Newsgroup: it.comp.reti.locali
Titolo: VPN + IPCOP + IP Statico. Vari dubbi...

Situazione attuale: collegamento tra due sedi distaccate tramite due
ADSL NGI 1280/512.
Ad entrambi gli estremi ci sono firewall fatti con pezzi di recupero su
cui è installato IPCOP 1.4.6.
I router (Prestige645R) sono cunfigurati come bridge ed è IPCOP che si
occupa dell'autenticazione tramite dial-up PPPoE.
Gli IP sono (ovviamente) dinamici e associati a degli hostname tramite
dyndns.org
.
Configurazione della VPN tipo net-2-net e autenticazione tramite
certificati.
Il tunnel viene aperto e la connessione fra le due reti funziona bene
(bene nel limite del massimo download reciproco di 512...).
Problemino: se per qualche motivo il tunnel cade ad uno degli estremi o
uno dei due firewall si sconnette-riconnette, l'unico modo per
ripristinare la connessione è resettare entrambe le macchine.
Questo mi sembra logico e (correggetemi se sbaglio) dipende dal fatto
che quando una delle due macchine si riconnette ottiene un IP dinamico
differente  e quindi non viene (giustamente!) riconusciuta dall'alra
macchina che si aspetta la connessione dal vecchio IP ottenuto
all'inizio tramite 
dyndns.org
.
Per ovviare a questo problema mi sono fatto assegnare da NGI due IP
statici (tipo 81.174.xxx.xxx/
255.255.255.255
).
Ora però mi sorge il dubbio su come usarli...  :-)
Fatti:
(a) non è possibile utilizzare IP statici con il PPPoE (almeno non con
IPCOP)
(b) se imposto l'IP statico sulla WAN del router e la RED di IPCOP con
un IP privato, ovviemente la VPN non funziona (il NAT del router cambia
gli header IP dei pacchetti).
Possibili soluzioni che mi vengono in mente:
(1)- assegnare l'IP statico alla RED di IPCOP ed usare un router che si
occupi dell'autenticazione con username e password ma che poi si
comporti da bridge (credo che con il Prestige645R si possa fare ma mi
vien già male...)
(2)- lascio i 645R come router, gli faccio gestire l'autenticazione e
lascio che il provider gli assegni un IP dinamico e setto la RED di
IPCOP con l'IP statico...Però 255.255.255.255 è una maschera per
connessioni point-to-point, quindi cosa metto come gateway per la RED?
E poi, non credo che questo IP statico possa stare dietro un IP
dinamico della stessa classe... Mi sa che sono un po confuso...  :-/
(3)- lascio i 645R come router, alla RED di IPCOP assegno un IP privato
e imposto il 645R in modo che faccia il forward di tutte le porte verso
IPCOP (SUA con default server su IPCOP). Però così sicuramente non
funziona dato il fatto (b).
Ho passato due giorni su google e sacricando manuali di vari
router/firewall per vedere se trovavo qualche dritta, ma non riesco a
venirne a capo.
La soluzione migliore sarebbe usare direttamente due router-firewall
con supporto VPN, ma quelli economici supportano solo le pre-shared
keys e non i certificati e comunque preferisco la flessibilità di
IPCOP. E comunque i firewall non me li fanno comprare :-)
Grazi in anticipo per l'aiuto.
Gabriele

Scusate l'impaginazione ma ho fatto copia/incolla da gedit e non mi
sono accorto degli a capo... Perdon


Scusami ,ma non vorrei dire una fesseria, ma se adesso hai un ip 
statico, ogni volta che ti colleghi con PPPoE otterrai sempre lo stesso 
IP a differnza di prima che variava ed usavi 
dyndns.org
.
Io che ho un ip statico con IPCOP ho assegnato alla RED ->PPPoE ed ogni 
volta che mi collego ho sempre lo stesso ip, boh la vedo semplice la 
slouzione , almeno credo.

mmm.. evidentemente non mi è ben chiaro come funziona l'assegnamento 
degli IP statici. Non gli ho mai avuti.
Deduco da quello che mi dici tu, che mi sono fatto una serie di 
lugubrazioni mentali totalmente inutili  :-) e non ho pensato alla cosa 
più ovvia.
Praticamente, correggimi se sbaglio, l'IP statico viene assegnato dal 
provider come si fa per le fixed lease di una scheda di rete in presenza 
di DHCP, solamente che invece di essere basata sul MAC è basata su 
qualcosa d'altro (cosa?).
In effetti, adesso che ci penso, qualsiasi modem/router, compreso IPCOP 
con il PPPoE, usa il DHCP per ottenere l'indirizzo di rete dinamico... 
sono proprio un p*rla.
Comunque inseguendo le mie idee balzane mi sono fatto una cultura sul 
NAT-Traversal, IPSec, debug delle VPN, etc
Posto qualche link che ho trovato interessante. Sicuramente sono già 
noti a molti, ma ha me che ne sapevo poco hanno aiutato molto. Spero che 
servano anche ad altri.
Cmq, grazie mille per la risposta :-)
Documentazione di Openswan:
 
http://wiki.openswan.org/
Firewall & Freeswan:
 
http://www.freeswan.org/freeswan_snaps/CURRENT-SNAP/doc/firewall.html
Tutorial con varie configurazioni per Freeswan:
 
http://jixen.tripod.com/#NATed%20gateways
IPSec-HOWTO (non esiste su 
tldp.org
 !!!):
 
http://www.ipsec-howto.org/t1.html
Mini-HOWTO su IPSec (per BSD):
 
http://www.daemonnews.org/200101/ipsec-howto.html
VPN, Netfilter e Shorewall:
 
http://www.daemonnews.org/200101/ipsec-howto.html
NAT-Traversal con Freeswan:
 
http://open-source.arkoon.net/freeswan.php#natt
Bel tutorial su L2TP/IPSec con server Linux e client Microsoft:
 
http://www.jacco2.dds.nl/networking/freeswan-l2tp.html#NAT
Strongswan project:
 
http://www.strongswan.org/

 NAT-Traversal, IPSec, debug delle VPN, etc
ehm, forse č il caso che tu torni un pelino piů indietro e ti fai un
ripassino sulle basi del tcp :-)))

Quindi concludendo , basta che su IPCOP assegna alla RED -> PPPoE , fine 
, avra' sempre il suo ip statico .
