Newsgroup: it.comp.reti.locali
Titolo: Server VPN in alternativa a router zyxel

In ditta abbiamo un router Zyxel 662H che fa sia da gateway internet 
nella filiale principale e anche da "centro stella" per le varie filiali 
(ora come ora gestisce 8 vpn ipsec con pre-shared key), tutte con altri 
routerini Zyxel (651, 661, ecc.).
 
Fino a qualche tempo fa non ci sono stati problemi, ma recentemente la 
connessione internet ha cominciato a rallentare vistosamente, 
soprattutto nel tardo pomeriggio.
Ora, sto cercando di fare un bel troubleshooting sulle possibili cause...
1) ho messo su wireshark su server e non sembra che c'entrino software 
p2p, e il traffico non è mai esagerato
2) la connessione adsl ha sempre valori nominali ottimali (è una Alice 
Business 20M 256F, quindi non proprio malaccio)
3) al momento della "crisi", nella maggior parte dei casi non riesco ad 
accedere al router, né via HTTP né Telnet (va in timeout)
4) la "crisi" può durare anche decine di minuti, ma se spengo e 
riaccendo il router la connessione poi va come una scheggia
5) a volte il router quando è in crisi, dopo un po' si resetta da solo.
 
Ora, è chiaro che il maggior imputato è il router, e qui veniamo 
all'oggetto del post: ora come ora non saprei come sostituire il router 
se non con uno uguale. Questa cosa mi ha sempre un po' dato fastidio, è 
chiaro che una vpn con due router zyxel è facilissima da fare (anche 
perché so farla) ma non mi piace essere vincolato a zyxel... infatti se 
adesso volessi sostituire il router con uno di diversa marca non posso.
Per non contare il fatto che i 662 sono anche abbastanza difficili da 
trovare in giro.
Ho provato a configurare un Cisco 877 che ho qui, ma ovviamente non 
avendo esperienza ho ottenuto scarsi risultati (sono riuscito a far 
funzionare il collegamento internet ma nelle vpn mi sono perso).
 
Una possibile soluzione sarebbe un software che, installato sul server 
principale (win2003sbs), permetta di fare da VPN server, dopodiché sarei 
libero di poter provare altri router...
 
-- 
Jax

 libero di poter provare altri router...
 
Troppo facile: openvpn. Multipiattaforma, open source, ben documentato.
 
Ciao.
 
-- 
Pubblicita' regresso: 
http://www.ferrero.org
 
** Per scrivermi in mail, sostituire nutella con ferrero...
** To contact me by email, change nutella to ferrero...
 

 Troppo facile: openvpn. Multipiattaforma, open source, ben documentato.
 
E' quello che avrei suggerito anch'io, ma devi cambiare anche l'altro lato
(o meglio, gli altri 8 lati).
 
Forse Jax cercava qualcosa che fosse compatibile con l'esistente.
Non conosco le VPN Zyxel, ma se come dice sono IPSEC, credo che un qualunque
Linux/BSD possa sostituire il router in oggetto.
Certo e' MOLTO piu' complicato che mettere OpenVPN ovunque.
 
 bye
 

 trovare in giro.
 
Ho avuto per lungo tempo Zyxel e tuttora conservo uno Zywall a pochi 
centimetri dalla mia postazione.
 
Mi sono sempre sembrati dei giocattolini pronti ad entrare in crisi 
anche per sovratemperatura (il tuo caso, forse?)
 
Poi sono passato a Draytek su consiglio di questo stesso nwg e devo dire 
che e' un' altra storia.
 
La vpn e' stabile come una roccia e ne supporta di vari tipi...
 
www.draytek.com
 
 
HIH,
 
Stefano

 
www.draytek.com
Costi? Reperibilitï¿œ? Rivenditori in Italia? Compatibilitï¿œ con gli zyxel? 
Chiedere di cambiare 9 router tutti insieme, quando in effetti 
funzionano, ï¿œ un ottimo modo per essere sputati in faccia dalla direzione :D
-- 
Jax

 Certo e' MOLTO piu' complicato che mettere OpenVPN ovunque.
Mi servirebbe qualcosa idiot-proof (cioï¿œ io) e possibilmente semplice da 
gestire. Purtroppo non ho le competenze per installare/gestire un server 
linux...
-- 
Jax

