Newsgroup: it.comp.reti.locali
Titolo: Sta vpn non vuole proprio andare

Non ho capito cosa sbaglio.
Server: netgear dg834g v3 con ip dinamico registrato su dyndns
Client: pc windows dietro router alice gate con connessione business a 
ip fisso
Ebbene, se sul client faccio partire thegreenbow e mi connetto al loro 
server di test, tutto ok.
Se invece seguo passo passo la loro guida per QUEL router (dg834g), niente.
Ho provato, di mia iniziativa, ad aprire tutte le porte vpn sul router 
netgear (udp 500, 1701, 1723) ed anche ad aprire tutto. Specificando 
come indirizzo del server l'ip locale del router. Nulla.
Ho provato ad utilizzare la guida di netgear con il loro client, facendo 
tutto quanto descritto alla lettera. Nulla.
Ecco cosa faccio:
http://forum1.netgear.com/showthread.php?t=7040
Unica differenza gli ip, ovviamente.
Il problema potrebbe essere il fatto che utilizzo per entrambe le reti 
10.0.0.0/8
?
Ciao ... Dino


E mi sa proprio di si :-)
Reti diverse...figliolo.
Maa...lasciamo stare 'ste vpn per un pò...ne ho le scatole piene della mia.
Ma testardo sognu...quindi ;-)
S.


wrote:

Immaginavo potesse essere quello. Cambiero' l'indirizzo di rete di
casa. Spero che cosi' funzioni, altrimenti non so piu' dove sbattere
la testa.
Ciao ... Dino

come indirizzo del server l'ip locale del router. Nulla.
Questa cosa ti consiglio di rimuoverla.
L'endpoint della VPN deve stare sull'interfaccia WAN del router, non
su quella LAN.
Se ti pu� essere utile, a me la vpn su DG834 funziona senza alcuna
menzione della porta 500 nella sezione Firewall/port forwarding. La
porta UDP 500 viene messa in ascolto automaticamente quando crei la
vpn.
Anche le altre porte puoi rimuoverle, sono per altri tipi di VPN e non
c'entrano nulla.
Ma il client e il DG834 ti restituiscono qualche errore?
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

>> 
10.0.0.0/8
?
woow e che casa hai???


Ho riservato solo 8 bit, la 10.0.0.0 mi viene comoda perche' e' banale 
da ricordare e da scrivere.
Ciao ... Dino

 Ma il client e il DG834 ti restituiscono qualche errore?
Nessun errore, adesso ho provato anche mettendo a casa 
10.1.0.0/8
 e in 
ufficio lasciando la 
10.0.0.0/8
, ma nulla, stesso risultato. E' come se 
il client non riuscisse a raggiungere il router.
Ecco cosa mi dice thegreenbow:
20101231 102238 Default (SA prova-P1) SEND phase 1 Main Mode  [SA] [VID] 
[VID] [VID] [VID] [VID]
E nulla piu'.
Mentre con il client netgear:
12-31: 10:25:55.078 My Connections\prova - Attempting to resolve 
Hostname (
xxxxx.dyndns-at-home.com
)
12-31: 10:25:55.250
12-31: 10:25:55.250 My Connections\prova - Initiating IKE Phase 1 
(Hostname=
xxxxx.dyndns-at-home.com
) (IP ADDR=xxxxxxxxx)
12-31: 10:25:55.250 My Connections\prova - SENDING>>>> ISAKMP OAK MM 
(SA, VID 2x)
12-31: 10:26:10.625 My Connections\prova - message not received! 
Retransmitting!
12-31: 10:26:10.625 My Connections\prova - SENDING>>>> ISAKMP OAK MM 
(Retransmission)
12-31: 10:26:25.625 My Connections\prova - message not received! 
Retransmitting!
12-31: 10:26:25.625 My Connections\prova - SENDING>>>> ISAKMP OAK MM 
(Retransmission)
12-31: 10:26:40.625 My Connections\prova - message not received! 
Retransmitting!
12-31: 10:26:40.625 My Connections\prova - SENDING>>>> ISAKMP OAK MM 
(Retransmission)
12-31: 10:26:55.625 My Connections\prova - Exceeded 3 IKE SA negotiation 
attempts
Ciao ... Dino

