Newsgroup: it.comp.reti.locali
Titolo: Zyxel e Vpn, ci riprovo

Non ci ho capito un gran che....
Mi sono procurato 2 router Zyxel 652H-31 che gestistono anche la vpn, gli ho 
configurati con una guida trovata su wintricks, ma niente da fare.
Premetto che i 2 router sono configurati per funzionare con l'adsl (di Alice 
in entrambi i casi).
Stessa classe di indirizzi per entrambe le sedi 192.168.1.0 e indirizzi ip 
pubblici assegnati (non statici, ma č giusto per fare una prova, li ricavo 
al momento)
La prima cosa evidente č questa : se inserisco i parametri della vpn e poi 
clicco su "active" nel caso del pc remoto smette di funzionare internet, nel 
caso del pc locale il router non da risposta per un po', naviga sempre su 
internet, ma non risulta piů accessibile, neppure risponde piů al ping.
Non capisco dove sbaglio, forse proprio il concetto di base che mi manca.
Qualche aiuto ?
Grazie infinite
Jex 

 Stessa classe di indirizzi per entrambe le sedi 192.168.1.0
Tale impostazione e' di per se' gia' una causa di problemi = dovresti
avere semmai 2 subnet distinte & non sovrapposte, e.g.:
==
* Sede 1 = Subnet 
192.168.1.0/24
* Sede 2 = Subnet 
192.168.2.0/24
==
proprio per evitare problemi di instradamento attivando il tunnel tra i
2 gateway.
Pertanto ti conviene reimpostare in primis l'indirizzamento IP LAN di
una delle 2 sedi -> qualora vi fosse una ragione per cui non potessi
fare una tale operazione, sarebbe utile che fornissi dettagli in merito.
In secondo luogo suggerisco di appoggiarti alle Support Notes ZyXel per
la configurazione VPN gateway-to-gateway, seguendo le indicazioni 
relative alla tua situazione (cioe' entrambi i peer con IP Pubblici
dinamici, se non ho letto male) :
==
- 
http://global.zyxel.com/support/supportnote/p652/app/sg_sg.htm
- 
http://global.zyxel.com/support/supportnote/p652/app/vpn_dynamic.htm
 
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

 ==
Ho provato a seguire il tuo consiglio, ma niente da fare.
Adesso le sedi hanno 2 subnet distinte.
Sul router locale non risultano problemi in fase di configurazione
Su quello Remoto, appena clicco su "Active" dal menů Vpn, smette di 
funzionare internet.
Ci sono poi altre 2 opzioni  : "Keep alive"  e "NAT Traversal" che 
attivandole (per prova) non producono effetti collaterali, ma onestamente 
non so a cosa servano.
Al momento ho lasciato la sede remota su Keep alive.
Poi non ho chiara un'altra cosa : supponiamo entrambi i router non diano 
problemi di sorta, come faccio a vedere che le due sedi sono collegate ??
Grazie ancora
Jex 

 come faccio a vedere che le due sedi sono collegate ??
Devi verificare in primis nel VPN Summary che le regole VPN siano 
attive su entrambi i router -> a quel punto effettua prove di ping tra
gli indirizzi IP LAN dei computer delle 2 sedi, ovviamente in assenza di
filtri/firewall (locali sui computer o a livello di router) che possano
bloccare i pacchetti ICMP -> per ulteriori info puoi fare riferimento
alle sezioni Trobleshooting / Log su :
==
- 
http://global.zyxel.com/support/supportnote/p652/app/sg_sg.htm
==
oppure al manuale in formato .PDF su 
http://tinyurl.com/28qnru
 .


