Newsgroup: it.comp.reti.locali
Titolo: vpn zywall 5 e ip dinamici

Salve a tutti,
ho due postazioni (casa + ufficio) e vorrei collegarle tramite vpn. In
entrambe ho adsl alice con gate della pirelli e ip pubblico dinamico.
Per realizzare la vpn ho a disposizione 2 firewall zywall 5 d ho
registrato due dns su dydns.
Ho già fatto diverse prove ma senza alcun risultato... quindi chiedo
aiuto.
Gli zywall sono in configurazione router, le due lan non hanno ip
sovrapposti (una in classe 10 e una in classe 192).
Le due configurazioni sono le seguenti, ma la VPN non vain up.
L'errore è "IKE cannot resolve Primary secure gateway adress". Non ho
configurato nessun port forwarding sugli zywall e sui router. Qualche
consiglio? Non so proprio cosa sbaglio. Grazie
Configurazione dell'interfaccia LAN UFFICIO:
IP dello zywall: 10.14.x.x
subnet: 255.255.255.224
rip disabilitato
dhcp disabilitato
Configurazione dell'interfaccia WAN UFFICIO:
Encapsulation: ethernet
service type: standard
WAN IP ZYWALL: 192.168.y.y
SUBNET: 255.255.255.0
GATEWAY: 192.168.y.z (ip del router adsl)
NAT abilitato
Configurazione VPN gateway policy
NAT TRAVERSAL disabilitato
MY ADDRESS 192.168.y.y
Primary remote gateway: 
casa.dyndns.org
Authentication key
pre-shared: pippo
local id type: dns
Content: 
ufficio.dyndns.org
Peer ID type: DNS
Content: 
casa.dyndns.org
(le altre di impostazioni di encrypt sono quelle di default)
Configurazione VPN network policy
Active: yes
allow netbios broadcast traffic: yes
Local network
Address Type: subnet
Starting ip: 10.14.x.0
Subnet: 255.255.255.224
Remote Network
Address Type: subnet
Starting ip: 192.168.y.0
Subnet: 255.255.255.240
Ipsec proposal (le impostazioni di default dello zywall)
Il Firewall dello zywall è provvisoriamente disabilitato
*************** CASA *************************
Configurazione dell'interfaccia LAN CASA:
IP dello zywall: 192.168.y.y
subnet: 255.255.255.240
rip disabilitato
dhcp disabilitato
Configurazione dell'interfaccia WAN della sede:
Encapsulation: ethernet
service type: standard
WAN IP ZYWALL: 192.168.z.a
SUBNET: 255.255.255.0
GATEWAY: 192.168.z.b (ip del router adsl)
NAT abilitato
Configurazione VPN gateway policy
NAT TRAVERSAL disabilitato
MY ADDRESS:  192.168.z.a
Primary remote gateway: 
ufficio.dyndns.org
Authentication key
pre-shared: pippo
local id type: DNS
Content: 
casa.dyndns.org
Peer ID type: DNS
Content: 
ufficio.dyndns.org
(le altre di impostazioni di encrypt sono quelle di default)
Configurazione VPN network policy
Active: yes
allow netbios broadcast traffic: yes
Local network
Address Type: subnet
Starting ip: 192.168.y.0
Subnet: 255.255.255.240
Remote Network
Address Type: subnet
Starting ip: 10.14.x.0
Subnet: 255.255.255.224
Ipsec proposal (le impostazioni di default dello zywall)

configurato nessun port forwarding sugli zywall e sui router.
Anzitutto: sei sicuro che l'indirizzo sia risolto?
Riesci ad esempio a pingare lo Zywall all'altro lato su
Sui router devi forwardare UDP 500 e 4500.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.


Riesco a pingarli da un lato all'altro sia inserendo l'ip pubblico
dinamico (ricavato su internet) sia usando il nome del dns, ma per
farlo devo fare il forward della porta 80 sui router. E' normale?
Il forward di udp 500 e 4500 lo provo domani mattina.

farlo devo fare il forward della porta 80 sui router. E' normale?
No, non è normale: il ping è indipendente dalla porta 80 (gira su
ICMP, proprio un altro protocollo).


 
quoto... non si capisce bene il fatto... pare quasi che il router ...sia 
in sciopero...
-- 
Per far danni sul serio mi occorre la tua password di root ;)

 
...sarà mica fastweb in mezzo??? ....


 
oops scusa non avevo letto bene



ho sbagliato una cosa...
uno è un gate di alice, l'altro è un router adsl atlantis. Su entrambe
le postazioni alice adsl.
la postazione del gate di alice ora ha le porte 80, 500 e 4500 in
forward sull'ip wan dello zywall e da remoto riesco a pingarlo e ad
accedere allo zywall.
per pingare il router atlantis devo aprire tutte le porte o almeno con
tutte le porte aperte riesco a pingarlo e ad accedere allo zywall da
remoto.
La vpn comunque non va su...

