Newsgroup: it.tlc.gestori.fastweb
Titolo: Punto sulle VPN

Salve a tutti
Mi sono fatto un po' un giretto sui vari thread e mi piacerebbe che si
facesse un po' il punto della situazione VPN,
parlo solo dell'accesso alla rete aziendale da parte di un utente remoto su
FW (road warrior)
1) Soluzione SSH
Con l'ssh e' un bel po' che ci gioco e devo dire funziona benissimo, ho un
Redhat 8.0 in ufficio su cui
ho installato Openssh 3.5 con le estensioni x509 di Rumen Petrov e quindi
riesco ad autenticarmi con
la smartcard ( provato Gemplus e Schlumberger ).
Come client posso consigliare:
Entunnel della Van Dyke: e' un client ssh senza la shell di Linux
praticamente fa solo il tunnel delle porte
tcp.
SecureCRT della VanDyke: come Entunnel ma con un'ottima shell ( pero' non ha
SFTP )
F-Secure SSH Client: Ottimo, anche l'emulazione. Autentica con certificati,
smartcard e ha anche l'SFTP
NetworkSimplicity SSH: E' una schifezza da vedere ma funziona benissimo per
il tunnel ed e' gratis ( niente smartcard e sftp ,
emulazione vt220 da schifo )
Il problema del ssh e' che puo' fare solo port-forwarding, se basta
quello...
2) PPP sh SSH
Su questo ne so proprio poco ( magari qualcuno puo' completare ), ho visto
che dalla parte server si installa
il pppd e un sshd. Il problema qui sembra essere il client che puo' essere
solo Linux ( magari usando una seconda
macchina oppure VmWare pero' e' un accrocchio!). Se qualcuno sa come si fa a
usare un client M$ batta un
colpo.
3) PPTP
Ho provato sia il PPTP server di NT che quello di 2000 ma niente da fare,
direi che FW blocca il GRE ( credo)
perche' vedo arrivare i pacchetti sulla 1723 e quando dovrebbero arrivare i
primi GRE si ferma. Non saprei
dire se funziona Poptop ( PPTP server per Linux ), come sopra chi ne sa
qualcosa batta un colpo.
4) IPSEC
Punto dolente, ho provato anche il Cisco VPN Client 3.6 con l'opzione "Allow
IPSec over UDP (NAT/PAT)"
e dall'altra parte un Cisco 2611 con software IP/FW/IPSEC/3DES 12.2.08T e
non funziona. Non posso provare
l'opzione "Use IPSec over TCP" perche' ci vuole o un Cisco PIX oppure un
Cisco VPN Concentrator 5000 ( che
non ho ). Fastweb alle aziende offre questa soluzione quindi i casi sono
due: o funziona e basta oppure quando fanno
l'installazione del Concentrator aprono IPSec verso quella device ( pero' mi
sembra improbabile ).
Altre soluzione IPSEC tra cui Freeswan/McAfee VPN e Win2000 hanno fallito
miseramente
5) L2TP
Qualcuno di voi ha detto che funziona magari puo' completare un po' lo
schema di come si fa, io non mi ci sono
buttato perche' mi risulta che L2TP sia in chiaro e non so se esistono
server L2TP per Linux o come si faccia a configurarlo
su un router Cisco. L'unica che mi risulta e' su M$ 2000 Server che
preferisco non esporre su Internet ( con
tutti i bachi che ci sono lo lascio dietro il firewall senza neanche NAT )
Certo che se L2TP fosse incapsulabile in un SSH allora forse si potrebbe
fare, anche qui chi ne sa qualcosa si faccia
avanti
6) GRE
Idem come per IPSEC o PPTP. Bloccato da FW
7) VPND 
http://sunsite.dk/vpnd/
Questo pare funzioni pero' niente client per Windows solo Linux. Si tratta
di una connessione SLIP criptata con Blowfish
Mi pare che basti ( cioe' che non ho trovato una soluzione se non quella di
comprarmi un VPN Concentrator 5000 !)
Chi puo' commenti quello che sa..
Grazie a tutti


grazie per il contributo preciso e chiaro.
sto facendo un po di prove vediamo cosa ne esce fuori.
ciaooo
-- 
C:\Win2000patch05.exe This Microsoft(c) patch fix all bugs present.
All rigth reserved.
Insert Linux boot disk to continue.....Loading kernel ....

