Newsgroup: it.comp.reti.ip-admin
Titolo: Comportamento VPN estremamente anomalo

Ciao a tutti,
ho un problema veramente strano.
Ho due cisco 2600 in due uffici remoti che tra di loro fanno una vpn. Tutto
sembra funzionare: pingo tutto, telnetto tutto ma ho dei problemi con l'ssh.
Nel sito remoto ho svariati server linux quando mi collego in ssh a questi
server riesco a navigare tra le directory ma nel momento in cui faccio un
qualsiasi ls mi si blocca la connessione e non posso che chiudere il putty.
Se mi ricollego allo stesso server succede sempre la stessa storia.
Qualcuno potrebbe dire: č colpa del server! Credo di no perchč questo
comportamento anomalo si verifica su piů server linux e in piů uno di questi
server in oggetto č equipaggito con una scheda con ip pubblico; quando
faccio ssh sull'ip pubblico tutto funziona alla meraviglia!
Ho provato un debug de ltraffico criptato sui router ma non ho avuto nessuna
indicazione.
Qualcuno sa suggerirmi qualcosa?
Grzie!
Ginevra J.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Grzie!
Hai lo stesso fornitore di connettività per entrambe le sedi?
Io ho avuto dei fenomeni ai confini del paranormale con una VPN tra albacom 
e fastweb.
Del tipo che facendo ftp riuscivo a listare i file delle cartelle che non 
avevano più di X (non ricordo il numero esatto) files all'interno, mentre se 
superavano quel numero si paintava tutto inesorabilmente.


Io lavoro all'estero e comunque i fornitori sono diversi
Anch'io facendo ad esempio un ls "corto" funziona, facendo un ls con output
lungo si pianta.
Ma poi come hai risolto?
Grazie


 faccio ssh sull'ip pubblico tutto funziona alla meraviglia!
Secondo me e' un problema di MTU/MRU/MSS nel passaggio dal tunnel vpn
alla lan e viceversa. Per accertarti di cio' potresti provare ad
abbassare a 1400 la mtu della scheda di rete sul pc client e sul server:
se vedi che va bene, giri il problema al fornitore di connettivita', in
modo che configuri adeguatamente i router al fine di ovviare al
problema. In una vpn che ho realizzato usando come terminatori due
macchine linux, ho dovuto impostare una regola iptables specifica per
evitare problemi del genere.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

MTU
verifica cambiando l'MTU
io avevo/ho problemi simili su una linea, se lascio l'MTU standard a
1500, non funziona, si blocca, se porto l'MTU a 1300, la linea
riprende vita.
prova Ciao

In effetti ho risolto anche io nel modo descritto da Renaissance ed elPie
ciao 

Vi vedo tutti unanimi sull'mtu! Ok, ma come lo cambio su di un'interfaccia
adsl? Ho provato sulla atm0/0, su quella atm0/0.1 e sulla Dialer1; faccio
l'up/down ma non cambia mai!
Grazia ancora,
Ginevra J.

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 l'up/down ma non cambia mai!
IMHO non e' li' che devi intervenire: il tunnel vpn ha un overhead che 
comporta una MTU minore di un certo tot rispetto alla MTU della adsl,
se vai a ridurre l'mtu dell'adsl il problema permane (e forse riduci
anche le prestazioni).
il problema e' che, non vorrei sbagliarmi, se non viene imposta una
negoziazione MSS o un aggiustamento dell'MTU, nel caso in cui i
pacchetti debbano transitare per il tunnel, si verifica il problema.
Il router di certo opera cio' dall'ethernet (1500) all'adsl (metti
1454), ma magari NON lo fa dall'ethernet all'adsl al tunnel vpn, e da
qui cominciano i guai...


 Vi vedo tutti unanimi sull'mtu! Ok, ma come lo cambio su di un'interfaccia
Vedi un po' se questo ti puo' essere d'aiuto:
http://www.cisco.com/en/US/tech/tk583/tk372/technologies_tech_note09186a00800949c5.shtml#tunnelup


 ha scritto:
Ma allora c'è un modo di modificare l'mtu passante per il tunnel criptato?
Ginevra J.