 La vpn comunque non va su...
dai un occhio qui se non l'hai già fatto.
http://www.zyxel.it/support_ita/cerca_faqapn.php?indexflag=1086660287
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 ma utilizzabile solo per temi inerenti il NG corrente.
Già fatto e mi sembra di aver seguito i vari esempi alla lettera ma
senza risultati.

 senza risultati.
evita di quotare la firma...
visto che l'errore parla di inpossibilità di risolvere l'indirizzo,
sei sicuro di avere impostato correttamente i DNS nel firewall?
entra in console sul firewall (e non su un PC) e fai un ping al nome
del tuo remote gateway, risponde?
Inoltre quando ho a che fare con situazioni simili alla tua (in realtà
sempre con IP statici) imposto sul router un port forwarding (o un NAT
1:1) di tutte le porte verso il firewall. In questo modo hai la
gestione solo dal firewall senza dover più toccare il router.
Inoltre sei certo che i router facciano passare tranquillamente ipsec?
-- 
MirkoB.   
ne...@bsi-net.it



facendo il foward delle porte e disabilitando qualsiasi firewall non
dovrebbe lasciar passare tutto verso gli zywall?
grazie ancora

 dovrebbe lasciar passare tutto verso gli zywall?
si certo.


Questa sera dopo un mare di prove, grazie all'assistenza Zyxel e al
vostro aiuto sono riuscito a creare il tunnel in una direzione. Per
crearlo nell'altra ho dovuto necessariamente togliere il router di
alice. Anche settando il virtual server con * per prendere tutte le
porte non c'era verso di entrare. L'ho sostituito con un vecchio
routerino della planet ed ecco il tunnel attivabile da entrambe le
direzioni.
Nel caso fosse utile a qualcuno oltre ai problemi riguardanti il
router per farlo funzionare ho modificato le impostazioni della vpn.
Ovunque fosse richiesto un indirizzo ip o un dns ho inserito gli
indirizzi IPWAN  dei due zywall. Solo nei due Secure Remote Gateway ho
inserito i nomi dei due dyndns.
Ho ancora bisogno di aiuto però perchè pur stabilendo il tunnel con
successo non riesco a pingare nessun pc all'interno delle due lan, ne
gli ip lan dei due zywall. Al momento i firewall sono disattivati.
Cosa bisogna settare per pingare o sfogliare lev risorse condivise
della lan da remoto?
Grazie ancora

 della lan da remoto?
A parte la l'abilitazione del firewall, potrebbe essere un problema di
routing. I client usano come gateway il firewall? Fai un tracert e
vedi che succede. Se viene instradato su internet significa che il
firewall non capisce che deve buttare le richieste sulla VPN. Se è
così significa che manca ancora qualcosa nella configurazione delle
vpn.



Cosa dovrei provare a settare? static Route? nat? policy route?

 Cosa dovrei provare a settare? static Route? nat? policy route?
Se non ricordo male dovrebbe bastare impostare la local network e la
remote network. Ho visto che hai usato subnet particolarmente strette,
sono corrette? E, per curiosità, perchè hai usato subnet così strette?



Si firewall abilitati ma non cambia nulla.
Le subnet non le ho impostate io e per l'ufficio non le posso
cambiare, spero siano corrette...
Visto che ho qualche sospetto e seguendo il tuo consiglio ho provato
ad allargare la subnet da entrambe le parti con un bello 255.255.255.0
e ho notato tante belle cose:
- il tunnel va su in un attimo (prima impiegava almeno una decina di
secondi)
- riesco a pingare lo zywall remoto
- riesco a pingare il print server e a vederne l'interfaccia web
tramite il browser.
Direi che questo è un bel passo avanti. Ora il prossimo passo è vedere
se le subnet sono corrette (altrimenti so io con chi prendermela).
Nel caso le sub siano corrette e debbano per forza rimanere quelle sai
se c'è un qualche sistema per passare da una all'altra?
Odio i conti con i numeri binari ma credo che ci passerò la serata.
Ancora grazie dell'aiuto.

 Ancora grazie dell'aiuto.
bhe la subnet 255.255.255.224 (27 bit) permette 30 host, la
255.255.255.240 (28 bit) ne permette 14.
Potrebbero essere corrette in reti di piccole dimensioni, certo non
comprendo il voler restringere all'osso, però sono scelte.