 
[cut]
http://vtund.sourceforge.net
 e 
http://openvpn.sourceforge.net
,
due pacchetti che usano il driver TUN per fare tunnel IP over UDP (over
TCP non e` bene fare tunnel IP/TCP per ovvi motivi =) che funzionano
tranquillamente attraverso il meccanismo di NAT di fw .. ovviamente l`utente
fw deve iniziare la connessione outbound verso il box che ospita l`altro
peer della VPN.
per quanto riguarda la security, vtund si basa su una semplice password,
mentre openvpn (che uso abbondantemente) puo` utilizzare sia su una preshared
sia i cert X.509 di openssl, oltre a supportare tutti gli algo di
crittografia e autenticazione supportati da openssl.
unica cosa da ricordare: a volte capita che instaurando tunnel fw<->IB
(adsl o hdsl) c`e` bisogno di giocare un po con il maxmtu (con le opzioni
--udp-mtu o --tun-mtu di openvpn) in quanto come ben si sa il path mtu
discovery e` largely broken in rete =)
il tutto ovviamente solo su piattaforma *nix, in quanto su piattaforma
m$ non e` stato ancora portato il TUN driver.
infine, un utile compagno a chi fa networking su unix e non vuole comprarsi
un cisco =) 
http://www.zebra.org
buon divertimento =)
-- 
pub 1024D/5201DC33 :: C80A DC06 E81C 4613 236B 833F C2C6 009F 5201 DC33
http://bahamut-inet6.sourceforge.net/vjt.asc
  ||  This signature has   
Free advertisement: 
http://www.freebsd.org/
   ||      Super Cow Powers.

 comprarmi un VPN Concentrator 5000 !)
Ma tu di cosa hai bisogno di preciso dalla tua VPN perchè non mi è molto
chiaro dal post: sicurezza, affidabilità, protocolli che servono,...
Te lo chiedo perchè ho apprezzato il tuo report di prove ma non si capisce
bene cosa cerchi di fare, se lo fai tanto per provare o hai uno scopo
preciso. Se ci sei riuscito o meno...
Ciao
Thor


Te l'ho detto voglio entrare nella mia Lan aziendale come se fossi
fisicamente dentro le mura..
Un po' lo faccio per amore di prove, un po' perche' e' il mio mestiere e
quindi se un giorno
mi dovessero chiedere una soluzione del genere almeno sono pronto. Premetto
che se
la rete del road warrior non e' fastweb le soluzione di cui ho parlato
funzionano tutte ( e
quella che preferisco installare e un Cisco con ip/fw/ipsec e un Cisco VPN
client 3.6)

 su un router Cisco.
Ti mando l'howto scritto da me in privato.

 ha scritto nel messaggio
news:a7XX9.34995$lj5.3...@tornado.fastwebnet.it...



Beh la cosa e' di interesse generale, perche' non postarlo sull'ng?
Lo scopo di parlare tutti insieme e' proprio quello di scambiarsi le
informazioni...
Ciao

 lo dica cosi' sappiamo quanto sia sicuro o insicuro l'accesso.
MS-CHAP usa un sitema di challenge-response per l'autenticazione. Nel
capture che tu hai inviato non c'è la password comunque criptata.
Ciao.

 Ciao.

 [cut]
Scusa la domanda, perché hai lasciato cadere (almeno così mi sembra) chi
ti suggeriva di usare vpn basate su TUN driver (in particolare openvpn
-> 
http://openvpn.sourceforge.net
)?
Per Fastweb sono la cosa migliore: sono basate su UDP, quindi veloci,
crittografate (con openssl) e possono anche usare i certificati.
Certo richiedono 2 macchine linux, però sono piuttosto facili da
configurare. Hai fatto 30, fai 31.
Ciao. 

