Newsgroup: it.comp.reti.locali
Titolo: Routing su rete "storta"... aiuto!

Ciao a tutti...
... ho un problemaccio che non so come risolvere (scarsa conoscenza mia 
del routing, sia chiaro, per� lo devo sbrogliare lo stesso)
Allora ... schemino: 
http://lbw.axe-man.org/retestorta.png
In poche parole una rete remota (RETE1) con una decina di macchine, con 
una VPN (totalmente gestita dall'ISP, compresi i due router) verso la 
sede centrale. La porta del router dalla nostra parte finisce dentro la 
DMZ del dlink DFL-800 (che � nostro, quindi quello lo possiamo gestire, a 
differenza degli altri due che sono blindati).
Le tre esigenze che abbiamo sono: 
1) le macchine della RETE1 devono poter navigare in internet attraverso 
la connessione della sede centrale (al limite, ma proprio al limite, 
sulla RETE2 abbiamo un proxy che possiamo usare se funziona il punto 2)
2) le macchine della RETE1 devono poter raggiungere un paio di server che 
stanno dentro la RETE2 (intranet, server di posta, e poco altro)
3) dalla RETE2 dovrebbe essere possibile raggiungere la RETE1 per 
manutenzione/assistenza. 
Il problema mi nasce perch� non so come gestire quella "doppia" sottorete 
della VPN: io dovrei dire alle macchine di RETE1 che il loro default GW � 
192.168.61.251, ma non trovandosi sulla stessa subnet non pu� funzionare. 
Ma se uso come GW 192.168.60.1, come riesco ad instradare i pacchetti 
verso l'esterno dal dlink? Dall'ISP non abbiamo avuto grossa 
collaborazione ("tutto quello che esce dal 60.1 viene dirottato sul 
61.1" ... ipse dixit)
Io riesco a pingare solo le porte dei due router dell'ISP: dal DFL-800 
pingo regolarmente il 60.1 e dalla rete1, usando come GW  il 60.1 riesco 
a pingare il 61.1.
Ditemi che c'� il "trucco" e che � una cosa normale e che c'� il modo di 
sbrogliarla... 
Temo comunque che data la latitanza dell'ISP, mi sa che mi devo armare di 
sniffer e andare nelle sedi a vedere cosa passa DAVVERO attraverso quei 
due router, ma qualunque tipo di aiuto mi sarebbe... d'aiuto! 
Grazie... 

 a pingare il 61.1.
Appunto. La VPN dovrebbe stare a posto cosï¿œ.
Invece il DLink dovrebbe essere istruito a mandare la 
192.168.60.0/24
 
sul 192.168.61.1. E' istruito a farlo?
-- 
	Luca Amicone
	ICQ: 14890779
---
"Microsoft TCP/IP Host Name Resolution Order" 
http://support.microsoft.com/?id=172218

 sul 192.168.61.1. E' istruito a farlo?
Yes. C'� una rotta statica... Altrimenti dal dlink non pingherei nemmeno 
il 60.1. 
Da altri test fatti da un collega nel pomeriggio, il percorso "d-link -> 
rete1" funziona... cos� come funziona anche il percorso inverso "rete1 -> 
dlink" quindi da una macchina sulla rete1 riesco a pingare l'interfaccia 
DMZ del dlink. Quindi quello che mi manca � riuscire a dire al malefico 
dlink come fare il routing (NAT, in effetti) della "roba" che arriva 
sull'interfaccia DMZ verso l'esterno... ho provato con le stesse regole 
che uso per NATtare i server dalla LAN alla WAN (cambiando ovviamente 
interfaccia e indirizzi di origine) ma niente. Ho persino fatto una 
regola di SAT che "pubblica" un servizio web su una porta specifica della 
192.168.61.252 ... niente da fare... dalla rete1 non lo raggiungono 
(nonostante pinghino l'indirizzo) mentre funziona benissimo attaccando un 
cavo alla porta DMZ del dlink e attaccandoci un PC con un IP sulla 
sottorete 61 (quindi la regola sul dlink � corretta). Boh!!

 sul dlink ï¿œ corretta). Boh!!
Eh no. Hai solo verificato che la 61 sia vista bene dal router..
Esteeqatsi, ï¿œ la 60 quella che deve lavorare.. ;)
-- 
	Luca Amicone
	ICQ: 14890779
---
"HOW TO: Installare Condivisione connessione Internet"
http://support.microsoft.com/?id=307311

 Esteeqatsi, ï¿œ la 60 quella che deve lavorare.. ;)
Uhm... un punto interessante... adesso che me lo fai notare, e stando 
alla regola qua sopra, NON avrebbe dovuto funzionare partendo da un 
indirizzo 61...
Uhm ok questo pomeriggio sarï¿œ lï¿œ e devo ricontrollare bene cosa funziona 
e cosa no... ti aggiornerï¿œ, e grazie, per ora...

 funziona e cosa no... ti aggiorner�, e grazie, per ora...
Ok ci ho messo un po' ma alla fine ho avuto due minuti per controllare,
e... � il dlink che rifiuta di fare il routing sui pacchetti di
ritorno... 
Praticamente i pacchetti dalla rete 60 il dlink li inoltra correttamente
verso internet (con tanto di entry "conn open" nel log) ma i pacchetti
di ritorno vengono filtrati da una regola interna (nel senso che non �
tra quelle "editabili") che dice "illegal destination mac address". Io
mi arrendo :-) Tra le altre cose non riesco neanche a fare un traceroute
decente perch� da qualche parte il malefico Dlink ha una regola che
ferma i pacchetti con TTL basso e io non riesco a trovarla! Se faccio un
traceroute verso qualunque indirizzo internet, l'unico hop che ha
successo � l'ultimo ... 
Tracing route to 
www.l.google.com
 [74.125.39.106]
over a maximum of 30 hops:
  1     *        *        *     Request timed out.
  2     *        *        *     Request timed out.
  3     *        *        *     Request timed out.
  4     *        *        *     Request timed out.
  5     *        *        *     Request timed out.
  6     *        *        *     Request timed out.
  7     *        *        *     Request timed out.
  8     *        *        *     Request timed out.
  9    57 ms    43 ms    43 ms  
fx-in-f106.google.com
 [74.125.39.106]
Comunque riguardo al problema oggetto del thread, con un collega abbiamo
"risolto" con un orribile workaround, piazzando un proxy con due schede
di rete, una attaccata al router ISP dalla nostra parte, e l'altra sulla
10.128.2, e facendoli navigare attraverso quello. 
Mi rimane solo un altro problema, ma apro un thread a parte... grazie
del supporto. 

 grazie del supporto.
Prego. Mi spiace che non hai risolto come volevi.. :-|
-- 
	Luca Amicone
	ICQ: 14890779
---
