Newsgroup: it.comp.reti.locali
Titolo: Nessuno sa aiutarmi? (VPN)

Riprendo un messaggio postato qualche giorno fa e a cui nessuno ha dato 
risposta sperando che adesso ci sia qualcuno più magnanimo...
-----
Dopo numerosi tentativi sono riuscito ad instaurare una VPN IPSEC tra due
firewall D-Link DFL-200
Ora vorrei passare alla fase "successiva": configurare una VPN per degli
utenti XP
Nell'ambito IPSEC, l'apparato mi permette di scegliere tra VPN LAN-to-LAN e
VPN per "roaming users". Ovviamente ora ho scelto la seconda.
In Windows ho creato una connessione VPN verso l'IP di quel firewall, ho
lasciato le impostazioni tipiche, ho inserito la PSK prestabilita e ho
tentato il collegamento.
L'unica cosa ottenuta è che nel log del firewall mi appare questa riga:
<4>EFW: IPSEC: prio=3 Can not get QM policy for
ipv4(udp:1701,[0..3]=85.40.x.x) <-> ipv4(any:0,[0..3]=0.0.0.0)
Qualcuno sa dirmi a cosa può essere dovuto?
-- 
Skywalker Senior

 Qualcuno sa dirmi a cosa puň essere dovuto?
Il server VPN del DFL-200 supporta le 3 seguenti modalita' per le
connessioni L2TP :
==
1.L2TP No IPSec 
2.L2TP/IPsec con certificati
3.L2TP/IPSec con Pre-Shared Key
Per usare quest'ultima va disattivata la creazione automatica della
policy IPSec da parte di Windows XP e creato manualmente un apposito
criterio IPSec per il traffico L2TP, che utilizzi la PSK.
E' possibile quindi procedere in questo modo se stai usando un client
XP con SP2 installato :
==
1.Accedi al registro (Start \ Esegui \ regedit) e crea (o modifica, se
  ci sono gia') i seguenti valori :
  ==
  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters 
  Nome ..: ProhibitIpSec
  Tipo ..: DWORD
  Valore : 1
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Ipsec
  Nome ..: AssumeUDPEncapsulationContextOnSendRule
  Tipo ..: DWORD
  Valore : 2
2.Chiudi il registro di sistema e riavvia il client XP.
3.Accedi alla console di gestione snap-in (Start \ Esegui \ mmc) e :
  ==
  - Clicca su Console -> Aggiungi/rimuovi snap-in
  - Clicca su Aggiungi
  - Scegli Gestione criteri di protezione IP e clicca su Aggiungi
  - Scegli Computer locale e clicca su Fine
  - Clicca su Chiudi e poi su OK
  - Tasto destro su Criteri di protezione IP su computer locale
  - Scegli Crea criterio di protezione IP
  - Clicca su Avanti
  - Immetti il nome della policy (e.g. DFLL2TPPSK) e clicca su Avanti
  - Deseleziona la regola di risposta predefinita e clicca su Avanti
  - Seleziona Modifica proprieta' e clicca su Fine
  - Clicca su Aggiungi e poi su Avanti
  - Seleziona la non specifica del tunnel e clicca su Avanti
  - Seleziona Tutte le connessioni di rete e clicca su Avanti
  - Seleziona stringa condivisa ed immetti la PSK, quindi clicca Avanti
 
  - Da Elenco filtri IP clicca su Aggiungi 
  - Come Nome metti DFLL2TPPSK e clicca su Aggiungi
  - Seleziona Indirizzo IP come origine e clicca su Avanti
  - Seleziona Qualsiasi indirizzo IP come destinazione e clicca Avanti
  - Seleziona UDP come protocollo e clicca Avanti
  - Scegli Da questa porta e scrivi 1701
  - Scegli A qualsiasi porta e clicca su Avanti
  - Seleziona Modifica Proprieta' e clicca su Fine
  - Verifica che sia selezionato Speculare e clicca su OK
 
  - Clicca nuovamente su Aggiungi 
  - Seleziona Indirizzo IP come origine e clicca su Avanti
  - Seleziona Qualsiasi indirizzo IP come destinazione e clicca Avanti
  - Seleziona UDP come protocollo e clicca Avanti
  - Scegli Da questa porta e scrivi 4500
  - Scegli A qualsiasi porta e clicca su Avanti
  - Seleziona Modifica Proprieta' e clicca su Fine
  - Verifica che sia selezionato Speculare e clicca su OK
  - Da Elenco filtri IP clicca su OK
 
