fastweb ha una rete basata su IP
privati? Ma a un certo punto, quando i pacchetti escono su internet
verrà pure fatta un traduzione da IP privato a IP Pubblico. E sarà
fatta a rovescio quando arriverà una risposta destinata a quei
pacchetti.
Inoltre l'IPSEC Di Cisco non e' NAT Aware? E il VPN Client ha la
funzione transparent tunnelling (noi la usiamo su UDP). E allora??
Stando a quanto ho letto l'IP pubblico statico sembrerebbe comunque la
soluzione al problema.
Ma non posso acquistarne uno per ogni PC della LAN che deve usare VPN
client (costano 50EUR/mese cadauno).
Allora ho chiesto a fastweb di assegnare quell'IP Pubblico al router
ed usarlo per NATtare tutti i pacchetti uscenti dalla nostra LAN: a
parte che stanno ancora facendo le veriche di fattibilità (per loro
non e' una richiesta standard) ma ammesso che riescano a programmarci
cosi' il router, funzionerà?
Qualcuno ci è gia' passato?
L'alternativa è quella di installare un firewall, stabilire a livello
di router una corrispondenza tra l'IP Pubblico statico e l'interfaccia
esterna del Firewall (che comunque avra' un IP privato, se ho ben
capito) e fare in modo che il firewall sia il default Gateway e si
occupi di un ulteriore NAT.
Cosi' funzionera'?
Nel caso che firewall mi consigliate?
Sto davvero impazzendo e devo risolvere il problema quanto prima.
Abbandono Fastweb o c'e' una via?
Grazie anticipatamente a tutti
Guido

 soluzione al problema.
Non proprio = nel caso dell'opzione Address per i clienti Office si ha
la definizione di regole statiche di NAT/PAT in ingresso da un indirizzo
IP pubblico su uno/piu' indirizzi IP privati della LAN. Questo pero' fa
che le connessioni autonome (non richieste) in uscita escano su una 
diversa interfaccia IP pubblica, ossia quella MSFC comune.
Unica soluzione sarebbe un IP pubblico puro inside/outside ma andrebbe
verificata la fattibilita' commerciale piu' che quella tecnica.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.ingegneria.meccanica <|
|>Togli/Remove .INVALID<|> NEWS: free.it.tlc.provider.fastweb <|

 verificata la fattibilita' commerciale piu' che quella tecnica.
Anche qui non capisco bene: cosa intendi con "IP pubblico puro
inside/outside"?
Grazie
Guido

 inside/outside"?
Significa 
p.es
. che se tu richiedessi l'IP pubblico 213.140.a.b e lo
associassi su tutti i servizi all'IP LAN 192.168.1.x avresti queste
situazioni :
==
client esterno --> 213.140.a.b (= connessione a IP LAN 192.168.1.x)
192.168.1.x --> server esterno remoto (= connessione da IP 213.140.a.b)
Altrimenti, in caso di IP pubblico solo inside (opzione Address), queste
sarebbero le situazioni :
==
client esterno --> 213.140.a.b (= connessione a IP LAN 192.168.1.x)
192.168.1.x --> server esterno remoto (= connessione da IP 213.140.c.d) 
==
dove 213.140.c.d corrisponde ad un'interfaccia IP pubblica MSFC.


 POP.
Ci risiamo :-) cos'e' esattamente l'MSFC? (nelle FAQ non ho trovato la
decodifica per questa sigla)
Comunque oggi ho contattato nuovamente il servizio tecnico Fastweb e
mi hanno assicurato (mah) che sull'IP statico che ho comprato (address
base) verranno rimappate tutte le connessioni *in ingresso ed in
uscita* dall'IP privato della nostra LAN che abbiamo scelto di
associare a quell'IP pubblico. Inoltre tutte le porte saranno lasciate
aperte.
Ammesso che sia cosi' (e che poi non mi venga rimappata la porta IKE
500 e chissa' quali altre necessarie dopo la fase di
autenticazione...) vorrei poi:
-installare un Firewall ed assegnare all'indirizzo della porta
pubblica l'address privato (es. 192.168.1.99) associato a quello
statico pubblico (es.213.140.31.170).
-Assegnare ai PC della LAN interna (che dovranno usare il Cisco VPN
client) una diversa subnet (es 192.168.2.x).
-Programmare il firewall in modo tale che faccia da gateway NATtando
le richieste provenienti dai VPN client della LAN.
Ma in questo caso dovrei evitare alcune riassegnazioni di porta, come
quella della IKE 500.
Fattibile? Devo scegliere un firewall particolare? Che ne dici del
Cisco PIX 801? (ho max 5 client VPN da gestire).
Grazie!

 statico pubblico (es.213.140.31.170).
Fattibile = il firewall avrebbe 2 interfacce -> una LAN sulla subnet che
ti assegna FastWeb ed un'altra sulla subnet dei tuoi client VPN.
Intanto verificherei pero' la possibilita' di effettuare la connessione
da 1 postazioni connessa direttamente al router Cisco FW anche senza IP
pubblico puro inside/outside.
Dammi qualche ora che posto il tutto quando rientro.