 Ciao.
Ciao
Quando mi hanno suggerito la soluzione mi hanno anche specificato:
"il tutto ovviamente solo su piattaforma *nix, in quanto su piattaforma
m$ non e` stato ancora portato il TUN driver."
Nessuna preclusione quindi pero' la soluzione diciamo "in topic" per me (
assolutamente
soggettivo ) e' quella che permette ad un client M$ di accedere alla propria
LAN
aziendale in maniera assolutamente sicura.
"assolutamente sicura" per me esclude un server M$ pero' prevede un client
M$ visto
che nella stragrande maggioranza siamo utenti "casalinghi" di sistemi M$.
Onestamente se devo fare una vpn tra sistemi *nix preferisco FreeS/Wab
http://www.freeswan.org
(citata nell'esempio 4 come inapplicabile da dentro FW a fuori perche' usa
IpSec), nel
caso di FW sarei ovviamente obbligato ad usare VTun per i problemi di
IpSec/NAT
Non e' che "la lascio cadere" , e' solo off-topic per l'argomento in
questione.
L'unica maniera per riuscire a usare Vtun sarebbe o usare due pc (uno con M$
e un gateway con *nix)
oppure VmWare che permette la realizzazione di una macchina virtuale Linux
su un S.O. M$
pero'... mah! VAbbe' provo a realizzarla e vi so dire.
Nota riassuntiva:
Per quello che e' venuto fuori per ora le uniche cose applicabili sono SSH e
L2TP ma
SSH fa solo port forwarding
L2TP e' in chiaro
..sigh!

 
Si' l'ho fatto anche io funziona bene (in chiaro).
Lo uso per connetettere il mio server win2000 in internet tramite un 
router vigor2200e che e' installato altrove ove ho ip pubblico..
E' un amore come funziona, riservatezza a parte :)
Quindi fornisco servizi http ftp e radio senza problemi

> connesso )
ecco qui ci sta una rogna :
La macchina 2000 dalla quale do' servizi esterni,ovviamente va su 
internet tramite il tunnel.
Non vi e' stato modo di uscire su fw senza menomare le funzioni di 
fornitura di servizi esterni.
L'unica soluzione che ho adottato e' fare uscire su fastweb un pool di 
ip creando route statiche,praticamente tutti gli ip 1.x 2.x 5.x ecc ecc
Sembra che poi,siccome l'interfaccia verso fw e' configurata dal dhcp,ad 
ogni rinnovo la route di default se ne va su fw.
Ho tamponato con la metrica ma putroppo perdo internet in generale su fw.
Consigli ?

 L2TP e' in chiaro
Yes sir. Ciao e alla prossima.