 Ciao
Macs,
per prima cosa un grazie grosso come una casa per la tua dedizione alla mia 
domanda, davvero una guida dettagliatissima.
Dunque ho seguito passo passo tutti i tuoi consigli, registrato gli ip con 
Dyndns ed eseguito le configurazioni.
Dopo aver fatto questo ho notato che dalla sede locale posso solo pingare il 
mio Dyndns e non quello della sede remota e viceversa. Credo sia normale.
Appena terminata la configurazione del router  remoto, sono anche riuscito a 
vedere sotto il menù Vpn \ Monitor i dati della connessione (Name, 
Encapsulation, Ip Sec Alghoritm) che evidentemente si era stabilita 
correttamente.
 A questo punto ho cercato di "capire" se effettivamente le due reti fossero 
connesse, non sapendo bene come fare (ho letto solo Dopo dalla guida Zyxel 
di provare a fare un ping) ho tentato di prendere un pc remoto con 
l'assistenza remota di microsoft, a condividere qualche cartella, ma non ci 
sono riuscito.
Insomma, non ho proprio capito come fare a far comunicare le due reti una 
volta stabilita la vpn, e questo è un punto....
Il secondo dilemma, più grave, è che dopo qualche altra prova, ma non sui 
router, nel menù Monitor è sparita la connessione, e non c'è stato più modo 
di ottenerla di nuovo (magari non so Come attivarla....).
Ho notato che l'indirizzo ip della sede locale è variato, ma anche il dyndns 
lo ha seguito correttamente aggiornandosi.
Questi in definitiva i risultati delle prove, al momento la connessione non 
sembra + funzionare (se mai ha funzionato), ti chiedo ancora uno sforzo....
Grazie davvero
Jex 

Un breve aggiornamento prima di eventuali risposte :
ripetendo la configurazione nel router locale, adesso ri-appare la 
connessione nella schermata VPN - Sa Monitor, resta però il fatto che non 
riesco a capire se sono effettivamente connesso con l'altra rete o no, i 
ping ad esempio non danno risposta.
Saluti
Jex 

Altro aggiornamento :
andando a vedere sul Log, alla voce "IKE", sembrerebbe tutto ok, almeno 
credo, infatti ci sono due messaggi,
Send:[HASH]
Rule [2] Tunnel built successfully
a seguito gli indirizzi ip pubblici  delle due sedi....
Ma ancora non so come farle comunicare.
Saluti
Jex 

 a seguito gli indirizzi ip pubblici  delle due sedi 
Qualora non risultino anomalie a livello di traceroute (vedi verifica
citata sopra), lancia una serie di ping estesi (ping -t) tra un computer
della sede 1 ed un altro della sede 2 -> a quel punto verifica il
transito dei pacchetti sia nei log del firewall che in quello IPSec/IKE
(menu 27.3 da accesso telnet).


 a seguito gli indirizzi ip pubblici  delle due sedi 
Qualora non risultino anomalie a livello di traceroute (vedi verifica
citata sopra), lancia una serie di ping estesi (ping -t) tra un computer
della sede 1 ed un altro della sede 2 -> a quel punto verifica il
transito dei pacchetti sia nei log del firewall che in quello IPSec/IKE
(menu 27.3 da accesso telnet).
-- 


 Prego ;).
Ancora sviluppi, ci sto perdendo la ragione.
Allora,
riepilogando la situazione, la Vpn si attiva, ma non riesco a pingare le
risorse remote, o a vederle cmq.
Per caso ho provato a pingare anche una risorsa locale e ho scoperto che non
funzionava, allora, un bel reset del router, riconfiguro il tutto, e a
questo punto pingo sia in locale che remoto !
Contento come una Pasqua (ci sta proprio tutto), faccio esperimenti con
desktop remoto e varie, tutto benone. Tempo 1h, vado a ricontrollare la vpn,
ma č giů.
Da quel momento, non c'č stato piů modo di rialzare la vpn, addirittura ho
resettato entrambi i router, riconfigurati, provato di tutto, ma adesso non
arrivo piů nemmeno al punto di partenza, buio totale....
Eseguendo dei ping -t sul remoto o viceversa ecco cosa viene fuori dal log :
1.Rule [1] Sending IKE request Send Main Mode request to [87.3.......
2.Send:[SA][VID] 87........
3. !! IKE Negotiation is in process 87......
4.!! IKE Packet Retransmit 87.......
5.!! IKE Packet Retransmit 87.......
e cosě a ripetere fino a quando dura il ping.
A volte appare anche questo messaggio prima dei precedenti
Cannot resolve Secure Gateway Addr for rule [1]
Di seguito a questo, se provo a pingare la sede remota, sia via nome dyndns
che ip ottengo regolare risposta.
Questi i fatti, al momento, come detto, non funziona assolutamente piů
niente.....
Help
Help
Help
grazie
Jex