Ho provato... anzi ho trovato un sito utilissimo in questo caso perchè
inserendo ip e  subnet ti mostra quali ip sono validi all'interno
della lan. E i miei non erano quelli giusti...
Domani mattina proverò a sfogliare la rete. Il sito in questione se
può servire a qualcuno è 
http://www.subnet-calculator.com/
Buona notte

Speravo di avere risolto tutti i miei problemi ma non è così.
Pingo gli zywall ed ogni macchina della rete remota con l'ip ma non
c'è verso di riuscire a pingarla usando il nome. Non riesco neanche a
sfogliare la rete.
Da entrambi i lati ho impostato "Allow NetBIOS broadcast Traffic
Through IPSec Tunnel" ma nulla da fare...
Ho letto in giro anche qualcosa riguardo al NAT traversal ma non
cambia nulla che sia attivo o no.

 cambia nulla che sia attivo o no.
mmm no, quello serve appunto per il NAT, non per il netbios.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,



il manuale Zyxel dice che questo flag serve per far passare il
traffico netbios attraverso la vpn per cui io associando il netbios ai
nomi credevo che mi permettesse di usare i nomi al posto degli ip. Non
è importante usare il nome ma almeno usando l'ip vorrei poter accedere
a file e cartelle almeno di un pc.
Pensavo ai nomi perchè dall'ufficio mi collego anche ad un sito
intranet su un server remoto usando una url e non un ip. Mi piacerebbe
poterlo fare anche da casa passando per l'ufficio e quindi per la vpn.
Ho provato con il tunnel in piedi a digitare nel browser l'indirizzo
del sito intranet ma nulla da fare...probabilmente lo cerca su
internet e ovviamente non lo trova. Qui proprio le mie conoscenze si
fermano. Credevo di poter impostare una static route settando il dns
dell'ufficio come gateway della route sullo zywall di casa, ma non me
la lascia attivare in quanto l'ip 10.14... si trova su un'altra
subnet.

sfogliare la rete.
Che cosa usate nelle due reti per risolvere i nomi?
Quante sono le macchine?
C'č un dominio in una delle sedi?
Quante sono le macchine a cui devi accedere?
In una rete con i dati centralizzati lo sfogliare la rete diventa
inutile, basta connettersi alle poche macchinc (i server) che
contengono i dati.


 dell'ufficio come gateway della route sullo zywall di casa, ma non me
fai un po' di confusione. Prima di tutto static route e dns sono cose
completamente diverse. Dns e gateway idem...
Prova con una statica che usi l'interfaccia VPN per l'instradamento,
si dovrebbe poter fare da CLI.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,


 si dovrebbe poter fare da CLI.
Le static le posso anche impostare tramite interfaccia web dello
zywall, non è la stessa cosa che inserirle da command line? Ho già
provato ad inserire una static route sullo zywall di casa ma come
gateway cosa dovrei impostare? credevo di dover impostare il gateway
o  il dns dell'ufficio, cioè quello remoto, ma non è possibile in
quanto appartenendo ad un'altra subnet non mi lascia attivare la
static.
In effetti accedere alle macchine da remoto e sfogliare cartelle mi
dava la sicurezza che tutto funzionasse a dovere in quanto, credo,
magari sbagliandomi, che sia una cosa normale per una vpn fatta bene.
Per il resto la vpn mi serve per usare da casa il software
dell'ufficio (e questo funziona) e per questo sito intranet che invece
non va.
Grazie a tutti per l'aiuto

 zywall, non è la stessa cosa che inserirle da command line? Ho già
no. Da web imposti la statica usando un gateway, che come ti sei
accorto non riesci ad impostare, usando invece come "gateway" una
interfaccia (quella della tua VPN) probabilmente hai qualche
possibilità in più (il comando dovrebbe essere qualcosa come: ip route
addiface). Il problema è che non ho idea di come vengano identificate
le interfacce sullo zywall.



A prescindere dall'url, sapendo che il sito intranet si trova sulla
classe 10.0.0.0 con subnet 255.0.0.0 potrei aggiungere una network
policy? Come dovrei farla? La lan della sede si sovrappone. Le network
policy devono sempre essere speculari da entrambi i lati della vpn o
si possono aggiungere solo da una parte? E sull'altra una static route
verso il gateway? Saluti Gneo

 verso il gateway? Saluti Gneo
Le network policy non sono obbligatorie... 
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,


 Le network policy non sono obbligatorie...
Se non le creo da entrambe le parti non va, magari sbaglio qualcosa.
Direi che ho risolto tutti i problemi. Magari la vpn non sarà fatta a
regola d'arte ma funziona e questo è l'importante. Ciao e grazie per
l'aiuto.

 regola d'arte ma funziona e questo č l'importante. Ciao e grazie per
benissimo.
