Newsgroup: it.comp.reti.locali
Titolo: Ma per le VPN ...

Mi è parso di capire che windows XP (non sò se Home, Prof od entrambi) 
integra un wizard automatico per la configurazione e la gestione di reti 
VPN.
Adesso se questo è vero, ipotizzando una rete interamente windows, quale 
ragione di esistere hanno software come hamachi ecc? 

Non è che perchè esiste un prodotto le altre ditte non possono farne
altri con metodi tecniche e funzionalita diversi.
Un server vpn, che viene chiamato anche vpn gateway o vpn endpoint,
creato con windows non è uno standard ma unprotocollo proprietario,
con il wizard in pochi minuti installi una vpn server per 2000 e xp
pro  e solo client per xp home.
La vpn di windows si chiama pptp è un'insieme di dueprotocolli ipsec e
gre.
Il gre Generic Routing Encapsulation viene usato per trasmettere in
tunnel i dati crittografati in ipsec.
Non tutti i provider lasciano passare il gre, e il gre non permmette
di passare il nat (prende come un attacco di sicurezza il cambio di ip
del nat).
Per usare pptp quindi servono router pptp  pass through  e non basta
il semplice forward, con pptp non puoi collegarti ad apparati hardwar
come i router con vpn perchè il protocollo non è compattibile, se devi
interfacciarti con altri sistemi operativi essendo proprietario non è
così semplice, necessita di un ip pubblico assegnato anche
dinamicamente a tutti e due i lati della vpn.
Questo il motivo per cui esistono altre vpn.
Non tutti sanno però che in xp pro è possibile fare altri due tipi di
vpn (standard) l2tp e ipsec configurando manualmente chiavi di
registro e/o policy in questo modo si possono realizare connessioni
anche con apparati diversi e non solo windows ti windows.
Poi il programma che tu hai nominato in realtà è molto interessante
perchè viene in contro a quei poveretti che sono passati a fastweb
avendo però la necessità di creare delle vpn, infatti con fastewb le
vpn o connessioni punto punto  fastweb to fastweb vengono realizate
usando gli ip privati assegnati ma se una personadeve realizare vpn e
pont to point tra fastweb e un'altro operatore non è possibile farlo
perchè fastweb non assegna un ip pubblico per ogni cliente ma fa
passare per un nat che quindi blocca ipsec l2tp e sicuramente pptp.
Per risolvere questo problema si usa Hamachi, i due end point o più di
due anche si collegano ad un server di hamachi che poi permette la
connessione punto punto anche passando tramite due o tre nat ( vedi
caso utente fastweb verso adsl altro operatore , lato fastweb nat in
casa nat in apparati fastweb poi in internet e di nuovo si passa il
nat a casa dell'altra adsl), l'unica necessita è di far passare nel
firewall il protocollo o tcp o udp con una certa porta che si può
impostare.
Se hai ancora domande sulle vpn chiedi pure.
CIao

scusa pptp usa mppe normalmente e ipsec con l2tp.
Ciao

 scusa pptp usa mppe normalmente e ipsec con l2tp.
chiaro........ :)
-- 
enne

> Se hai ancora domande sulle vpn chiedi pure.
Qindi per creare una VPN coi soli stumenti messi a disposizione da microsoft 
si ha necessariamente bisogno di indirizzi IP statici, server con XP Pro (od 
una versione win-server), e client Home/Pro indifferentemente.
Oltre a questo mi pare di capire che un normale router (anche con un nat 
correttamente configurato) NON è sufficiente perchè il protocollo considera 
il cambio IP del nat un attaco di sicurezza e si blocca. Quindi o si 
assegnano indirizzi IP pubblici ad ogni PC della rete (costoso e assurdo) o 
si connette il server ad internet con un banalissimo modem così che il/i 
server (quindi le cartelle condivise) sia/siano direttamente esposti alla 
rete pubblica senza alcun natting.
Se ho capito bene, microsoft ha fatto una porcheria. Ma credo di avere 
capito male ... ;-) 

No no hai capito bene ma:
L'ip statico non ti serve, se usi un router attivi dyndns lato server
e quindi dai un nome al serve 
tuonome.dyndns.org
 tutti i router che ho
trovato supportano dynamic dns con dyndns, se usi il modem installi
l'utility di dyndns sul server.
Se usi il modem zone alarm free non supporta il gre zone pro supporta
il gre ma non funziona bene la connessione rallenta con il firewall
attivo, quello di xp è ok, se usi il router dg834 netgear oltre ad
avere un server vpn interno (quindi la vpn funziona anche a pc spento)
supporta   pass through pptp/ipsec/l2tp come tanti altri router di
fascia bassa vedi dlink zyxel ecc. basta che ricerchi router pptp pass
through con questa funzione fai forward con il servizio già
predefinito nel router pptp/gre avvolte pptp e quello gre.
Sinceramente è una figata perchè in caso di emmergenza tiro su una vpn
in 2 minuti (e non mi si è mai disconnessa) e lato client posso
spiegare come attivarla anche a una persona non tecnica, per fare una
vpn ipsec con un'apparato che non conosci diciamo che ti va via una
giornata con un tecnico per endpoint. Se le marche sono diverse poi è
da ridere.
Diciamo che se fai un lavoro in cui ti serve collegarti con il tuo
server sempre acceso a casa o in ufficio installi una pptp e vai
tranquillo, ma se una domenica sei a casa e ti dimentichi che dovevi
fare una cosa in ufficio ma hai tutti i pc spenti e sei a 30 Km avere
un semplice routercon vpn da 70  euro acceso che ti lascia connettere
in rete loale a mandare il wol al pc che ti serve è una gran figata, o
se devi controllare un telecamera ip da remoto.
Pro e contro comunque funziona. (ha anche il server dhcp integrato che
ti permette di assegnare il range lato client).
Ciao