 Cannot resolve Secure Gateway Addr for rule [1]
Il log ti indica che lo ZyXel non riesce a risalire tramite risoluzione
DNS all'indirizzo IP del Secure Gateway -> non riuscendo quindi ad
instradarvi il pacchetto IKE, comincia di conseguenza la serie delle
ritrasmissioni.
Verifica in primis di star usando effettivamente su entrambi i router
P652H-31 il firmware 3.40(IU.4)C0 = nelle versioni precedenti alla
3.40(IU.4)b2 e' presente un bug relativo alla risoluzione DNS del
Secure Gateway quando viene indicato come nome-host e non come IP.
Cio' comporta dei problemi nelle VPN tra peer dinamici in caso di
variazione dell'IP associato al nome del Secure Gateway.
Qualora tu debba procedere con l'aggiornamento firmware segnati e
salvati le configurazioni prima di procedere (in modo da ripristinarle).
 
Fatto tutto cio', procedi in questo modo :
==
1. Disabilita in entrambe le regole VPN l'opzione KeepAlive.
2. Reimposta entrambe le regole VPN, definendo gli intervalli non piu'
   come Range, bensi' come Subnet = 
192.168.1.0/255.255.255.0
 per la
   sede 1 e 
192.168.2.0/255.255.255.0
 per la sede 2.
3. Accedi all'interfaccia avanzata CI (Command Interpreter Mode) di uno
   dei 2 router & stabilisci la connessione VPN, digitando :
 
   ipsec dial 1
 
4. Dall'interfaccia CI di entrambi i router imposta l'autoaggiornamento
   dei timer per le connessioni VPN, digitando :
 
   ipsec timer chk_my_ip 10
   ipsec timer chk_conn 2
   ipsec timer update_peer 5
5. Dall'interfaccia CI del router che avvia la connessione VPN verifica
   il runtime phase 1/2, digitando :
   ipsec show_runtime sa
6. Avvia il ping continuato (senza interruzione) da un computer della
   sede del router da cui effettui la connessione VPN verso un computer
   della sede remota.
7. Dall'interfaccia CI del router remoto che risponde alla connessione
   VPN verifica la ricezione delle richieste, digitando :
   ipsec show_runtime spd
Fammi sapere l'esito = se tali impostazioni risolvono i problemi di
disconnessione, potro' indicarti come configurarle adeguatamente su
entrambi i router in modo permanente.


 entrambi i router in modo permanente.
Aggiungo una nota = qualora fossero stati impostati temporaneamente [1]
set di regole IPPR nel corso delle prove, andrebbe verificato che gli IP
indicati come Gateway Address fossero quelli assegnati dinamicamente
alle interfacce WAN dei router.
In caso contrario i pacchetti non verrebbero correttamente instradati,
per cui converrebbe disabilitare tali set oppure aggiornarli giusto per
concludere le verifiche.
[1] L'impostazione di regole IPPR nel caso di entrambi i peer dinamici
    NON puo essere infatti definitiva, proprio per la variabilita'
    degli indirizzi IP dei Secure Gateway.