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Inviato via 
http://arianna.libero.it/usenet/
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCrcUuuxRXtjsR9sRA9PXAKDbDHDklo0zvJO2jUw6g6iBMfVmlACfWDoK
ZB2s2dklMbmTbTNDzBEOzPM=
=xI97
-----END PGP SIGNATURE-----

 Ma allora c'è un modo di modificare l'mtu passante per il tunnel criptato?
ciao, avevo un prob simile quando entravo in VPN da un client linux.
Ho abbassato l'MTU della mia eth0 e tutto e' andato a posto: e' la
sorgente dei frame che deve farli piccoli abbastanza in modo che i
successivi step non li frammentino "rompendoli" ;)
-- 
Tinto

Ciao ti posto la mia config:
Current configuration : 9765 bytes
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname router
!
boot-start-marker
boot-end-marker
!
logging buffered 52000 debugging
enable secret 5 XXXXXXXXXXXXXXXXXXXXXX
enable password XXXXXXX
!
username user privilege 15 password 0 XXXXXXX
clock timezone PCTimeZone 1
clock summer-time PCTimeZone date Mar 30 2003 2:00 Oct 26 2003 3:00
no aaa new-model
ip subnet-zero
!
!
!
!
ip audit notify log
ip audit po max-events 100
clns routing
no ftp-server write-enable
!
!
!
!
!
!
!
!
!
!
!
!
!
!
crypto isakmp policy 15
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 30
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 32
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 35
 hash md5
 authentication pre-share
 group 2
crypto isakmp key mcXXXXXXXXXXXXXn address XXX.XXX.XXX.XXX
crypto isakmp key 1XXXXXXXXXXXp address XXX.XXX.XXX.XXX
crypto isakmp key sXXXXXXXXXXXXj address XXX.XXX.XXX.XXX
crypto isakmp key AxXXXXXXXXXXXXX8 address XXX.XXX.XXX.XXX
crypto isakmp key mxXXXXXXXXXXXXXXXn address XXX.XXX.XXX.XXX
crypto isakmp key MXXXXXXXXXXXXXXXXXXM address XXX.XXX.XXX.XXX
crypto isakmp key NXXXXXXXXXXXXXXX@c address XXX.XXX.XXX.XXX
crypto isakmp key MXXXXXXXXXXXXXXXXXXl address XXX.XXX.XXX.XXX
crypto isakmp key AXXXXXXXXXXXXXXXXX8 address XXX.XXX.XXX.XXX
crypto isakmp key sXXXXXXXXXXXXXXXXXXXXXXXXXl address XXX.XXX.XXX.XXX
crypto isakmp key !XXXXXXXXXXXXXXXX! address XXX.XXX.XXX.XXX
!
crypto isakmp peer address XXX.XXX.XXX.XXX
 description CW
!
!
crypto ipsec transform-set 3des_md5 esp-3des esp-md5-hmac
crypto ipsec transform-set SDM_TRANSFORMSET_1 esp-3des esp-sha-hmac
crypto ipsec transform-set 3des_md5bis esp-3des esp-sha-hmac
crypto ipsec transform-set des_md5 esp-des esp-md5-hmac
!
crypto map XXXX 10 local-address FastEthernet0/0
crypto map XXXXX 10 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set security-association lifetime seconds 10800
 set transform-set 3des_md5
 set pfs group2
 match address 140
crypto map XXXXX 11 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 match address 101
crypto map XXXXX 20 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 set pfs group2
 match address 120
crypto map XXXXX 30 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 set pfs group2
 match address 130
crypto map XXXXx 40 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set security-association lifetime seconds 28800
 set transform-set 3des_md5
 set pfs group2
 match address 160
crypto map XXXXX 50 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 match address 180
crypto map XXXXX 51 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 match address 190
crypto map XXXXX 55 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set des_md5
 match address 195
crypto map XXXXX 57 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5bis
 set pfs group2
 match address 196
crypto map XXXX 58 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5bis
 match address 197
!
!
!
!
!
!
!
interface Tunnel1
 ip address 192.168.252.5 255.255.255.252
 tunnel source 194.X.X.X
 tunnel destination XXX.XXX.XXX.XXX
 tunnel checksum
!
interface ATM0/0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0/0.1 point-to-point
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
