Newsgroup: it.comp.reti.locali
Titolo: vpn con zywall su nat fastweb: problemi

Ciao a tutti,
ho diverse aziende collegate fra di loro tramite degli zywall (vari modelli)
su reti fastweb. Ebbene, ho qualche problemino che spero qualcuno di voi
possa aiutarmi a comprendere e risolvere.
Il nodo centrale è uno zywall35 (firmware       V1.08 | 01/30/2005) connesso
alla lan e alla wan. La connessione wan prevede che lo zywall abbia un
indirizzo pubblico fisso e utilizzo come gateway un router fastweb.
Ad un capo c'è uno zywall2 (firmware V3.62(WK.17) | 12/04/2006), collegato
ad un router cisco che fa nat: in sostanza qui c'è un solo ip pubblico su
cui si fa nat verso lo zywall, che a sua volta smista tutto verso la lan. 
Ad un altro capo c'è uno zywall5 (firmware V1.08 | 01/28/2005) nattato come
lo zywall2 (un solo indirizzo pubblico).
I problemi, apparentemente dovuti al firewall del nodo centrale sono i 
seguenti:
1) con firewall abiltiato (senza nessuna regola aggiuntiva) la vpn verso lo 
zywall2 viene stabilita, ma mentre si riesce a pingare (e a mandare
pacchetti smb) dal nodo centrale a quello remoto, non si riesce a fare il
viceversa. Sembra che lo zywall35 scarti i pacchetti in ingresso dello
zywall5, ma quali? Infatti se ci si connette in ssh/telnet attraverso la
vpn tutto funziona, e lo zywall35 non logga nessun pacchetto scartato. 
2) lo zywall5 funziona regolarmente e da ambo le parti, ma dopo un po' di 
tempo (forse inattività) la connessione si blocca e non resta altro da fare 
che terminare la connessione manualmente e ricrearla (una sorta di reset di 
uno dei due apparati o della loro vpn).
Se il firewall dello zywall35 è disabilitato nessuno dei due problemi si 
verifica, mentre appena è abilitato i problemi si verificano. Il fatto è che 
siccome si ha un parziale funzionamento, mi risulta piuttosto complicato 
capire quale sia il problema. A livello di regole firewall sullo zywall35 ho 
impostato delle regole manuali che blocchino la navigazione a determinati 
host (della LAN), e nessun'altra regola. Ho controllato e non c'è nessun
port forwarding attivo. Anche disabilitando le regole di navigazione per la
LAN (che non dovrebbero infastidire la vpn) ma lasciando il firewall
attivo, i comportamenti anomali si verificano.
Ho provato a fare tutti gli aggiornamenti firmware e non ho trovato nessun 
cambiamento sostanziale. Qualcuno sa indicarmi qualche comando CLI o ha
qualche idea su prove da fare per risolvere i problemi?
Grazie,
Luca

 lo zywall2 (un solo indirizzo pubblico).
io inizierei ad aggiornare i firmware... sei decisamente indietro...
Ormai siamo alla versione 4 abbondante... oltretutto con differenze
sostanziali rispetto alla versione che hai.
Inizia da qui, riconfigura tutto, e poi ne riparliamo, un problema
alla volta perň.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
(Vendo giacca Spidi Road Egle 
Come nuova, 150eur)
L'indirizzo em@il non č da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 alla volta però.
Scusa, ho riportato il copia e incolla sbagliato. Il firmware è alla V4.0
(WZ.2) | 08/01/2007, quindi è già aggiornato.
Quindi da dove si può iniziare per capire il problema?
Luca

 Quindi da dove si può iniziare per capire il problema?
Premetto che per le VPN preferisco sempre avere l'ip pubblico
direttamente sulla WAN del firewall proprio per evitare problematiche
strate...
comunque il problema 1 sembrerebbe un problema di routing, comunque
abilita i log, se il firewall blocca qualcosa lo deve segnalare. 
Per il problema 2 hai provato ad abilitare il nailed up?
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
(Vendo giacca Spidi Road Egle 
Come nuova, 150eur)
L'indirizzo em@il non è da considerarsi pubblico,


 Per il problema 2 hai provato ad abilitare il nailed up?
Si, ho tutte le connessioni nailed up.
Luca

 droppato, ma non ci sono pacchetti registrati come tali.
allora il firewall non droppa nulla.
Rimane la problematica del routing. Verifica che tutti percorsi che
devono fare i pacchetti siano definiti correttamente (gateway, rotte
statiche)


 statiche)
Ho verificato e tutto è ok. Il fatto strano è che le vpn vanno a singhiozzo,
quindi le route e le configurazioni sono ok (almeno per iniziare la vpn) ma
poi qualche cosa le manda in crash.
Luca

 poi qualche cosa le manda in crash.
Siamo sicuri che i router che ci sono di mezzo non fanno qualche
casino? Come ti dicevo preferisco evitare un nat in mezzo quando devo
fare VPN, a volte si diventa matti a capire i problemi.
Non riesci a dare l'ip statico direttamente alla wan del router?


 Non riesci a dare l'ip statico direttamente alla wan del router?
No, non riesco ad evitarlo, e i router sono gestiti da fastweb, quindi non
ne ho il controllo. Tuttavia ho dei problemi anche fra due zywall che
dispongono dei loro indirizzi pubblici: se attivo il firewall le
condivisioni samba tendono a bloccarsi a singhiozzo, e ovviamente lo zywall
non dice di bloccare nulla. Ma se disattivo il firewall tutto funziona
senza problemi.....
Luca

 funziona senza problemi.....
UN altra cosa che ho notato è che saltuariamente compare nei log una riga
ATTACK relativa a traffico Netbios che invece viene scambiato regolarmente
e continuamente fra due host dai capi della vpn (non quelli coinvolti nel
blocco delle share di cui parlo sopra).
Qualche idea?
Da dove si capisce cosa lo zywall intende come attack?
Luca

 senza problemi.....
bho... di VPN tra zyxel ne ho in giro diverse, ne ho anche tra zyxel e
fortinet e anche con client sw, mai avuto problemi.
Le uniche difficoltà che ho avuto è stato quando avevo entrambi i
firewall dietro nat.
Sul sito zyxel dovresti trovare dei documenti dove viene spiegato come
realizzare VPN, prova a dare un occhio li, magari scopri dove stà
l'inghippo.
