Newsgroup: it.comp.reti.locali
Titolo: iPad e VPN... questione un po' pelosa [lunghetto].

Allora, cerco di essere sintetico il piï¿œ possibile.
Abbiamo un server iSeries che, per comoditï¿œ, era aperto su internet con 
un ip pubblico per far collegare gli agenti esterni via telnet. L'unico 
controllo era la canonica user/password.
Ovviamente non era una situazione accettabile, e quindi ï¿œ stato messo in 
sicurezza con delle semplici VPN (mediante Shrewsoft VPN), dove su ogni 
client ï¿œ impostato un ip fisso e la password pre-shared.
 
Dal punto di vista dei pc questa cosa non ha creato grossi scompensi, i 
problemi nascono dalle connessioni da iPad/iPhone.
 
Siamo riusciti ad impostare una VPN su iOS, ma da quello che ho capito, 
una volta impostata la VPN, quest'ultimo fa passare tutto il traffico 
dati attraverso la VPN... infatti tentando di navigare mentre ï¿œ attiva 
la VPN non funziona nulla.
Ora:
1) ï¿œ davvero cosï¿œ?
2) si puï¿œ rimediare in modo che, chessï¿œ, solo il traffico verso un IP 
venga instradato attraverso la VPN?
3) se non ï¿œ possibile, quali altre strade mi rimangono? considerate che, 
alla fine, ho bisogno che solo un'app utilizzi la VPN...
 
Una possibile soluzione, d'accordo con i gestori del server, sarebbe 
quella di tenere comunque aperto l'ip pubblico, ma blindandolo ad alcuni 
ip. Il problema ï¿œ che quando gli iPad sono in 3G ovviamente hanno 
indirizzi ip non prevedibili.
Ho pensato ad attivare un proxy, ma mi sembra che su iOS sia impostabile 
solo per le reti WiFi...
 
Mi ci sto un po' perdendo. Mi aiutate a schiarirmi un po' le idee?
 
-- 
Jax
 

 solo per le reti WiFi...
 
Ed usare SSL? O SSH?
 
 bye


MI pare che tra i tanti protocolli di iseries ce ne sia uno per fare le 
sessioni 5250 in SSL o simile. Lo stavamo guardando anche noi (meglio, 
dopo aver letto qualcosa ho chiesto ai sistemisti iSeries) ma poi non se 
n'ï¿œ fatto di niente
 
Tra parentesi, ï¿œ corretto quello che fa il melo: se l'utente potesse 
continuare a usare Internet una volta in VPN si verrebbe a creare un 
meraviglioso buco di sicurezza in quanto si "cortocircuitano" due zone 
con livelli di sicurezza diversi.
 
Altra alternativa: una azienda della Toscana ha sviluppato un add-on che 
trasforma le schermate 5250 in pagine web. L'ultima versione che ho 
visto non ï¿œ nemmeno malvagia e mi pare che qualcosa di simile lo usi una 
nota catena di rivenditori di elettrodomestici che finisce con la parola 
*mondo
 
Saluti
 
-- 
Luca
http://www.civinini.net
 
 
"Unix is simple. It just takes a genius to understand its simplicity." - 
Dennis Ritchie
 
 


Ho avuto lo stesso problema.
Risolto aggiornando il firewall aziendale
in modo da poter gestire le VPN di tipo
L2TP/IPSEC.
l'iPad o iPhone viene configurato con questo tipo di VPN.
C'e' la possibilit� di escludere il traffico non voluto
(pulsante SEND ALL TRAFFIC= OFF).
 
Una volta aperta la connessione VPN sei in rete
e puoi accedere ai servers della LAN.
Sull'iPad non serve software, a meno che tu
non abbia bisogno di un emulatore 5250 per le "green screen",
in tal caso puoi usare  quello della Mochasoft.
 
 
 
ciao
fm
 
 
 

 (pulsante SEND ALL TRAFFIC= OFF).
 
Esattamente la soluzione che stavo cercando di adottare ieri sera e 
stamattina.
Purtroppo il "routerista" ï¿œ in ferie fino a fine luglio e non ho modo di 
sapere se potrï¿œ supportare l'L2TP, quindi stavo cercando di metter su un 
server L2TP (temporaneo, ma eventualmente no) sul mio Win2003 SBS.
 
Comunque, se ho capito bene, il server comunica qual ï¿œ la subnet locale 
che il client puï¿œ raggiungere, e tutte le richieste fatte su quella 
subnet dal client finiscono nella vpn, tutte le altre no?
Sarebbe la soluzione ideale per me.
 
-- 
Jax
 
 

 *mondo
 
Comunque dovrei raggiungere l'ip pubblico della macchina... il problema 
rimarrebbe (e forse sarebbe ancora piï¿œ peloso per via del web server).
Inoltre la soluzione 5250 ï¿œ temporanea, dato che sto sviluppando una 
webapp ad-hoc che andrï¿œ a sostituirla.
 
-- 
Jax
 
 

 ma quest'ultima stessa li aveva scoraggiati. Mah.
 
Perdonami se insisto, ma ci sono passato anch'io; ignora pure se vuoi...
 
I sistemisti iSeries sono tendenzialmente restii a fare qualunque piccolo
cambiamento e l'abilitazione dell'SSL non fa eccezione.
Te la puoi pero' cavare con una macchina con stunnel da mettere davanti
all'iSeries (che quindi non tocchi).
 
YMMV.
 
 bye

 YMMV.
 
