Newsgroup: it.comp.reti.locali
Titolo: Vpn e access point

Buonasera a tutti.
Ho un dubbio atroce che mi è venuto fuori leggendo le specifiche di alcuni 
access points.
Ho intenzione di implementare una connessione vpn tra due routers che sono 
dotati di terminatori vpn. Sono apparecchi di classe residenziale (Digicom 
Michelangelo Office Pro V e Atlantis Land A02-RA340).
Attualmente ho già sul Michelangelo una vpn L2TP IpSec che funziona con un 
portatile connesso  tramite umts (in dial up, quindi);
adesso conterei di acquistare l'Atlantis Land per implementare un tunnel vpn 
IpSec da rete fissa tra i due routers.
Il sito dove verrebbe montato l'Atlantis avrebbe il portatile collegato al 
router in wi-fi tramite un access point. Solo che leggendo le specifiche di 
alcuni access points mi accorgo che su alcuni c'è scritto "supporto vpn 
passthrough".
Significa forse che se l'access point non supporta almeno il vpn passthough 
la vpn non funziona?
Mi pare illogico, visto che il tunnel vpn verrebbe ad instaurarsi tra i due 
routers e l'access point si trova a valle di uno dei due routers, quindi non 
vedo perchè non dovrebbe funzionare. A meno che mi sfugga qualcosa...forse 
su rete wi-fi la vpn non passa, neppure se già creata a monte?
Grazie per il vostro aiuto,
Stefano


La dicitura Vpn passtrough è (di solito) intesa in ingresso. Ovvero il 
dispositivo non blocca le (specifiche) porte secondo la tipologia di vpn che 
sto instaurando. Tuttavia non è egli stesso l'endpoint della vpn.
Ma da quel che ho capito la tua necessità è quella di stabilire una vpn di 
tipo client-to-gateway una volta che sei connesso alla rete in wi-fi 
autenticato dal tuo AP.
Nel tuo caso specifico l'unica cosa di cui mi preoccuperei è 
l'incapsulazione del protocollo udp nel caso di vpn l2tp/ipsec in quanto ti 
trovi dietro nat.
Se poi la necessità è quella di stabilire una vpn di tipo gateway-to-gateway 
ovvero un tunnel tra i due router dubito che prodotti SOHO (o residenziali 
come li chiami tu) possano essere sufficienti.
-- 
Giuseppe Nacci
http://blogs.dotnethell.it/nacci/
Blog Wired and Wireless connection

 
Be, non esattamente...in realta vorrei configurare un gateway to gateway tra 
due routers che supportano ipsec. Ora, avrei questa configurazione:
sito A: Digicom Michelangelo - lan interna cablata con pc
sito B: Atlantis Land - access point collegato ad una porta lan 
dell'Atlantis Land e portatile collegato all'access point in wireless
Quindi i due endpoints sono i due routers Digicom e Atlantis Land che 
instaurano tunnel vpn ipsec. Direi quindi gateway to gateway, no?
Non dovrei avere alcun problema con il tunnel...o sbaglio? Il tunnel è tra 
due dispositivi che hanno nat dietro di loro, non davanti.
Altra alternativa: possiedo un firewall Zyxel Zywall 10W che supporta vpn ip 
sec...allora comprerei solo un banale modem con interfaccia ethernet e farei 
questo schema:
sito A: router Digicom - lan cablata con pc
sito B: modem con interfaccia ethernet - Zywall 10W (con una sola porta lan, 
purtroppo) - access point collegato alla porta lan del firewall (che ha un' 
opzione per attivare il nat) e i pc connessi all'access point in wireless 
senza bisogno di prendere uno switch.
Anche qui sarebbe un gateway to gateway...
Ritieni possa funzionare pure così? Risparmierei pure sul costo totale visto 
che un modem ethernet costa circa 50 euro ed un access point circa 70 euro.
Spero di essere stato chiaro e garzie per il tuo supporto, comunque.
Stefano

 confusione....
Ad ogni modo se hai vecchi pc da buttare potresti anche valutare un'opzione 
a costo zero.
La soluzione si chiama M0n0wall ed è un firewall che consente di fare ottime 
cosine ma impiegando pochissime risorse. Io l'ho implementato anche in 
ambienti di produzione con OTTIMI risultati. Verifica se per te può essere 
un'opzione valida.
Sul mio blog, sono in procinto di pubblicare un'articolo sulla corretta 
configurazione di base. In lingua italiana.
http://m0n0.ch/wall/


 un'opzione valida.
Acc...purtroppo non ne ho di pc da buttare.
Spero di essermi spiegato meglio stavolta.
Altrimenti dimmelo che mi farò in quattro per rendermi meno criptato ;-)
Stefano