 :D
 
spider di torino se sei un rivenditore
Compatibilità: ho alcuni draytek collegati ad uno zyxel, accettano vpn pptp, 
l2tp e ipsec
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 adesso volessi sostituire il router con uno di diversa marca non posso.
perch� non puoi? zyxel lavora con ipsec quindi l'interoperabilit� �
buona. Chiaro che due zyxel � pi� semplice, ma le opzioni alla fine
sono quelle.
Quello che farei io? un router adsl solo per la connettivit� (il cisco
visto che ce l'hai) e un firewall dietro per le vpn (e le funzioni
firewall ovviamente).
Come firewall io utilizzo fortinet e ho testato vpn site-to-site con
zyxel. (se ti interessa fammi un fischio che ho un fortinet dove ti
posso fare un prezzaccio).
non banali da configurare, ma ottimi prodotti (tra l'altro in ambito
vpn possono lavorare anche in ssl).
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 firewall ovviamente).
Ho seguito il tuo consiglio e ho ritirato fuori dall'armadio il vecchio 
ZyWall 10... poi ci smanetto su un po'.
Per il router... mi piacerebbe davvero usare il Cisco, ma ho un certo 
timore reverenziale. Mi sento come se dovessi mettermi al volante di un 
elicottero: che figata, posso andare dovunque e fare qualunque cosa, ma 
non so manco guidarlo...
Tanto per farti un esempio, non saprei neanche come fare a fare port 
forwarding (che mi serve)!
-- 
Jax

 forwarding (che mi serve)!
 
Non hai indirizzi ip statici? Io il router adsl lo utilizzerei in
routing puro senza NAT e poi gestirei tutto da firewall.
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Nera...
 
L'indirizzo em@il non è da considerarsi pubblico,


 libero di poter provare altri router...
 
C'è sempre il VPN Server incluso in W2K3 SBS...


 
Se gli Zyxel li hai sponsorizzati tu allora ti sei dato la zappa sui 
piedi; altrimenti ci vuole coraggio ad implementare una vpn con quei 
giocattoli, in ambito business.
 
Personalmente ho acquistato direttamente da loro, importatori italiani.
http://www.draytek-corp.it/
 
 
Contattati telefonicamente anche via Skype mi hanno fornito il listino e 
spedito la merce al volo.
 
Ovviamente Fortinet è un gradino ancora piu' su, come suggerito da Mirko.
 
Io ho un Draytek Vigor 2955 con a parte il modem Vigor 120 e sono anche 
sovradimensionati per le mie esigenze. A te la valutazione se salire 
ancora di prestazioni e prezzo: di sicuro con Zyxel non vai da nessuna 
parte...
 
Scusa per la franchezza...
 
Stefano


 
una ventolina sul router no??
 
-- 
per far danni mi occorre la tua password di root


 
Mmhh...ammesso che possa essere una soluzione praticabile (penso ad un 
ufficio dove inevitabilmente qualcuno finira' con lo smanettare sulla 
ventola esterna) sempre delle baracchetta rimangono.
 
Ricordo bene il forum statunitense sui firewall Zyxel quante lamentele 
per riavvii spontanei dei router ZyZZel riportava...
 
Per non parlare del supporto tecnico, a dire poco latitante...
 
Ovviamente IMHO,
 
Stefano

 Per non parlare del supporto tecnico, a dire poco latitante...
 
questo no. Diciamo che non c'è supporto per l'utente finale. Perchè
zyxel vuole (o almeno voleva) che prima ci si rivolga al partner, poi
il partner chiama zyxel. Io ho sempre ricevuto supporto abbastanza
celermente, poi quando inizi a conoscere i tecnici mandi le mail
direttamente a loro.
Il problema di zyxel è che non ho ancora visto un router che sia
construito in modo solido. Come software non sono male, anzi li
preferisco a netgear e affini, ma usati in ambito business non danno
grosse garanzie. Li uso come router domestici se mi capita qualche
installazione da qualche conoscente.
Visto che hanno una serie di firewall che spacciano per l'enterprise
(ma poi vorrei vedere chi li compra) io almeno una serie di router
enterprise la farei.


 Mi servirebbe qualcosa idiot-proof (cioè io) e possibilmente semplice da 


Prova pfSense (
www.pfsense.org
)... ti puoi scricare l'appliance per
VMware per provare. Noi lo usiamo su hardware ALIX PCEngines, ed � a dir
poco eccezionale, sopratutto nella attuale versione 2 (RC3).
Se non vuoi sbattimenti, puoi prendere un device con software gi�
pre-installato da qui:
http://tinyurl.com/23s2j9a
-- 
Per rispondere, togliere -NOSPAM- dall'indirizzo.

 direttamente a loro.
 
Ah, ecco. Adesso mi spiego come mai non mi rispondessero neppure.
Nulla da eccepire sulla loro politica; permettimi di puntualizzare che se si 
vuole che l'utente finale si rivolga al partner allora bisogna evitare di 
far vendere il prodotto presso la GDO informatica oppure presso il 
negozietto sotto casa che *non* sono partner.
 
A quel tempo (5, 6 anni fa) i partner erano ben pochi, stando al loro stesso 
sito e il negozio dove lo avevo comprato non era certo in grado di 
rispondere alle mie richieste.
Ovvio che ben mi guardavo dal rompere le scatole ad un partner, non avendo 
acquistato presso di lui.
 
Alla fine mi sono stufato e ho cestinato lo Zywall....
 
Stefano 
 

 Alla fine mi sono stufato e ho cestinato lo Zywall....
 