 il client non riuscisse a raggiungere il router.
E perché il router dovrebbe andare sulla vpn?
Così gli hai detto che lui gestisce da 10.0.0.0 a 10.255.255.255
Al limite metti 
10.0.0.0/16
 e 
10.1.0.0/16
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 da ricordare e da scrivere.
e no... ne hai riservati 24 di bit... quel 8 indica che la maschera ha
i primi 8 bit a 1, che equivale ad una 255.0.0.0
Quindi anche modificare una rete (come vedo nell'altro post) a
10.1.0.0 non serve a nulla.
In ogni caso, se usi un client per collegarti alla rete remota
l'indirizzamento della tua rete non dovrebbe creare problemi. Il
client dovrebbe essere in grado di gestire questa cosa.
Poi non conosco nello specifico il client che usi, quindi almeno per
le prove mettiti su due reti diverse, ma basterebbe anche fare le
prove con una connessione analogica qualsiasi o una key umts
scollegandoti completamente dalla tua rete.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 E perché il router dovrebbe andare sulla vpn?
non è il router che deve andare sulla vpn. Il router deve rispondere
al client (sempre se ho capito quello che vuole fare)
In genere questi client lavorano con ip virtuali e se ne fregano della
rete locale in uso (alla peggio ti isolano proprio dalla rete locale).
Anche perchè, se ci pensiamo un attimo, un client è fatto proprio per
essere utilizzato in mobilità. Non posso sapere a priori da che rete
mi collego.


 Al limite metti 
10.0.0.0/16
 e 
10.1.0.0/16
Colpa mia e delle mie conoscenze arrugginite, sono 8 i bit riservati per 
gli host, quindi 
10.0.0.0/24
. Sul router si specifica con la subnetmask, 
che, come sulla rete in ufficio, e' 255.255.255.0
Ciao ... Dino

 scollegandoti completamente dalla tua rete.
Quale client conosci che possa provare? Tanto ormai ne ho provati due, 
facciamo pure 3 :D
Ciao ... Dino

 facciamo pure 3 :D
Ad occhio non mi sembra un problema di client ma di router.
Il netgear cosa dice? avrà un minimo di log.
Ho dato un occhio a thegreenbow e sembra essere identico a quello che
usa zyxel con cui non ho mai avuto problemi (prova a dare un occhio
anche al loro sito, magari trovi un'opzione illuminante). Poi uso il
client specifico di fortinet ma non credo che sia proprio generico
(anche se sempre ipsec è).
Il client singolo non credo sia scaricabile senza password, ma è
contenuto anche nella suite di sicurezza gratuita, se vuoi puoi
provare.
Ribadisco però che a me sembra più un problema di router (o di
qualcosa che sta in mezzo) che non riceve o non risponde.
ho dato un occhio al forum della configurazione.
Per provare io farei così:
Local Lan OK
Remote LAN non so cosa compare nel menu a tendina ma metterei 0.0.0.0
come ip
local e remote identity eliminerei tutto (se c'è none vai di quello).
il resto mi pare ok.
Poi la parte client falla rispecchiare, senza vedere le opzioni mi
risulta difficile darti indicazioni.
O se poi vuoi me lo installo, mi passi i parametri (in privato
ovviamente) e provo pure io.


 ovviamente) e provo pure io.
Ogni tanto quando faccio ste prove, il netgear si resetta, si riconnette 
e cambia ip. Poi, per qualche strana ragione, non aggiorna il dns di 
dyndns e non posso piu' fare prove. Come appena accaduto :(
Provero' a reimpostare il router alla configurazione di default e a 
riconfigurarlo da capo, non vorrei che con gli aggiornamenti fatti in 
passato, si sia incasinato qualcosa.
Al massimo ci risentiamo l'anno prossimo :D
Ciao ... Dino

il client non riuscisse a raggiungere il router.
Secondo me il problema degli indirizzi IP/Netmask è secondario, si
presenta in una fase successiva.
Qui per qualche motivo, come dici nell'ultima frase quotata, il client
non raggiunge il router.
Hai già provato a connetterti da macchine diverse? Ci sono personal
firewall installati?
Il router remoto risponde al ping?


 Il router remoto risponde al ping?
Il router di casa e' raggiungibile, tanto che lo posso amministrare in
remoto. Nessun firewall sul client.
Non ho alcuna traccia sui log, almeno cosi' mi e' parso. Cmq adesso ho
reimpostato il router e l'ho riconfigurato di nuovo manualmente.
Lunedi' faro' altre prove.
Buon anno a tutti :)
Ciao ... Dino

 Buon anno a tutti :)
Mi hanno cambiato il router in ufficio, ho riconfigurato tutto, ma fa 
esattamente come prima.
Ciao ... Dino