 (Home Access Gateway) e assegnato alle utenze residenziali/SOHO.
Ma non era CPV ? :)
Non voglio puntualizzare, non conosco neppure il significato della
sigla.
Mera curiosita` :)
Ciao.
-- 
void

 sigla.
Il termine generico e' CPE (Customer Premise Equipment) usato anche da
altri produttori per gateway di rete sia su Ethernet che su xDSL. I
termini CPV e CPL sono usati da Telsey - 
http://www.telsey.it
 - per
contrassegnare i modelli di gateway, differenziando quelli Ethernet con
IN RJ-45 (CPV) da quelli con convertitore elettro-ottico incorporato
(CPL).


 pubblico puro inside/outside.
Beh, questo lo stiamo facendo da un settimana, no? :-)
Ciao e grazie
Guido

C'e' un'aggiornamento:
l'IP pubblico statico bidirezionale non ci e' ancora stato attivato.
Sono pero' riuscito a stabilire una connessione tra il VPN client 3.6
da un pc collegato alla LAN interna (a sua volta collegata al router
Fastweb) ed il PIX della ns. sede centrale, attestato su rete Telecom:
la fase ISAKMP e la connessione avvengono, ma poi non e' possibile
raggiungere la rete posta dietro al PIX (non si riesce a pingare
nessun host di quella rete e neppure la porta pubblica del PIX.
Funzionano invece l'accesso ad internet ed alle risorse della LAN
locale).
Nella condizione attuale il collegamento VPN puo' essere stabilito
solo dal primo IP LAN privato (192.168.x.y) che tenta la connessione:
il router fastweb mantiene cosi' la richiesta di uscita sulla porta
ISAKMP 500.
Per il secondo, terzo, quarto e quinto indirizzo LAN privato che tenta
la connessione, il router fastweb sposta il numero di porta ISAKMP da
500 ad un'altro valore (forse perche' esiste gia' un associazione PAT
tra IP-privato-IP pubblico su quella porta) ed il processo di
autenticazione non va a buon fine.
Visto che a regime avro' piu' di 1 client VPN sulla LAN, a questo
punto diventa prioritario capire:
a-se una volta attivato l'IP statico pubblico bidirezionale, il
firewall che interporro' tra il router fastweb e la LAN dovrà
"aggiustare" questo comportamento e usare quindi sempre la porta
ISAKMP 500.
Ma come fara' con un unico IP statico a disposizione?
b-o se invece dovrà essere il PIX della sede centrale ad essere
aggiornato (e' un 506E con sw v.6.2(2). Ho verificato sul sito Cisco
che esiste una versione 6.3 dotata di funzione "VPN NAT Traversal".
Sarà necessaria?
d-Perche' nella situazione attuale l'autenticazione (e la connessione
avvengono) ma poi non e' possibile accedere alla rete dietro al PIX
(con identici settaggi del client l'accesso da un ADSL telecom smart
senza IP statico pubblico funziona benissimo).
Speriamo di essere vicini alla fine del rompicapo!
Ciao
Guido

 Speriamo di essere vicini alla fine del rompicapo!
Siamo gia' ad un buon punto -> per quanto riguarda quanto ti ho 
accennato nell'altro post in merito ad altri utenti, trovi info nel
seguente thread [link x intero]:
==
-
http://groups.google.it/groups?hl=it&lr=&ie=UTF-8&oe=UTF-8&threadm=%25vZW9.31581%24lj5.339864%40tornado.fastwebnet.it&rnum=2&prev=/groups%3Fhl%3Dit%26lr%3D%26ie%3DUTF-8%26oe%3DUTF-8%26q%3Dvpn%2Bcisco%2B3.5%26meta%3Dgroup%253Dit.tlc.gestori.fastweb
==
le altre info le posto tra poco (intorno alle 01.00).
