Newsgroup: it.comp.reti.ip-admin
Titolo: [LUNGO] VPN tra 2 IPCop 1.4.11 dietro nat

provo a chiedere aiuto dopo aver tentato da solo in tutte le maniere....
vorrei configurare una VPN con preSharedKey.
Il problema è lo IKE: Con "ipsec barf" trovo "No accetable response to our 
first IKE message".
ho 2 ip dinamici, su ciascun lato c'è un modem adsl (uno zyxel prestige 650h 
e un usrobotics adsl2 ethernet router 9112) che fa il NAT dell' indirizzo 
pubblico e ad esso è collegato un IPCop in DMZ:
lan1===ipcop1---gw1 .....internet.....gw2---ipcop2===lan2
Ho modificato ipsec.conf manualmente in questo modo:
per left: 
||    per right
 
                                                           ||
conn nomeconnessione 
||      conn nomeconnessione
    left = 192.168.254.254                         # ip interfaccia RED di 
ipcop1              ||           left = 192.168.254.254 
# ip interfaccia RED di ipcop1
    leftnexthop =192.168.254.1                # ip privato di gw1 
||           leftnexthop =
xyz.domain.com
              # indirizzo dyndns di 
gw1
    right = 192.168.253.254                        #ip interfaccia RED di 
ipcop2              ||            right = 192.168.253.254 
#ip interfaccia RED di ipcop2
    rightnexthop = 
abc.domain.com
              #indirizzo dyndns di gw2 
||          rightnexthop = 192.168.253.1             #ip privato di gw2
    leftsubnet = 
192.168.1.0/255.255.255.0
 
||            rightsubnet = 
192.168.123.0/255.255.255.0
    rightsubnet = 
192.168.123.0/255.255.255.0
 
||            leftsubnet = 
192.168.1.0/255.255.255.0
poi ho impostato ipsec.secrets
192.168.254.254 192.168.253.254 : PSK "chiavesegreta"
In questo modo,facendo partire IPSec, riesco a far aggiungere una ROUTE 
corretta, come si vede da netstat -nr (eseguito su ipcop left):
Destination            Gateway            IFace
192.168.1.0            0.0.0.0                eth0
192.168.254.0        0.0.0.0                eth2
192.168.254.0        0.0.0.0                ipsec0
192.168.123.0        192.168.254.1    ipsec0    --->ROUTE ipsec0!!!!!
0.0.0.0                    192.168.254.1    eth2
Con il comando ipsec auto --status si può vedere la riga:
000 "nomeconnessione": 
192.168.1.0/24===192.168..254.254---192.168.254.1....xxx.yyy.zzz.www---192.168.253.254===192.168.123.0/24
dove xxx.yyy.zzz.www corrisponde a 
abc.domain.com
 (dyndns).
Perciò CREDO che la configurazione di rete sia corretta.
Con netstat -an trovo due righe del tipo:
Proto                Local Address                Foreign Address    State
udp    0    0    
192.168.254.254:500
    0.0.0.0:*
udp    0    0    
192.168.254.254:4500
    0.0.0.0:*
e ciò mostra che non c'è connessione sulle porte 500 e 4500 udp.
I 2 ipcop sono in DMZ, i firewall dei modem sono disabilitati, riesco a 
pingare dall' interfaccia GREEN il gw remoto, non so più cosa fare! 

 lan1===ipcop1---gw1 .....internet.....gw2---ipcop2===lan2
Io ci ho provato tanto con uno solo segnmento dietro nat senza successo.
Mi sa che il doppio nat non venga accettato.
L'unico modo che mi funziona da un lato dietro NAT e' uilizzando
IPSEC di XP dove il PC dietro NAT chiama il fw ipcop sul pubblico.
Forse l'unica e' utilizzare i router come Bridge e dare alla RED l'IP
pubblico poi gestisci i numeri IP con dyndns o simili.
Andrea T.