Guarda, sfondi una porta aperta. Sono convinto anch'io che SSL sia la 
cosa migliore... ho insistito ma non c'ï¿œ stato verso. Purtroppo ho poca 
voce in capitolo in questo caso, l'iSeries non ï¿œ nostro ed ï¿œ pure 
condiviso, quindi ho le mani legate.
 
Se posso vorrei non aggiungere un altro server, per la stessa ragione...
 
-- 
Jax
 
 

 in tal caso puoi usare  quello della Mochasoft.
 
Una domanda ulteriore: se sono in 3G e collegato in VPN, se entro in 
un'area WiFi conosciuta, cade la VPN e devo riattivarla?
Sarebbe una discreta rottura di palle.
 
-- 
Jax
 
 

 (pulsante SEND ALL TRAFFIC= OFF).
 
Una domanda ulteriore: se sono in 3G e sono in VPN, se entro in un'area 



 
Non esattamente.
 
Il software del firewall (lato sede) ha il compito
di permettere, a chi entra dalla VPN,  l'accesso solo
agli indirizzi LAN voluti (un indirizzo ip, un range o una subnet).
 
Il software del client (nel caso dell'iPad/iPhone una
parte di  iOS) ha o avrebbe il compito di indirizzare
solo parte del traffico sulla VPN.
 
Questo viene fatto bene dal client vpn dell'ultima
versione di Android (4.0.1)...nel quale puoi
imputare  un ip o una subnet  di "destinazione" per
la  VPN ...
 
Viene fatto meno bene, o IMVHO  in maniera meno chiara, dal iOS dell'apple
per il quale hai solo lo switch "direct all traffic" ON o OFF.
 
 
ciao
fm
 
 


trovo molto piu' una rottura ....le modeste prestazioni.
 
Per lo scopo in oggetto  iPad/iPhone hanno la potenza dei
notebook di molti anni fa ...
Scordati di poter usare password molto lunghe o algoritmi
di crittografia a pesanti.... :-\
 
ciao
fm
 
 

 per il quale hai solo lo switch "direct all traffic" ON o OFF.
 
E' proprio questo che non mi ï¿œ chiaro :)
Se questo switch ï¿œ off, come fa iOS a sapere cosa indirizzare e cosa no? 
Se ci fosse stato Steve gli avrei scritto, e lui mi avrebbe risposto: 
"trust the iOS". :)
 
-- 
Jax

 Se questo switch � off, come fa iOS a sapere cosa indirizzare e cosa no?
 
Nella configurazione L2TP VPN del firewall, ossia lato sede,
viene specificato quale IP (in un dato range o subnet) il client
viene ad assumere una volta che la VPN e' stata aperta.
 
Viene anche indicato quali indirizzi IP della lan interna (quella dietro il 
firewall)
sono accessibili dall'utente remoto che apre la VPN.
 
IPOTESI: a questo punto iOS conosce questi parametri e
sa quali pacchetti  indirizzare nella VPN e quali no.
 
Esempio: io sono PIPPO_remote_user, ho le giuste
credenziali ed apro la L2TP VPN....mi viene assegnato
l'ip 10.0.0.50 e posso accedere agli ip della
lan interna  
10.0.0.0/24
.
 
iOS conosce questo e sposta nella VPN (aperta) tutto cio'
che e' diretto a 10.0.0.x , il resto nel gateway della
connessione 3G o wireless che sia.
 
Magari funziona davvero cosi'....:-)
 
Ciao
fm


 Magari funziona davvero cosi'....:-)
 
Lo spero, stavo cercando di fare qualche prova col mio router cisco ma 
per ora senza risultato :)
 
 
-- 
Jax

 ha scritto nel messaggio 
news:ju8v62$mto$1...@speranza.aioe.org...

devi trovare una qualche configurazione di prova,
perche', almeno sul mio Zyxel, la configurazione e'
assai contorta.
Se hai delle istruzioni seguile passo passo e ricontrolla
il tutto piu' volte, con pazienza.
 
 
Sul client invece non dovresti avere problemi,
ci son pochissimi parametri.
 
La L2TP VPN puoi testarla
anche usando come client un pc  con windows.
 
 
ciao
fm
 
 

 il tutto piu' volte, con pazienza.
 
Purtroppo non essendo il mio mestiere (non sono nï¿œ un nettista nï¿œ un 
cischista), sto facendo tutto da autodidatta... cosï¿œ come la 
configurazione base del Cisco :)
I risultati perï¿œ si vedono eheheheeh :D
Ho trovato due o tre esempi, e nonostante mi sembrasse di averli capiti, 
evidentemente non ï¿œ cosï¿œ, oppure la mia configurazione base ne preclude 
il funzionamento.
Anche perchï¿œ nessuno degli esempi che ho trovato prevede che sul router 
ci sia l'interfaccia ATM e il NAT, cose con cui io invece devo confrontarmi.
Aspetterï¿œ...
 
-- 
Jax

 alla fine, ho bisogno che solo un'app utilizzi la VPN...
 
in questi casi io propongo un'altra soluzione meno complessa. molti 
firewall consentono la creazione di regole dinamiche (vale lo stesso 
discorso, non so se è applicabile al tuo caso specifico). autenticandosi 
sul portale del firewall è possibile abilitare una policy "a tempo" per 
l'apertura di una porta.
migliori la sicurezza, perchè il processo di apertura della porta è 
crittografato in https, ma non risolvi comunque parte del problema 
perchè telnel ovviamente manda dati in chiaro, compresi quelli di 
autenticazione.