(qua andiamo OT alla grande pero' la cosa e' interessante)
...zzo che configurazione complicata! Aspetta che non so se ho capito:
tu dici che ti connetti dalla tua macchina interna alla rete FW con l'l2tp
client
ad un router vigor che fa da l2tp server e ha un indirizzo pubblico. A
questo punto
fornisci servizi http,ftp e radio dando in giro l'indirizzo del router vigor
che poi
redirige sulla tua macchina ( fino a qua spero di avere capito ).
Anzi gia che ci sto una bella domanda. Visto che comunque ogni pacchetto che
ti deve arrivare prima deve entrare dal tubo di banda a cui il router vigor
e' connesso
e poi deve uscire per arrivare a te hai una occupazione doppia di ogni
pacchetto ( infatti
il tuo server a casa per rispondere ai pacchetti deve rimandarli al vigor
che risponde al client )
come mai non metti il server dove e' il vigor ( questo non c'entra con il
tuo problema e' solo
una mia curiosita')
Il problema che (credo di aver capito) denunci e': "per non perdere la
connettivita' delle altre macchine
sulla rete FW quando sto dando servizi all'esterno, ho delle route statiche
che ruotano 1.x 2.x etc
sul gateway che mi da il dhcp mentre il 0.0.0.0 e' ruotato sull'indirizzo ip
del peer l2tp, pero'
quando il dhcp mi fa un rinnovo della scheda le route statiche vanno in
palla."
se ho capito bene ho delle domande
Ma quando ti arriva il rinnovo del dhcp cambia anche il default gateway?
perche se' il default gateway e'
sempre lo stesso allora basta che route statiche siano permanenti ( route
add x mask x gateway -p )
se invece il default gateway cambia direi che ti tocca uno script tipo:
:loop
ipconfig >nowip.txt
if nowip.txt != oldip.txt
goto reroute
goto loop
:reroute
grep "Gateway" > gw.txt
route add 1.x.x.x mask 255.0.0.0 (gw.txt)
goto loop
questo e' un misto di sintassi diverse pero' dovrebbe dare l'idea. COntrolli
l'ip ogni tot e se e' cambiato
allora prendi il default gateway e gli fai le route sopra ( cosi' ad occhio
direi che va )
Pero' potrei darti un suggerimento: l'ssh version2 permette non solo la
redirezione di porte locali su porte
remote ma anche la redirezione di porte remote su locali, per cui se metti
un linux al posto del vigor con
un ssh server, puoi connetterti da casa e tunnellare la porta remota 80 20
21 etc sulle tue porte locali
della macchina in casa. Non hai problemi di route e se imposti il parametro
di keepalive quando ti
cambia l'ip lui si ricollega e basta. E' il metodo che uso io per connetermi
a casa dalla Lan aziendale.
(e il tutto e' criptato!)
se non ho capito rispiegamelo con parole mie :-))) ciao

 in ascolto.
Ci sentiamo presto se non mi si introia troppo il pc....

Eugenio De Vena ha scritto:

Ti ringrazio per le info : ho risolto tutto.
Si' hai capito tutto, la banda occupata sul tunnel e' aime' doppia.
La "finezza" alla quale voglio arrivare e' quella di usare il tunnel per 
la banda in entrata e per quella in uscita quella di fastweb.
Ma qui la faccenda si complica,bisognerebbe fare un ip spoofing/forging 
o qualcosa di simile.So che si puo' fare ma e' complicato intervenire 
sui raw socket.
Se ci vogliamo studiare su..sei il benvenuto.
Difatti le connessioni entranti arrivano con un ip e le risposte partono 
con l'ip nat di fw quindi non va nulla.
Il perche' il server sta qui e' perche' ove ho ip publico mi hanno 
concesso uno spazio ridicolo e niente apparecchiature rumorose.
ciao

Ok allora l'esperimento con Vtund e' stato fatto e devo dire che mi
aspettavo molto peggio.
Ho installato VMWare sul mio pc di casa. Per chi non lo sapesse VMWare serve
per emulare al'interno
di una macchina 2000 una macchina con un sistema operativo diverso e
concorrente. Nel mia caso
ho creato una macchina con 168mega di ram. 1 scheda di rete e 4 G di hard
disk. SU questa macchina
ho installato Redhat 8.0 in text mode. Poi ho installato il pacchetto vtund
2.5.
In ufficio su un Redhat 7,3 ho installato Vtund 2.5 ma ci sono stati dei
conflitti sulla compressione LZO
che ho quindi disabilitato.
La macchina Linux ha preso un indirizzo 5.255.50.138 mentre la mia macchina
era la 5.255.50.137
ho configurato il mio linux in ufficio per assegnare alla interfaccia tun0
10.10.1.1 e dare al client 10.10.1.2
a questo punto ho lanciato il vtund da entrambe le parti e il miracolo si e'
compiuto. Il mio Linux all'intreno
di VMWare nella mia macchina 2000 pingava tranquillamente 10.10.1.1.
Sul mio Windows 2000 ho aggiunto "route add 10.10.1.0 mask 255.255.255.0
5.255.50.138" e cosi'
anche la mia MAcchina 2000 ha potuto pingare il Linux nella Lan aziendale.
Poi sul router default gateway della
mia LAN ho impostato la route 10.10.10.0 e 5.0.0.0 sulla linux in azienda
(10.3.1.33) e cosi' ho potuto pingare
dalla mia macchina 2000 tutte le macchine della LAN (!).
Le prestazioni sono cosi' cosi' nel senso che lo stesso file tirato giu' dal
web azienda mi dava 1800kbit mentre tirato
giu' tramite l'ip intranet mi da' 900kbit/sec ( pero' ricordiamo che non ho
configurato la compressione LZO ).
Teoricamente a questo punto posso anche vedere la rete FW (5.x etc) dal mio
ufficio, basta configurare un bel NAT
sul linux qui il casa.
Bell'esperimento devo dire, ora tento:
1) di abilitare la compressione LZO
2) di far passare il tutto per un SSH visto che l'autenticazione via
password non mi piace e preferisco o una bella x.509
oppure public-key
fatemi sapere se la cosa interessa!
Ciao a tutti