Gli zywall non sono dei brutti prodotti (almeno dal 5 in poi) tutto
sommato. Adatti ad una fascia bassa, ma non sono male. Non hanno senso
di esistere nella fascia più alta secondo me. Costano quasi come i
concorrenti (che poi in realtà non lo sono nemmeno) pur avendo
prestazioni e feature in meno.


 routing puro senza NAT e poi gestirei tutto da firewall.
 
Solo 5 ip pubblici, e ora come ora ho ben 12 napt attive (utilizzate 
davvero forse 4-5, ma questa è un'altra storia - se il capo un giorno 
gli viene lo sghiribizzo e vuole collegarsi al pc del lavoro, *devo* 
tenergli un accesso attivo anche se lo farà una volta ogni due anni :) )
 
-- 
Jax

 tenergli un accesso attivo anche se lo far� una volta ogni due anni :) )
E qual'� il problema? con 5 ip ne hai in "abbondanza". Per il capo e
tutti quelli che si vogliono connettere da fuori si fa una VPN da
usare via client, ip sprecati: nessuno.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non � da considerarsi pubblico,



Auff...meno male...mi rincuori.
Piuttosto, il mio e' uno Zywall 10W ancora con scatola originale ed 
immacolato...lo vuoi per circa...fai tu il prezzo? :-))
Ok, non sparami, scherzavo.
Tanto il mio Draytek Vigor 2955 non lo baratto, lol.
Stefano

 Tanto il mio Draytek Vigor 2955 non lo baratto, lol.
 
di draytek ne ho uno in una filiale inglese di un'azienda che seguo,
c'ho messo le mani un paio di volte e non ho approfondito molto ma non
sembra male. Non ho ancora avuto l'opportunità di averne uno realmente
sotto mano, ma ne parlano tutti abbastanza bene.



 
e arigrazie, the green bow è un client ipsec
 


 
Ovviamente, essendo io un power user residenziale non faccio certo testo 
ma dovunque leggo che sono prodotti che rendono quello che li si e' pagati.
Naturalmente c'e' di meglio spendendo di piu' ma sembrano essere dei 
best buy.
 
Onestamente per una rete domestica, quale la mia, il 2955 e' 
sovradimensionato ma sono uno che non ama avere catorcetti sulla 
scrivania. Gli ho anche attaccato uno switch Procurve managed per 
realizzare una bella vlan da dedicare agli ospiti.
Sono matto?
 
S.
 

 usare via client, ip sprecati: nessuno.
 
E' sempre un connubio comodità vs. sicurezza. Diciamo che, viste le 
dimensioni della ditta e le pretese che hanno, preferisco fare un napt: 
non ho certo voglia di andare a casa di chiunque mi chieda di poter 
lavorare da casa a configurargli una VPN.
Comunque, per curiosità (e visto che il tuo discorso non fa una piega), 
che software client VPN dovrei usare nel mio caso?
Tempo fa avevo provato a configurare l'ipsec di WinXP ma non c'ero 
riuscito... e pagare per lo Zyxel VPN Client mi scoccerebbe parecchio.
 
Ah, finora non ho mai avuto intrusioni, se da oggi cominciano so chi 
ringraziare eh? :D
 
-- 
Jax

 Sono matto?
 
mah, direi di no. io ho una configurazione ancora più spinta
(router+firewall+gigabit+ap) anche se poi dietro ci sono dei server,
quindi un po' più giustificata.
C'è da dire però che se non avessi i server dietro metterei su un bel
routerino tuttofare buono (magari proprio un draytek), non mi farei
tante pippe ed eviterei di avere quintali di cavi che girano...
Comunque in genere la penso come te, spendere di più per avere roba
buona che non rompe la balle.


 che software client VPN dovrei usare nel mio caso?
 
uso il client fortinet che è personalizzabile con tutte le
configurazioni in fase di installazioni.
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Nera...
 
L'indirizzo em@il non è da considerarsi pubblico,


 notebook che ti passano tra le mani.
 
Eh. A esser capaci è tutto facile...
Non è che magari fai un salto a Piacenza che ti offro una pizza, ma di 
quelle buone buone? ;)
 
-- 
Jax

 quelle buone buone? ;)
 
LOL
Allora se passi da Napoli ti offro un piatto di tortelli alle erbette :-)
 
 
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
 
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 
 
 

 Allora se passi da Napoli ti offro un piatto di tortelli alle erbette :-)
 
Ok hai ragione, promuoviamo le tipicità...
allora posso offrire gnocco fritto con salumi e gorgonzola + pisarei e 
fasò, innaffiato da un bell'ortrugo :)
 
-- 
Jax

 fasò, innaffiato da un bell'ortrugo :)
 
Ok, se Mirko non riesce a passare fammi sapere che salgo su io :-)


 quelle buone buone? ;)
 
Piacenza è nel mio raggio di azione.
Seguo in toto un'azienda di parma, che tra l'altro ha assorbito
proprio un'azienda di piacenza.
Se la cosa può interessare scrivimi pure.
