Newsgroup: it.comp.reti.ip-admin
Titolo: vpn zyxel 652

ci ho provato tutta la notte ha girare i parametri della vpn. Porca
miseria mi sembra una cosa semplice!!!
Ho sti 2 zyxel 652 uguali, stesso firmware.
Inanzi tutto se non inserisco i dati Id Type e contenent il tunnel non va
su anche se da supporto zyxel sembrano non essere necessari.
Comunque il tunnel sembra andare su: si vede sul monitor vpn ma non pingo
i computer delle due reti.
Inoltre guardando il log leggo "Tunnel built successfully" ma il ping non
va.
Dopo un pň nel log leggo  per IPSec "Rule [1] idle time out, disconnect".
Grazie a chi volesse dare un significato ad una notte insonne.
ConteZero
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 ConteZero
Mi è venuto un dubbio: i pc della lan della sede sono nattati dal router
652 cioè la porta wan del router ha un indirizzo publico che finisce per
232 mentre il nat fa si che i pc escano su internet con un indirizzo
publico che finisce per 236. Naturalmente nella configurazione della VPN
ho inserito come security gateway l'indirizzo che finisce per 232. Può
essere questo il problema? E se si come risolvo?
Grazie 


La vpn l'hai fatta con IPsec?
Se si che politica di routing hai usato?
Altra domanda, hai impostato sul firewall le regole di comunicazione
tra le due lan in vpn? Ora io non conosco gli zyxel ma solitamente
vanno impostate.

 pingo i computer delle due reti.
In tal caso, visto che il tunnel e' correttamente UP, usa IPPR IP Policy
Routing su entrambi gli endpoint :
==
- 
http://groups.google.it/group/it.comp.reti.locali/msg/5bbbc34569a08c
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- a.k.a. Plany/RST -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

 vanno impostate.
No, per togliermi altre variabili ho disattivato il firewall. Ma cosa
dovrei impostare nel firewall?


 - 
http://groups.google.it/group/it.comp.reti.locali/msg/5bbbc34569a08c
Ti ringrazio per la dritta ma per non copiare proprio a pappagallo mi
"regali" due minuti del tuo tempo e mi dai un'idea di cosa vuol dire e a
cosa serve questa configurazione?


 End / Subnet Mask
Cosa hai messo in questi parametri?
Qui ci dovrebbero andare gli indirizzi della reti che devono parlarsi
in vpn.

dannymello ha scritto:



Si ho messo le subnet delle reti e i relativi remote gateway. Naturalmente
come remote gateway ho messo gli indirizzi delle porte wan dei router. Ma
i pc della sede escono con un'altro indirizzo in quanto sono nattati.


  End / Subnet Mask
Qui devi mettere gli indirizzi delle reti (quelli nattati) che si
deveno parlare in vpn
In local adress type avrai sicuramente la possibiità di scegliere fra
network,host etc..  (non conosco zyxell). Li devi mettere gli ip (o le
reti) che si devono parlare. Questa è la politca di routing di IPsec.
Questo va fatto su entrambi i router.
In local ci devi mettere la rete locale, in remote la rete remota.

 In local ci devi mettere la rete locale, in remote la rete remota.
Infatti così ho fatto ma i pc della sede non escono con il 232 finale che
è l'indirizzo della wan del router, ma con il 236 perchè sono tutti
nattati su questo indirizzo e temo sia questo il problema che mi impedisce
di pingare anche se il tunnel va su. Oppure no? 



Ascola mi mandi i seguenti parametri:
- Ip pubblic dei firewall (anche omettendo alcune parti se preferisci)
- indirizzi di rete delle due reti e relativo subnet
- Ip lan dei firewall e relativa subnet.
Così magari posso capire un po meglio, perchè il firewall è
giustissimo che
natti, ma la rete che sta da una parte della vpn deve vedere l'altra.

 - Ip lan dei firewall e relativa subnet.
Dati della rete A (ho un router 652h che fa tutto)
- Ip publico del router (WAN) 85.xxx.xxx.232
- rete 192.168.10.x 255.255.255.0
- Ip lan del router 192.168.10.48
Dati della rete B (ho un router 652h che fa tutto)
- Ip publico del router (WAN) 81.xxx.xxx.118
- rete 192.168.20.x 255.255.255.0
- Ip lan del router 192.168.20.1
Quando navigo i pc della rete A escono con ip 85.xxx.xxx.236
Grazie per l'aiuto
ConteZero


  End / Subnet Mask 255.255.255.0
Confermi?
Effetivamente è strana la cosa che i tuoi client escono con il 236
finale
però se il tunnel sale non dovrebbe essere un problema.
Perchè se il peer fosse sbagiato il tunnel non salirebbe mai.
Dai un occhio puttosto alla parte local/remote.

 Confermi?

Ti ringrazio.
Stasera/notte provo e ti faccio sapere


 Confermi?

Ninnte non pinga nulla: il tunnel si alza ma non pingo. Che noiaaa!