 funziona
Se posso portare la mia esperienza la cosa l'ho provata
Sulla Macchina esterna WinXp Pro con VMWare che faceva girare una SUSE 8.0
Creato un tunnel Vpn su Ssh  il tutto funzionava , molto pesante ..e con
perdita di pacchetti elevatissima , circa il 15%  , ma per ora è l'unico
modo con cui sono riuscito a fare una vpn con l'esterno con Windows
Saluti
-=bUdclUster-

 [...]
Se vuoi fare un tunnel ssh da windows ti basta un programma Telnet con
ssh su Windows come PuTTY (sì, non ridere si chiama così). Guarda
http://www.chiark.greenend.org.uk/~sgtatham/putty/
.
Eviti l'overhead di far girare Linux in una emulazione sotto Windows,
che penso sia la causa delle tue perdite di pacchetti.
E' una soluzione che uso abbastanza spesso e non ho visto inefficienze
particolari. D'altra parte ssh è TCP e quindi non è il massimo per il
tunnelling.
Ciao.

 ha scritto nel messaggio
news:4ijY9.979$YL4....@tornado.fastwebnet.it...

L'ho mandato in privato perchè non sapevo se si potessero postare allegati o
meno.

 ssh su Windows come PuTTY (sì, non ridere si chiama così). Guarda
Abbiamo parlato di ssh fin dal primo messaggio del thread. Se guardi bene
c'e' una piccola analisi. Il fatto e' che ssh non e' vpn ma tunnel, puo'
andare bene
per alcune cose ma devo fare il login al dominio etc etc non va bene.
Il trucco di far girare vtund in una Linux box dentro VmWare e' per ottenere
un vero ip virtuale ruotato sulla Lan aziendale. In realta' neanche questa
va' cosi'
bene perche' e vero che riesco a "portare" un ip della Lan fino al Vtund
cioe' fino
al Linux ( cioe' se la mia Lan e 10.3.1.x , il mio Linux dentro VmWare
riesce ancora
a prendere un ip sullo stesso network), pero' l'indirizzo IP della macchina
Windows
non potra essere sulla stessa network ma su un network diverso ruotato su
quello principale.
E' una piccola limitazione pero' ancora non si e' dei veri "road warrior" !
Ah! Oggi ho fatto delle prove con il Cisco VPN Client e un VPN Concentrator
5000,
mi sa che anche li' siamo nella bratta.
Allora: il client era dietro un router 1700 con NAT ( 192.168.1.x -> a.b.c.d
dove a.b.c.d e' uno
degli 8 ip dati dal provider ) mentre il VPN concentrator ha un indirizzo ip
vero pubblico non nattato.
Ho provato sia ipsec su udp che ipsec su tcp ma niente da fare, si ferma
appena dopo l'autenticazione,
poi ho fatto un nat "uno a uno" dalla macchina con il VPN client e
l'indirizzo a.b.c.d2 ( altro indirizzo dato
dal provider ) e allora ha cominciato a funzionare.
Questo ho paura che metta fine alla speranza di usare VPN client, in quanto
non ho intenzione
di andare a spendermi degli altri soldi per avere un nat "uno a uno" con un
ip pubblico...
---Continuo a cercare ----
saluti a tutti

 [cut]
Stai parlando con me o con -=bUdclUster-?
Io stavo solo rispondendo a lui.
Ciao e buon lavoro (prova openvpn prima o poi).