No no, tutto ok stavolta. Allora mi sembra che l'unica cosa che dovrai 
verificare è se Atlantis supporta la vpn "attivamente" ovvero che non si 
limiti alla funzione di passthrough. Quindi non mi resta che augurarti buon 
lavoro.
Anzi, facci sapere com'è andata!


 
Ok...sono rientrato adesso da fuori e con me ho un nuovo modem ethernet 
Netgear DM11P ;-)
Adesso testo la connettività sulla mia linea e se tutto è ok entro uno o due 
giorni attivo la linea dall'altra parte. Spero la pratica venga evasa in 
poco tempo. Ovviamente vi farò sapere! E' il minimo che possa fare per 
ringraziare.
Steafno

 
Bene, a quanto pare se al firewall Zywall collego un modem con interfaccia 
ethernet non funziona niente (chissà perchè nelle istruzioni si legge 
collegare o un router o un modem adsl con interfaccia ethernet)...
Bisogna necessariamente attaccarci un router con modem integrato.
Ho sostituito il modem con il modem router dg834 netgear e vedo che supporta 
nativamente vpn ip sec...oppure in passthrough;
sono curioso di testarlo sia da solo che in abbinamento allo zywall. Tra 
qualche giorno attivo una nuova adsl e vedremo...
S.


ok, grazie per il feedback...attendiamo nuove....


 - Mostra testo tra virgolette -
anch'io ho lo stesso problema di vpn con zywall10w facci sapere se
risolvi

 risolvi
Ok...il router Netgear (non il modem ethernet) funziona con lo zywall, come 
ho già detto.
La richiesta per la nuova linea adsl è stata fatta già da una settimana e 
sebbene la portante già sia presente, con relativo ip dinamico assegnato, 
l'effettiva abilitazione dell'abbonamento non è ancora avvenuta.
La mia donna strepita "per tutta quella roba sul tavolinetto all'ingresso" 
;-) e sarà dura farle accettare pure lo Zywall per test, sigh...
Il modem router con il quale dovrei testare la vpn ipsec è stato aggiornato 
con l'ultimo firmware (su consiglio del fabbricante) e con immensa fortuna 
presenta pure un bug proprio nella sezione vpn! Tra qualche giorno 
dovrebbero contattarmi per spedirmi il firmware corretto e se tutto va bene 
proverò il tutto. La vedo dura per appoggiare in casa sua pure lo 
zywall....ma non dispero.
Sarà stato utile alla comunità questo mio aggiornamento? Mi sa non molto...
Stefano

 
pipin...@hotmail.com
 ha scritto:

il mio problema è ancora più a livello elementare
questa è la configurazione
LAN UFFICIO > SWITCH > ZYXELL ZYWALL 10W > ALICEGATE2PLUS > INTERNET
ADSL < ALICEGATE2PLUS < ZYXELL ZYWALL 5 < LAN CASA
e ancora LAN UFFICIO 192.168.0.0-30 > 192.168.0.1 zyxell lan >
192.168.1.74 zyxell wan > 192.168.1.1 alice lan > 79.x.x.x. ipfisso
alicewan tutto su subnet 255.255.255.0
LAN CASA 192.160.0.0-2 > 192.160.0.1 zyxell lan > 192.168.1.5 zyxell
wan > 192.168.1.1 alicegate lan > 79.x.x.x ipfisso alicewan anche qui
tutto su subnet 255.255.255.0
ora come ora internet funziona in tutte e due le sedi e deve
continuare a farlo indipendentemente, non voglio infatti che le cose
siano legate devo solo poter gestire alcune cartelle condivise in
ufficio quando sono a casa.