Newsgroup: it.comp.reti.locali
Titolo: Bridge con 3 wywall - ex reti.ip-admin--

Ripropongo qui il messaggio già postato su reti.ip-admin sperando in maggior
fortuna......
Salve,
Ho connesso due sedi con due zywall e una vpn.
Le due sedi sono con connessione fastweb e con in pubblico
lo schema è il seguente:
lan 10.10.10.0 255.255.255.0 SEDE1
|
zywall  LAN 10.10.10.1
zywall  WAN 192.168.0.2
|
router fastweb 192.168.0.1
|
IP pubblico 80.80.80.80
|
INTERNET
|
IP pubblico 81.81.81.81
|
router fastweb 192.168.100.1
|
zywall WAN 192.168.100.2
zywall LAN 10.0.0.1
|
lan 10.0.0.0 255.255.255.0 SEDE2
Tutto funza correttamente.
I pc sulla rete 10.10.10.0 raggiungono tramite VPN i pc sulla rete 10.0.0.1
e viceversa.
Purtroppo, per esigenze software ho necessità che la SEDE2 condivida lo
stesso spazio di indirizzi della SEDE1
( i pc della SEDE2 devono prendere le impostazioni di rete da un server DHCP
della SEDE1).
In pratica le macchine della SEDE2 devono comportarsi come se fisicamente
stessero nella SEDE1.
Ho pensato a trasformare la configurazione degli zywall da ROUTER in BRIDGE.
A questo punto non capisco una serie di cose:
Perchè lo zywall, in conf. bridge mi fa sparire la configurazione dalla
porta WAN??
Se metto come indirizzo quello verso il router di connessione fastweb, dove
indico gli indirizzi privati?
Devo specificare tutto in una nuova VPN??
Avete un esempio?
Grazie
Ioson

Ho sbagliato l'oggetto... era con 2 zywall e non con 3 wyall
Che brutta cosa la fretta.....
:))))))))))

 porta WAN??
bhe perchè è in bridge... con quella configurazione l'ip gli serve
solo per la configurazione.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 solo per la configurazione.
e quindi come gli dico quale è il router remoto con cui fare il bridge?
Con una VPN? se si come metto la stessa classe di indirizzi in entrambe i
lati?
Purtroppo credo che gli zywall non facciano il bridging over internet ma
solo localmente dietro ad un router....
penso che userò due cisco...
Qualcuno vuole comperare due Zywall 2+ come nuovi? :))))))))))))

 Qualcuno vuole comperare due Zywall 2+ come nuovi? :))))))))))))
non li proporrei neanche al mio peggior cliente...



Ovviamente ti ringrazio ugualmente per l'interessamento.
Ciao

> non mi sono mai posto un problema simile e quindi non l'ho mai
e quindi? Cosa centra questo con il fatto di non conoscere le modalità
operative di un firewall?



Ciao
Normalmente la configurazione che vuoi realizzare tu non viene
implementata perchè complica parecchio la gestione, in pratica avendo
le due subnet uguali non puoi creare il routing necessario per girare
il traffico diretto alla sede remota nella vpn.
(tutto quello che ti scrivo di seguito è semplificato)
Per risolvere questo problema si usa lo SNAT in pratica vai a creare
due subbnet virtuali che vengono viste solo dalle due interfacce vpn,
mettiamo che tu sei con due subnet 192.168.0.X se un pc 192.168.0.2
deve raggiungere 192.168.0.3 nella sede remota si fa così, vengono
assegate le due nueve subnet tramite lo SNAT ad esempio 10.0.0.X a un
endpoint e 10.0.1.X all'altro, per raggiunger 192.168.0.3 il pc
192.168.0.2 deve contattare l'ip mappato (esempio) 10.0.1.3, durante
il passaggio che la route statica esegue verso l'interfaccia vpn l'ip
sorgente viene modificato in 10.0.0.2 in questo modo all'interno della
vpn risulta come che ci sia un pc 10.0.0.2 che cerca di contattare un
pc dall'altra parte 10.0.1.3.
esempio di una connessione con subnet uguale, per ogni pc deve essere
assegato un ip lato vpn per permettere il routing.
pc1 192.168.0.2 ---192.168.0.1 router vpn 10.0.0.2----------
internet--------10.0.0.3 vpn router 192.168.0.100------pc2 192.168.0.3
Zyxel spiega qui come fare questa procedura:
http://www.zyxel.it/managerpartner/up_apn/1213603379.pdf
Capisci che modifcare due subnet già diverse per poi dover
implementare un simile sistema non è il massimo.
Non dovrebbe esserci un motivo a livello di configurazione di rete per
cui una vpn con due subent diverse non debba funzionare.
Puoi spiegare meglio il tuo problema?
per quale motivo devi avere stesso ip da entrambe le parti?
Ciao

 per quale motivo devi avere stesso ip da entrambe le parti?
se non ho capito male (ma non risponde ai suggerimenti) perchè vuole
usare un solo dhcp in una sede e vorrebbe che i pc dell'altra sede
prendessero l'ip dal dhcp via vpn. Risolvibile con un dhcp relay in
meno di 5 minuti (poi cosa succeda la mattina che rimane senza
connettività è da vedere...)


 connettività è da vedere...)
Se il motivo è solo quello hai pienamente ragione, ma con il dhcp
relay se fai assegnare ip della stessa subnet tra le due reti poi come
fai ad instradare il traffico dentro la vpn visto che non si può fare
il routing verso l'interfaccia?
La stessa cosa evitando anche il problema della mancanza di
connetività è settare i due server dhcp su due range che non si
sovrappongono ma rimane sempre la questione che una vpn ipsec senza
routing non funziona.
Renaissance mi ha spiegato che con PPTP si può lavorare in spoofing e
quindi usi le subnet uguali da entrambe le parti.
Ciao

 quindi usi le subnet uguali da entrambe le parti.
non mi piace usare pptp e ho fatto solo pochissimi esperimenti, ma mi
pareva si potesse fare. Solo che ti servono un paio di server, e a
quel punto mi sa che cade anche il discorso dhcp...


Il problema è un "semplice" bridging tra due reti.
normalmente con Cisco IOS userei  IRB.
Per fare la cosa semplice è come se tu volessi "stendere" un cavo tra le due
reti distinte e "routare"(impropriamente)
tutto il traffico di una porta (fisica) della rete 1 su una porta ( fisica)
della rete 2.
Quindi una comunicazione di layer 3 su cui passano, volendo, anche altri
protocolli ( IPX, NetBeui)
Nel caso specifico, come dicevo, nella rete 1 c'è un server che distribuisce
servizi ai client in DHCP.
La necessità è che tali servizi arrivino anche alle macchine della rete 2
( che per averli sono client dhcp).
I server sono blindati e non si può agire su di essi con route statiche o
quant'altro.
Sono stato tratto in inganno dalla dicitura " modalità bridge" degli ZyWall
che viene messa in alterativa alla modalità "router".
Vai a pensare che intende una modalità bridge --sulla stessa rete!!!!---.
L'idea della VPN era nata dal fatto che su linux con OpenVPN si riesce a
fare un bridge server-to-server trasparente.
Comunque la configurazione che mi consigli può tornarmi utile in futuro.
Nel caso specifico purtroppo non credo.
Ciao e grazie

 Nel caso specifico purtroppo non credo.
bho vedi tu... dal mio punto di vista l'uso del relay serve
esattamente a risolvere il tuo problema. Se poi vuoi complicarti la
vita fai pure.
