Newsgroup: it.comp.reti.locali
Titolo: VPN ZyWall 5 e client remoti

Buongiorno, ho configurato da interfaccia web la vpn sullo ZyWall 5,
successivamente da casa ho provato a connettermi per verificare il
funzionamento ed il tunnel viene aperto correttamente solo che non
riesco ad accedere alla LAN aziendale. Se provo a pingare degli ip
conosciuti all'interno della lan... il nulla.
Nelle regole di default del firewall, la VPN to LAN è impostata come
"Permit".
Cosa sbaglio?
Ringrazio in anticipo,
ciao Davide


Accertati che il network di partenza e quello di arrivo non siano 
sovrapposti (es.192.168.0.0 per entrambi i network)
-- 
Giuseppe Nacci
http://blogs.dotnethell.it/nacci/
Blog Wired and Wireless connection

 sovrapposti (es.192.168.0.0 per entrambi i network)
No, non ci sono IP sovrapposti.
Argh! Ci sto sbattendo la testa e probabilmente il problema è lì
dietro l'angolo.
Altri suggerimenti?

 Altri suggerimenti?
I client sono dietro nat? Hai incapsulato l'udp?


> I client sono dietro nat? Hai incapsulato l'udp?
Innanzitutto grazie JoeWired per le pronte risposte.
Allora un passo alla volta perchè non sono molto pratico di
networking.
Tra le regole del firewall ho inserito la regola "VPN to LAN"
Nome : VPN_NAT_T
Source Add : Any
Dest Add : 
192.168.1.0/255.255.255.0
 <-- rete interna dietro al ZyWall
Service Type : VPN_NAT (UDP: 4500)
Che dovrebbe essere incapsulamento della porta UDP 4500. E' corretto?
Se vado sotto la voce VPN --> SA Monitor mi vedo connesso con l'ip
corretto (Remote network), e cioe' quello assegnato dalla nuova LAN
(192.168.120.79).
Se invece vado sotto la voce NAT --> Address Mapping --> Nella tabella
SUA vedo:
Local Start IP : 0.0.0.0
Local End IP : 255.255.255.255
Global Start IP : 0.0.0.0
Global End IP : N/A
Quindi qualsiasi indirizzo della rete interna dovrebbe essere
raggiungibile.
Suggerimenti?
Grazie ancora.
Davide

 Davide
L'incapsulamento di cui parlo dovresti farlo sul client, con una modifica al 
registry.
http://support.microsoft.com/?id=818043


 registry.
http://support.microsoft.com/?id=818043
??? ma questa operazione dovrei farla se utilizzo il client di xp per
connettermi alla VPN? O con qualsiasi client?
Io attualmente sto utilizzando ZyWall IPSec VPN Client, quindi
perfettamente compatibile con il firewall ZyWall5.
Scusami Giuseppe, porta pazienza.
Grazie di nuovo ciao,
Davide


Inizia verificando l'utilizzo con il client Windows magari ed utilizzando 
una PSK.
Francamente non ti so dire se il client Zywall di per sč ha una funzione del 
genere, eventualmente potresti provare a a collegarti in dialup (attraverso 
la presa telefonica come si faceva qualche anno fa) e verificare. Se cosě 
funziona, il porblema sta nel nat.


 funziona, il porblema sta nel nat.
Ho provato via modem con il client VPN ZyXEL e funziona.
Quindi il problema non è sul firewall dell'azienda su cui voglio
connettermi in VPN ma sta sul firewall di questa LAN o anche sul modem/
route di casa mia dato che anche da lì ho provato e non riuscivo a
connettermi. Eppure sul router di casa avevo abilitato il NAT della
porta 4500 UDP sull'IP del mio computer che era 192.168.12.etc.. Di
questo ne sono certo ma anche lì non funzionava.
uhmmm...
Grazie di nuovo,
Davide

Abilita sullo Zyxel, nella sezione della VPN, il flag NAt-T o NAT 
Trasversarl (a seconda se č uno zywall o un DSL 662) vedrai che dopo il 
client IPSEC di Zyxel riuscirą a connettersi senza problemi anche se si 
trova dietro un NAT.
Fondamentale č che il "Server VPN" in questo caso il tuo Zywall5 abbia 
sulla WAN un ip pubblico pulito e non filtrato o nattato da qualcosa a monte

 sovrapposti (es.192.168.0.0 per entrambi i network)
No, non ci sono IP sovrapposti.
Argh! Ci sto sbattendo la testa e probabilmente il problema č lě
dietro l'angolo.
Altri suggerimenti?
se il tunnel si apre....allora il client VPN ha fatto il suo lavoro.
Se riesci a pingare alcun pc della rete aziendale cui sei collegato... prova 
a separare le due sottoreti (scusa se ripeto di nuovo questa cosa).
Esempio se quella dell'uffico e' 192.168.1.x crea quella di casa (router e 
pc) con 192.168.2.x.....
Io ho uno Zywall 35 in ufficio  ed il client IPSec di Zyxel a casa...il 
tutto funziona bene (senza modifiche al registro di windows).
ciao
fm 

 tutto funziona bene (senza modifiche al registro di windows).
Allora da casa sono riuscito a connettermi sia con il doppino, e
quindi via modem che con il mio modem/route ADSL, sono riuscito a
connettermi anche dall'altra sede dell'azienda però qui ho dovuto
impostare NAT-T nella sezione VPN come suggerito da voi. Sono riuscito
a farlo anche con il certificato... Fantastico!
Tutte queste prove le ho fatte tramite il client VPN della ZyXEL, ora
invece vorrei testare i client open source o freeware, ho scaricato
gateProtect VPN Client e TauVPN ma con nessuno dei due riesco a
connettermi, ho fatto una prova veloce anche con Windows ma anche li
l'errore è sempre lo stesso. Mi dice che non riceva alcuna risposta da
parte del server (nel mio caso è il ZyWall 5).
Quindi qualche buon anima è riuscito a connettersi ai firewall ZyWall
con un client che non sia quello della ZyXEL ????
Ringrazio tutti di nuovo per le dritte che fino ad ora mi avete
dato. :-)
Saluti, Davide

 Saluti, Davide
Accertati che ci sia corrispondenza nella configurazione della fase 1 e 
della fase 2. eventualmente prova anche con NCPSecure


 parte del server (nel mio caso è il ZyWall 5).
Ma scusa la domanda: il client gate protect è freeware ed opensource? Leggo 
dalle condizioni di licenza (se non ho le traveggole) che è offerto in trial 
per 30 giorni non che è gratuito.
Stefano

 Saluti, Davide
[...]
Sicuramente funziona con SSH Sentinel, però per le versioni free devi 
cercarne qualcuna di un paio di anni fa, perchè adesso credo abbiano 
messo tutto a pagamento. Io ne ho una che funziona perfettamente con uno 
Zyxel 662.
Altrimenti ho provato anche con il client Cisco...ma a parte diventar 
cretino per configurarla...ho avuto diversi problemi...d'altra parte è 
ottimizzato per Cisco, quindi non potevo aver grosse pretese.
TauVPN l'ho provato...ma l'ho tolto subito perchè mi ha dato un sacco di 
errori l'applicazione e non sono mai riuscito a farlo andare.

con un client che non sia quello della ZyXEL ????
TheGreenBow.
ciao
fm