  - Seleziona DFLL2TPPSK e clicca su Avanti
  - Da Operazione Filtro clicca su Aggiungi e poi su Avanti
  - Come nome scrivi DFLL2TPPSK e clicca su Avanti
  - Seleziona Negozia protezione e clicca su Avanti
  - Seleziona Non comunicare con computer NO IPSec e clicca Avanti
  - Seleziona Crittografia e integrita' e clicca Avanti
  - Clicca Fine
  - Da operazione filtro seleziona DFLL2TPPSK e clicca su Avanti
  - Clicca su Fine
  - Tasto destro sul criterio DFLL2TPPSK e clicca su Assegna
Se usi la connessione creata con il wizard di XP verifica che :
==
A. Nelle proprieta' - linguetta Protezione \ Impostazioni IPSec sia
   indicato l'uso della chiave condivisa (ed eventualmente riscrivila e
   confermala).
B. Nelle proprieta' - linguetta Rete sia selezionato L2TP IPSEC VPN.
C. Nelle impostazioni firewall siano presenti/attive le eccezioni per le
   porte UDP 1701 e UDP 4500.
Altrimenti puoi usare il client Draytek SmartVPN -> questi sono i link
per il download delle versioni disponibili sul sito ufficiale :
==
*3.2.2 (2000/XP) 
http://www.draytek.com/product/smart_vpn/setup.zip
*3.2.6 (2000/XP) 
ftp://ftp.draytek.com/tools/VPN/3.2.6/VPN.zip
*3.5.3 (Vista)   
ftp://ftp.draytek.com/tools/VPN/3.5.3/VPN_for_Vista.zip
 
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

  
Ahem...ma il client della Draytek, che tu sappia, è compatibile solo con i 
prodotti Draytek...oppure si può usare tranquillamente anche verso altri 
routers che supportano L2TP IpSec?
Io, ad esempio, ho un Digicom Michelangelo che supporta l2tp ipsec....ma il 
client di windows vista o xp non mi pare supporti le features avanzate tipo 
DH e MODP o AH....che invece trovo nei parametri del router.
Grazie,
Stefano

 parametri del router.
In realta' le feature sono impostabili anche per la connessione client
creata da Windows 2000/XP/Vista = occorre disabilitare nel registro la
policy automatica IKE/IPSec (ProhibitIpSec = 1) e definire manualmente
da console snap-in mmc un nuovo criterio da assegnare. Nella definizione
del criterio e' quindi possibile impostare gia' alcune feature a livello
di operazione filtro per la negoziazione della protezione, compresa
l'abilitazione di PFS.
Usando come OS Vista - XP SP2 - 2000 + Update L2TP/IPSec NAT-T KB818043
si puo avere il DH key exchange impostato inizialmente su DH MODP2048
(group 14), ma comunque con rinegoziazione automatica MODP1024 (group 2)
o MODP1536 (group 5) qualora manchi il supporto lato server/gateway [1].
Vi sono comunque differenze dovute all'OS lato client = Vista supporta
nativamente su L2TP/IPSec (a differenza di 2000/XP) anche la definizione
della crittografia 128-bit AES e 168-bit 3DES, gli ECC DH group 19 e 20
su AES, e l'autenticazione HMAC su SHA-1. Inoltre sempre solo su Vista
e' possibile usare anche PEAP su L2TP/IPSec per la protezione accesso
(sebbene non e' che poi rafforzi piu' di tanto il processo di
autenticazione). 
I meccanismi di IPSec Compression e Dead Peer Detection (RFC-3706) non
sono invece supportati = la compressione avviene infatti solo a livello
PPP (MPPC), mentre la gestione keepalive del tunnel viene effettuata
tramite estensioni LCP su PPP e con l'invio di "Hello" control message.
Tieni comunque conto che di base (indipendentemente dall'OS Windows) se
poi volessi avere un maggior controllo/livello sulla protezione (e.g.
192bit 3DES e 256/512bit AES) dovresti optare per IPSec puro al posto di
L2TP/IPSec -> in ogni caso la maggioranza dei gateway proprietari per
L2TP/IPSec difficilmente arriva a supportare un elevato numero di 
livelli per protezione/crittografia in tale modalita' VPN (considerando
proprio la possibilita' di implementarle su IPSec puro & la necessita'
di mantenere l'interoperabilita' con i client build-in di 2000/XP ed
anche con quello MSL2TP per 98/Me/NT4).
Tenendo conto di tutto cio' & delle funzionalita' supportate a livello
di gateway/server, alla fine il ricorso a soluzioni client L2TP/IPsec di
terze parti e' di norma evitabile = possono tornare eventualmente 
comodi per definire/assegnare diversi criteri IPSec senza passare dalla
console snap-in mmc, anche se personalmente preferisco farlo ancora ;).  
Per quanto riguarda l'interoperabilita' del client Draytek io l'ho 
usato comunque senza problemi anche con apparati D-Link (serie DI-80x e
DFL) oltre che con server W2003 e Openswan.
[1] Nota :
----------
Il supporto DH2048 su W2003 puo non essere attivo a priori -> in tal
caso e' sufficiente una modifica lato server al registro :
==
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters
- Nome ..: NegotiateDH2048
- Tipo ..: DWORD
- Valore : 1



Ti ringrazio molto per il tempo speso a scrivere questa "bibbia"!
Avevo già provveduto a fare le operazioni da te elencate (avevo trovato un 
manuale D-Link che spiegava le stesse cose) e il risultato è sempre lo 
stesso. Non capisco cosa sbaglio! :-(
Ho provato anche ad usare il client che mi hai suggerito ma non c'è verso
-- 
Skywalker Senior