 - 
http://groups.google.it/group/it.comp.reti.locali/msg/5bbbc34569a08c
Ho seguito le istruzioni del link ma continuo a non riuscire a pingare una
rete dall'altra.
Sono disperato. Ho tolto anche il nat per i pc della rete della sede ma
niente da fare.
Aiutooo!!!


Senti a sto punto diventa una sfida.
Mi mandi gli screenshot delle configurazioni della vpn (cancella pure
parte degli ip pubblici).
a questo indirizzo dannymello @ ilacsiT.it (inverti il dominio).
Azzo di vpn ne sto facendo a iosa in sto periodo anche senza ip
pubblici, ok non uso 
zyxel però non cambia nulla.

 una rete dall'altra.
Le istruzioni per IPPR consentono di "far ricordare" ad entrambi gli
endpoint le regole di instradamento tra le due LAN remote, oltre che di
definire le policy QoS per la priorita' del traffico VPN rispetto alle
alle altre connessioni. Infatti, pur seguendo alla lettera le istruzioni
delle Application Notes ZyXel, puo capitare che il tunnel sia UP ma che
gli instradamenti non avvengano correttamente.
Il mio suggerimento e' quello di verificare non solo ICMP tramite il
ping, ma anche la risposta TCP di servizi presso le LAN = e' plausibile
che siano infatti attivi ancora i filtri sugli ICMP echo reply WAN e
che quindi i tuoi risultati siano sfalsati da cio'.
Inoltre sarebbe utile avere un quadro completo delle impostazioni NAT
full-feature del secondo router = e' possibile che i pacchetti giungano
anche al secondo router ma che, in virtu' della regola NAT M-1 sull'IP
pubblico con finale .236, non siano instradati sulla VPN.


dannymello ha scritto:

Inviati 
Spero che tu riesca ad aiutarmi.



Concordo sul fatto che magari il router potrebbe continuare a bloccare ICMP.
Però se i pacchetti ipsec arrivano al peer, questi poi li instrada in base 
alle regole
di routing impostate su quel tunnel, e su questo non c'è santo che tenga 
perchè
così dice il protocollo IPsec. Quindi se il router ha un nat M-1 sulla rete 
impostata
nella vpn e il pacchetto ipsec è indirizzato a quella rete e il routing su 
quel tunnel
dice di mandare i pacchetti a quella rete il pacchetto deve arrivare.
L'unico dubbio che ho, sono le regole del firewall.
Ho controllato i tuoi parametri e mi sembrano ok, il peer remoto non da 
messaggi
di pacchetti rifiutati? Puoi loggare tutto, cioè anche i pacchetti allowed? 
Se si fallo
così vedi se il pacchetto arriva al peer remoto.
Facci sapere. 

 Facci sapere.
Ho fatto come diceva Macs: ho scritto le policy le ho abilititate per la
lan e per la wan (opzione 3 del menu zyxel e 11)
Ho tolto il famoso nat. Il firewall credo sia disabilitato, controllo e
controllo se posso loggare i pacchetti: a questo punto mi rimane un dubbio
forse non posso far finta che l'indirizzo dinamico sia statico. Noto una
differenza quando guardo lo status dei due router:
- quello con il vero indirizzo statico ha 
  address 80.xxx.xxx.232
  SUBNET  0.0.0.0
  default gateway 80.xxx.xxx.232
mentre quello con il finto indirizzo statico ha:
  address 82.51.167.108
  subnet 255.255.255.255
  default gateway N/A
Anche se non credo conti: l'indirizzo dei due router in quel momento č
quello.
Lavoro su i log
Grazie


 Lavoro su i log
Il fatto che l'indirizzo non sia statico ma dimamico potrbbe darti
un problema quando il router si disconnette e poi si riconnette
prendendo un altro ip allora li il tunnel non andrà più su, ma ti basterà
cambiare l'ip del peer con quello nuovo.
In ogni caso, il pubblico 80.xxx.xxx.232 riesci a pingarlo? Perchè se non
pinga nemmeno quello allora significa che sicuramente il firewall è su.
Ciao!

> Lavoro su i log
Niente. I log del router non controllano il traffico dei pacchetti. Credo
che non mi resti che trovare un adsl con indirizzo statico "vero" per fare
il test e riprovare. Oppure c'č qualche software che puň aiutarmi a capire
dove sto sbagliando?
Certo sono scoraggiato: dovrebbe essere una cosa abbastanza semplice
invece ci sto lavorando su da un sacco di tempo....
Grazie infinite


 Ciao!
Si, si, lo amministro anche remotamente. Non risco propio a capire dove
sbaglio, c'è qualche strumento che mi può aiutare?


TROVATO!!! Se abilito sul router a il nat full feature, le reti non si
vedono tra di loro. Se lo disabilito funziona tutto. Ma il router A serve
la sede che ha dei server nattati, come risolvo? E poi perchč fa cosě?


 pubblico con finale .236, non siano instradati sulla VPN.
Ho trovato!! Togliendo la regola sul nat per cui tutti i pc uscivano con
il 236 non č servito a niente ma disabilitando il nat full feature tutto
funziona. Come mai? E (come dicevo a Danny) ho dei server nattati su
questo router, come posso risolvere?
Grazie