E' proprio quello che vorrei provare adesso.
Prima di smanettare con il modem e riformattare IPCop, vorrei sapere 
(scusate la domanda banale) se basta disabilitare il NAT sul modem per avere 
accesso diretto ad internet.
Se tolgo il NAT, potete dirmi come raggiungo poi la GUI del modem ?
E, per finire, come configuro l' interfaccia RED per Alice Flat ? Come DHCP 
? (Adesso ho protocollo PPPoA).
Grazie 

 DHCP ? (Adesso ho protocollo PPPoA).
Nelle connessioni dovrebbe esserci la possibilita' di fare la connessione in 
PPPoA
con l'invio di username e password. Nella 1.3 che ho provato a casa con il 
modem
Ericsson HM210 mi pareva ci fosse PPPoE e non sono riuscito a farlo andare. 
poi
non ho piu' provato. Al lavoro ho la macchina connessa ad un router con 8 
IP.
Andrea T. 

 in PPPoA
Mi fa scegliere solo tra static, dhcp, pppoe, pptp.
Pero se compro un modem-bridge non importa, perche sara lui a gestire la 
connessione. 

 connessione.
Al modem bridge devi passare username e password, l'unica e' PPPOE che,
per quello che si legge, dovrebbe essere a cambio automatico da centrale, io
pero' non sono riuscito a farlo connettere e il router USR che uso ho dovuto
metterci PPPoA. Non ricordo se ho provato anche PPPoE pero', l'ho
configurato oltre un anno fa.
Andrea T. 

> Il mio USR nel setup in tipo di connessione fa scegliere BRIDGING
ho trovato che il modem funziona oltre che in PPPoE e PPPoA anche come RFC 
1483 (bridging oppure routing): e questo il bridge che mi serve?
Ma la RFC 1483 e un bridge PPPoA mentre IPCOP gestisce solo PPPoE.
Non si puo modificare IPCOP per gestire PPPoA ? 

 Non si puo modificare IPCOP per gestire PPPoA ?
Questo non saprei, l'unica mi sa che sia provare e a vedere se ti funziona
mettendo in bridging e facendo fare la connessione a IpCop.
Andrea T. 

 altra modalita'.
Allora: ci sono riuscito su un IPCop ma non sull' altro.
Con USRobotics 9112 configurato come RFC 1483 Bridging IPCop riesce a 
gestire la connessione PPPoE.
Con uno ZyXel settato sempre su RFC 1483 Bridging e con IPCop configurato in 
maniera analoga all' altro  non riesco a fare la connessione:
      17:14:14 pppd[8426] pppd 2.4.2 started by root, uid 0
      17:14:14 pppd[8426] using channel 17
      17:14:14 pppd[8426] Using interface ppp0
      17:14:14 pppd[8426] Connect: ppp0 <--> /dev/pts/1
      17:14:15 pppd[8426] sent [LCP ConfReq id=0x1 <mru 1492> <magic 
0xc50fc1b8>]
      17:14:49 pppoe[8431] Timeout waiting for PADO packets
      17:14:49 pppd[8426] Script /usr/sbin/pppoe -p /var/run/pppoe.pid -I 
eth2 -T 80 -U -m 1412 finished ( pid 8431), status = 0x1
      17:14:49 pppd[8426] Modem hangup
      17:14:49 pppd[8426] Connection terminated.
      17:14:49 pppd[8426] Exit.
      17:14:49 red: Connectioncheck RED fail to connect

      17:14:49 red: Connectioncheck RED fail to connect
Le prove le hai fatte nella stessa connessione o nelle 2 sedi ?
Non vorrei che in una la centrale gestisca entrambe senza problemi e
l'altra no.
Altra idea: per caso gestisce delle NAT statiche il router ? Forse in quel
modo potrebbe funzionare anche dietro nat, ripeto forse.
Andrea T. 

 modo potrebbe funzionare anche dietro nat, ripeto forse.
Con una route statica cosa dovrei fare ? Non le ho mai usate....

 ha scritto nel messaggio 
news:457fe856$0$19092$4faf...@reader4.news.tin.it...

Dovrebbe far vedere direttamente la macchina come se fosse in pubblico, 
pero'
non so se possa funzionare, c'e' sempre un passaggio in mezzo che forse e' 
di
troppo.
Non riesco a trovare il manuale nel sito della Zyxel, mi pareva che tempo fa 
ci
fossero ho scaricato quello di un 660.
Non so se sia uguale o simile, nel 660 c'e' un menu NAT dove di solito si 
setta
SUA per fare il NAT della LAN, prova FULL FEATURES e editare i dettagli
esce una tabella e edita la prima regola mettendola tipo One-to One e il 
numero
locale l'IP di IpCop.
Non so se possa funzioonare.
Andrea T.
Andrea T.