ragione di esistere hanno software come hamachi ecc? 
la vpn, è come un'automobile, ce ne sono diverse per varie esigenze.
la vpn pptp è una delle tante con pro e contro.
ad esempio hamachi bypassa il nat, cosa che pptp non fa (devi aprire
le porte e redirigerle)
poi ci sono altre vpn openvpn, ipsec, ecc ognuna con caratteristiche
proprie.

 connessione punto punto anche passando tramite due o tre nat ( vedi
e aggiungerei che avere un terzo punto non conosciuto comporta
problemi di protezione.
followup-To: i.c.r.l
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
(Vendo giacca Spidi Road Egle 
Come nuova, 150eur)
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 capito male ... ;-)
Non è una porcheria. pptp è un metodo facile per mettere in
comunicazioni PC tramite vpn, oltretutto per quanto possa valere pptp
è supportato da win95.
La stessa ms consiglia di usare l2tp/ipsec ovviamente.
La cosa interessante è che se la rete è completamente MS il tutto si
integra in modo veramente notevole.


chiaro.
Sul sito di Microsoft si legge che il pptp non può passare il nat
perchè c'è un controllo sulle modifiche delgi header dei datagrammi
ip.
L'autenticazione avviene in MSCHAP-v2 o EAP-TLS e non in chiaro.
Ciao

 L'autenticazione avviene in MSCHAP-v2 o EAP-TLS e non in chiaro.
Mi sono spiegato male, l'autenticazione dell'utente avviene al di
fuori del tunnel, non nel tunnel vpn come con l2tp/ipsec e quindi non
viene criptata.
in l2tp/ipsec prima viene stabilito il tunnel utilizzando certificati
(o tramite la preshared key, anche se è sconsigliato), solo dopo
avviene l'autenticazione dell'utente.
Questa doppia fase non avviene con pptp e quindi la fase di
autenticazione è distinguibile dal tunnel vero e proprio.
Per dirlo alla MS pptp non supporta la machined-based authentication.


Ciao
Fortigate è fortigate.
Ne conosco uno che sta tenendo su circa 700 pc con linea da 150Mega
ed è eccezionale
Ciao



eh si, fa dei gran bei prodotti. Oltretutto con una flessibilità
veramente notevole.


 server.
L'ho provato, ma l'ho trovato un po ostico, cercavo qualcosa di più
semplice, ma comunque affidabile anche se "solo windows".
Ciao,
Claudio

Specifica il tipo di vpn che devi fare tra che providere tra che
sistemi operativi e per quale scopo che router hai nel mezzo.
Hamachi vedi 
http://www.hamachi.it/
lo scarichi e funziona.
crei una rete sul lato server poi il lato client dice il nome della
rete e la password e si connette.
Vpn di microsoft idem basta ipostare il forward sul router e attivare
dyndns per non richiedere sempre l'ip per telefono o mail.
Poi con pptp di microsoft non passi per il server di hamachi che non
so cosa fa(dati sensibili certo non li farei passare per un server
sconosciuto).
Openvpn prova a farlo installare lato client a una persona che non sa
niente di pc e vediamo.
Seguendo un tutorial video che ho trovato in internet ci si mette
mezzora solo per far partire il lato server (crea i certificati,
carica i certificati ecc..)
OPENvpn Bello stabile ma difficile da implementare.
Ciao

 OPENvpn Bello stabile ma difficile da implementare.
Ecco, appunto.
Ciao
Claudio

 connessione vpn > nome per la connessione > non effettuare prima
nessuna connessione (usa la connessione internet attiva in quel
momento) > poi o metti l'ip del server (che se non è fisso cambia ad
ogni riconnessione dell'adsl lato server) o attivi sul router del
server o sul server 
dyndns.org
 e quindi metti 
tuonome.dyndns.org
 > uso
da parte di tutti se vuoi che tutti gli uttenti del pc possano
attivare la vpn > fine.
basta fare doppio clic sulla connessione creata e si collega al
server.
Lato server hai un modem o un router? sei hai un router devi creare il
forward pptp/gre verso il server, vedi le eccezioni sul firewall di
xp(con zone alarm le vpn non funzionano )
Ciao

 ti trovi.
ok, gli do una seconda opportunità.
Ciao.
Claudio

Lo so che 30 minuti non sono niente ma per una persona che non mastica
tanto di reti mi sembrava un po impegnativo.
Normalmente mi capita di creare vpn ipsec e tra apparati diversi va
via anche una giornata.
(Openvpn) Prometto che mi metto a studiarlo.
Così iniziero a consigliarlo ache io.
Ti è mai capitato di avere problemi con la miniport che crea in sede
di disinstallazione.
In un paio di casi openvpn si è disinstallato ma la scheda virtuale
non sono più riuscito a toglierla.
Ciao

 
http://openvpn.net/howto.html
Grazie, sono consigli preziosi.
Ciao
Claudio

Ho imparato più in questo thread che googlando mezza giornata.
Thanks!