Grazie ancora per la pazienza.
Ho provato scrupolosamente tutto quello che mi hai indicato ma niente da 
fare.
Effettivamente credo che il buio totale (ovvero neppure la vpn va su) č nato 
dopo l'aggiornamento del firmware, che perň ho controllato essere quello da 
te indicato su entrambe le sedi, paradossalmente sembrava andare prima 
dell'aggiornamento.....
Il comando ipsec dial 1 mi rende un "Tunnel built failed!"
e qui mi sa che mi fermo.
Poi provo il ping ripetuto e il comando ipsec show_runtime sa esce un 
messaggio e questo log (lascio gli ip tanto sono dinamici)
                          Enter Menu Selection Number: 8
Copyright (c) 1994 - 2003 ZyXEL Communications Corp.
ras> ipsec show_runtime sa
Runtime SA status:
Phase 1 IKE SA:
SA<8075a3c4> Security Gw IP Addr: 87.11.204.244 MyIP Addr: 87.18.205.53
condition: <Larval>(0), state= (1), life_type:SEC, dur:3600, remained:3550
Remote IP: 
192.168.1.2/255.255.255.0
, ID Type:4, Protocol:0
Local IP: 
192.168.0.2/255.255.255.0
, ID Type: 4, Protocol: 0
init/resp: INITIATOR, saIndex = 1,phase2_pfs = 0
phase2_num = 0, phase2_zero_counter = 1
my_cookie<0xCD9BF0624490FC0E> his_cookie<0x0000000000000000>
No phase 2 IPSec SA exist
Active SA pair = 0
ras>
spero ci siano ancora speranze.....
Grazie
Jex 

> Advanced
-----------
Protocol         = 0
Enable Replay    = NO
Local Start Port = 0 End 0
RemoteStart Port = 0 End 0
Negotiation Mode = Main
Pre-Shared Key   = stessa chiave PSK del router sede 1
Encryption       = DES
Authentication   = MD5
SA Life Time     = 28800
Key Group        = DH1
Active Protocol  = ESP
Encrption        = DES
Authentication   = SHA1
SA Life Time     = 28800
Encapsulation    = Tunnel
PFS              = None
************************************************************************
Verifica che le regole siano inserite/memorizzate sui router -> fatto
questo, dall'interfaccia CI di entrambi i router reimposta i timer per
le connessioni VPN, digitando :
   ipsec timer chk_my_ip 3600
   ipsec timer chk_conn 60
   ipsec timer update_peer 60
Infine lancia il ping esteso/continuato da un computer della sede 1
verso uno remoto della sede 2 -> inizia a monitorare lo stato della
connessione VPN dai log e dall'interfaccia CI dopo 5 minuti (mantenendo
sempre il ping in corso).
In assenza di filtri o impostazioni firewall su router/computer che
blocchino ICMP dovresti iniziare a vedere le risposte ai pacchetti
inviati -> sempre ovviamente che Phase1+Phase2 vadano a buon fine.
Nota a margine :
----------------
Qualora - nonostante le nuove configurazioni - avessi ancora problemi
Phase1/Phase2, potresti eventualmente reimpostare in entrambe le regole
VPN il Negotiation Mode ad Aggressive.
Tuttavia, non raccomanderei una tale impostazione per un ambiente di
produzione = in cambio dei vantaggi di snellimento/velocita' della
negoziazione comporta infatti una diminuzione della protezione delle
connessioni transitanti nel tunnel. 



mentre io avevo sempre configurato in questo modo le due sedi
Local ID Type  = IP
Content        = 0.0.0.0
My IP Address  = 0.0.0.0
Peer ID Type   = IP
Content        = 0.0.0.0
Secure Gateway = 
ethersede2.dyndns.org
Encapsulation  = Tunnel
Infatti torna il motivo per cui il router non trovava il secure gateway in 
quanto non poteva risolvere il nome del dyndns da solo, con il settaggio che 
mi hai indicato funziona tutto e benone.
Che dire, un grazie grande come una casa per la tua gentilezza disponibilità 
e competenza.
Spero che questo thread tormentato possa servire anche ad altri con questi 
problemi.
Un saluto
Jex 

 questi problemi.
Prego ;) -> me lo auguro anch'io, considerando che da ieri sera vi ho
rediretto gia' 2 persone da un topic analogo su it.comp.reti.ip-admin . 
