Newsgroup: it.comp.reti.locali
Titolo: VPN Zywall: funzionano solo alcune cose

Ho messo in piedi una VPN tra due Zywall2+. Uno di essi ha sostituito
un vecchio Zywall2, nella speranza che quest'ultimo fosse la causa dei
problemi.
Entrambi i firewall sono nattati dietro dei router, e in entrambi i
casi vengono inoltrate le porte UDP 500 e 4500. Gli IP delle due ADSL
(4M down / 256K up) sono statici.
Per quello che ho potuto verificare con degli spostamenti di file (su
SMB) la velocità del tunnel  è di circa 20KB/sec.
La VPN è di tipo network-to-network, 
192.168.1.0/24
 e 
192.168.2.0/24
.
Chiamiamo la prima SedeA e la seconda SedeB.
Le impostazioni firewall di entrambi gli Zywall2+ sono su "permit"
nelle direzioni LAN-TO-VPN e VPN-TO-LAN.
Il tunnel va su e ci rimane, ma il funzionamento è parziale.
Il ping funziona e pure la connessione alle risorse SMB.
Ma, ad esempio, da SedeA a SedeB non funzionano le connessioni RDP né
si riesce a utilizzare Gestione Computer in remoto.
Da SedeB a SedeA funzionano le connessioni RDP ma ad esempio non
funziona un'applicazione (gestionale) che si connette a SQL server.
Gli eventi salienti che trovo nei due Zywall+ (marcati in nero, non in
rosso) sono di tre tipi:
"Firewall Session Time Out"
2
RST	2007-10-07 20:41:17 	 Firewall session time out, sent TCP
RST 	 
192.168.2.151:19226
 
192.168.1.1:4979
 	TCP RST
3
	2007-10-07 20:41:17 	Firewall session time out, sent TCP
RST 	
192.168.1.1:4979
 
192.168.2.151:19226
 	TCP RST
"Peer TCP state out of order, sent TCP RST"
4
	2007-10-07 20:39:19 	Peer TCP state out of order, sent TCP
RST 	
192.168.2.151:4473
 
192.168.1.1:445
 	TCP RST
5
	2007-10-07 20:39:19 	Peer TCP state out of order, sent TCP
RST 	
192.168.1.1:445
 
192.168.2.151:4473
 	TCP RST
6
	2007-10-07 20:35:33 	Peer TCP state out of order, sent TCP
RST 	
192.168.2.151:4472
 
192.168.1.1:19226
 	TCP RST
7
	2007-10-07 20:35:33 	Peer TCP state out of order, sent TCP
RST 	
192.168.1.1:19226
 
192.168.2.151:4472
 	TCP RST
8
	2007-10-07 20:35:32 	Peer TCP state out of order, sent TCP
RST 	
192.168.2.151:4471
 
192.168.1.1:80
 	TCP RST
"Packet Authentication fail"
 2007-10-07 20:35:20 	 Rule[VPN_NP-SedeB-SedeA]packet authentication
fail 	 IP_pubblico_sedeA 	 10.0.1.3 	IPSEC
11
	2007-10-07 20:35:20 	The SPI and sequence number are :
0x7CC9DF6B / 4851 	IP_pubblico_sedeA 	10.0.1.3 	IPSEC
Ho ovviamente mascherato IP_pubblico_SedeA.
Ho aggiornato il firmware su entrambi i firewall, ma la situazione è
peggiorata: delle volte si blocca ogni cosa da SedeA a SedeB ma rimane
attivo quel po' di cose che funzionano da SedeB a SedeA.
Qualcuno ha qualche idea su come potrei muovermi per la diagnostica?
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

funziona un'applicazione (gestionale) che si connette a SQL server.
Aggiungo una cosa, tutta relativa alla SedeB:
3
	2007-10-07 22:55:46 	Firewall session time out, sent TCP
RST 	
192.168.2.6:8080
 
192.168.2.151:1170
 	TCP RST
4
	2007-10-07 22:55:46 	Firewall session time out, sent TCP
RST 	
192.168.2.151:1170
 
192.168.2.6:8080
 	TCP RST
Perché queste connessioni vengono intercettate dal firewall? Le due
macchine in questione hanno entrambe netmask 255.255.2550, questa
comunicazione non dovrebbe arrivare al gateway.


 e quelle che non lo capiscono.
Ciao
Puoi provare a mettere i due router su una dmz? magari momentaneamente
firewall free.
Ciao

firewall free.
Putroppo non posso...
Ma proponi questo test riguardo al problema che ho aggiunto in questo
messaggio o riguardo al principale?
Comunque cosa dovrebbe cambiare secondo te se fossero su una dmz?
A me non quadra proprio il fatto che quella connessione debba passare
per il gateway.


 wrote:

Aggiornamento:
Come ho appena detto nell'altro messaggio, non ho possibilità di
spostare i due Zywall2+ dal posto in cui si trovaano.
Ho però fatto un test con il vecchio Zywall2 su un'altra ADSL
(chiamamola SedeC), mettendo in piedi delle VPN verso SedeA e SedeB.
Ho notato che il problema è confinato a SedeB
SedeA <-> SedeC tutto Ok
SedeB <-> SedeC stessi problemi di SedeA <-> SedeB
(non ho potuto provare la connessione SQL perché in SedeC non ho un
client adatto, ma tutto il resto che non funzionava funziona)
In particolare ho notato che l'errore bloccante è il "Packet
Authentication failed", e che avveniva solo nello Zywall2+ di SedeB.
Ora mi chiedo una cosa: sarà guasto quello Zywall2+?


 Ora mi chiedo una cosa: sarà guasto quello Zywall2+?
i firmware sono identici?
Eventualmente resetta lo zywall con i problemi e riparti da zero con
una configurazione semplice e minimale.
Potrebbe anche essere che ci sia qualche impostazione nascosta che
rompe.
Per il guasto, potrebbe anche essere mi è già capitato con uno
Zywall10 (con problemi diversi, ma comunque ambigui).
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
(Vendo giacca Spidi Road Egle 
Come nuova, 150eur)
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

rompe.
Proverò... però io non avevo modificato nulla tramite la cli, avevo
fatto tutto via web.


entrambe le direzioni nonostante il tunnel sia marcato come attivo.
Aggiornamenti:
In SedeB ho provato a mettere il vecchio Zywall2 e funziona tutto in
entrambi i versi. Ho quindi escluso problemi di ADSL.
L'unica cosa che mi lascia dubbi è il gestionale: non dà più l'errore
iniziale, lascia autenticare e poi consente di lavorare.
Consente però di fare solo operazioni leggere: facendo dei report con
molti record rimane tutto bloccato anche lasciandolo lì per 10-15
minuti (e a un certo punto smette lo scambio dei dati).
Non so, però, se questo comportamento sia semplicemente un problema di
banda insufficiente.
L'errore che rimane presente è quello di "TCP RST".
Quanto allo Zywall2+, ho provato a ri-flasharlo, reimpostarlo allo
stato iniziale ma niente da fare.
Ho scritto alla Zyxel, ma sono passati dieci giorni e non ho ottenuto
alcuna risposta.


 alcuna risposta.
se non sei certificato se ne fregano altamente (e anche se sei
certificato a volte non sono velocissimi).
Se vuoi ti posso fare da ponte, ma comunqe non garantisco nulla.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
(Vendo giacca Spidi Road Egle 
Come nuova, 150eur)
L'indirizzo em@il non č da considerarsi pubblico,