 Ciao e buon lavoro (prova openvpn prima o poi).
Spetta cos'e ? mi manca? Ho provato frees/wan , vtun e ppp su ssh . OpenVpn
cos'e'?
ciao

 cos'e'?
http://openvpn.sourceforge.net/
 (usa lo stesso driver di vtun), poi sono
io che perdo i messaggi del thread :-)
Ciao.

 
Porta 500 ?
Provare a cambiare la porta su cui lavora ipsec di default con una non 
nota ?
Da network monitor avevo stabilito che il problema e' che veniva proprio 
segato il protocollo di negoziazione link
Proprio per segaggio voluto. Magari cambiando porta (se fattibile) non 
viene filtrato

c'e' una novita'..
ho parlato con un tecnico FW che segue l'utenza professionale che mi e'
sembrato molto
preparato sulla struttura interna di FW, e mi ha detto ( prendiamola pero'
con beneficio di inventario )
che le connessioni GRE ed IPSEC non funzionano non perche' ci sia un NAT (
questo in se' pare non
dia fastidio alle connessioni del genere ) ma piu' che altro perche c'e' un
overload ovvero un condivisione dello
stesso indirizzo pubblco da parte di molti utenti, e che se invece il nat e'
"uno a uno" ovvero al proprio
indirizzo privato corrisponde un indirizzo pubblico e viceversa , sia IPSEC
che GRE funzionano.
Ho fatto una prova di collegamento da una rete Interbusiness nattata con
overload verso la mia
lan aziendale con il Cisco VPN client e non ha funzionato, mentre appena ho
attribuito un nat "uno a uno"
alla macchina con il client tutto ha funzionato... vuoi vedere che ha
ragione?
Vero o no il problema comunque permane visto che l'ip pubblico costa 0,50
euro all'ora oppure 4 al giorno.
Per quella cifra uso l'ssh.
Comunque se qualcuno di voi ha attivato l'ip pubblico mi potrebbe aiutare a
fare una prova cosi'
ci leviamo la curiosita'
ciao a tutti

 ci leviamo la curiosita'
Ma scusa, non spedi neppure 0,50 per toglierti la curiosita'?
Comunque si', ha ragione il sistemista Fastweb: funziona, provato
personalmente.


Diciamo che a questo punto non ne ho bisogno visto che mi confermi che
funziona :-))
hai fatto 00011110 fai 00011111 dicci cosa hai provato
tipo protocollo    funziona?
PPTP Microsoft
L2TP con IPSEC
Cisco VPN Client con server Cisco IOS o VPN Concentrator
McAfee VPN Client con server FreesWan/OpenVPN
Altro...
Domandina OT: io ho internet senza limiti e nel contratto ci sono 20 ore di
ip pubblico incluse. Esiste un modo di vedere quante ore ho consumato e
quante
ore mi rimangono?
Ciao a tutti

 ore mi rimangono?
No.

 ore comprese?
L'ho scoperto ieri andando a vedere quanto costa. Essendomi fatto una
connessione
reverse ssh per vedere la macchina da fuori non mi ha mai interessato l'ip
pubblico.

Eugenio De Vena ha scritto:

Si' ti confermo che con ip pubblico ipsec va che e' un amore :)
Instaurata vpn tra me (fastres) e un amico su telvia
In condizioni normali,ovvero senza attivazione ip pubblico, usiamo l2tp 
senza ipsec.
Cmq, se mi scrivi in pvt, ti do' il nostro recapito di posta ove si 
discute su tutte le prove ipsec ssh ecc ecc..