!
interface FastEthernet0/0
 description $FW_OUTSIDE$$ETH-WAN$Wan outside interface
 ip address XXX.XXX.XXX.XXX 255.255.255.0
 ip nat outside
 speed auto
 half-duplex
 no mop enabled
 crypto map mctel
!
interface FastEthernet0/1
 description $FW_INDISE$$ETH-LAN$LAN inside interface
 ip address 192.168.1.100 255.255.255.0
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 speed auto
 full-duplex
!
interface Ethernet1/0
 no ip address
 shutdown
 half-duplex
!
interface Ethernet1/1
 description $ETH-LAN$Frame Relay
 ip address 192.168.5.2 255.255.255.0
 ip nat outside
 half-duplex
!
interface Ethernet1/2
 no ip address
 shutdown
 half-duplex
!
interface Ethernet1/3
 description $ETH-LAN$
 ip address 192.168.2.111 255.255.255.0
 ip nat outside
 half-duplex
!
interface Dialer1
 description link ADSL
 ip address XXX.XXX.XXX.XXX 255.255.255.0
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication chap pap callin
 ppp chap hostname user@provider
 ppp chap password 0 passwd
 ppp pap sent-username user@provider password 0 passwd
!
ip nat inside source route-map SDM_RMAP_1 interface FastEthernet0/0 overload
ip nat inside source static tcp 192.168.1.250 XXX.XXX.XXX.XXX 80 extendable
ip nat inside source static tcp 192.168.1.93 10000 XXX.XXX.XXX.XXX 10000
extendable
ip nat inside source static tcp 192.168.1.93 10001 XXX.XXX.XXX.XXX 10001
extendable
ip nat inside source static tcp 192.168.1.93 11000 XXX.XXX.XXX.XXX 11000
extendable
ip nat inside source static tcp 192.168.1.93 11001 XXX.XXX.XXX.XXX 11001
extendable
ip classless
ip route 0.0.0.0 0.0.0.0 194.5.73.129 permanent
ip route 10.15.0.0 255.255.0.0 Tunnel1
ip route 10.16.0.0 255.255.0.0 Tunnel1
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route XXX.XXX.XXX.XXX 255.255.254.0 XXX.XXX.XXX.XXX
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route 192.168.0.0 255.255.255.0 192.168.1.250
ip route 192.168.1.0 255.255.255.0 FastEthernet0/1
ip route XXX.XXX.XXX.XXX 255.255.255.0 FastEthernet0/0
!
ip http server
ip http authentication local
ip http secure-server
!
!
access-list 100 remark SDM_ACL Category=4
access-list 100 remark IPSec Rule
access-list 100 permit ip 192.168.1.0 0.0.0.255 10.0.16.0 0.0.15.255
access-list 101 remark SDM_ACL Category=4
access-list 101 remark IPSec Rule
access-list 101 permit ip 192.168.1.0 0.0.0.255 host 10.0.17.22
access-list 101 permit icmp 192.168.1.0 0.0.0.255 host 10.0.17.22
access-list 101 permit ip 192.168.1.0 0.0.0.255 host 10.0.17.21
access-list 101 permit icmp 192.168.1.0 0.0.0.255 host 10.0.17.21
access-list 102 remark SDM_ACL Category=4
access-list 102 remark IPSec Rule
access-list 102 permit ip 192.168.1.0 0.0.0.255 XXX.XXX.XXX.XXX 0.0.1.255
access-list 102 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 105 permit ip any any
access-list 120 permit ip host XXX.XXX.XXX.XXX XXX.XXX.XXX.XXX 0.0.0.15
access-list 120 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 130 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 130 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 130 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 140 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 remark SDM_ACL Category=18
access-list 150 remark IPSec Rule
access-list 150 deny ip 192.168.1.0 0.0.0.255 host 10.0.17.22
access-list 150 deny ip any any
access-list 150 deny ip 192.168.1.0 0.0.0.255 10.0.16.0 0.0.15.255
access-list 150 deny ip 192.168.1.0 0.0.0.255 XXX.XXX.XXX.XXX 0.0.1.255
access-list 150 deny ip host XXX.XXX.XXX.XXX host 192.168.0.1
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX XXX.XXX.XXX.XXX 0.0.0.15
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 permit ip host 192.168.1.38 XXX.XXX.XXX.XXX 0.0.0.15
access-list 150 permit ip 192.168.1.0 0.0.0.255 any
access-list 150 permit tcp host 192.168.1.11 host XXX.XXX.XXX.XXX
access-list 150 permit tcp host 192.168.1.20 any
access-list 150 deny ip 192.168.1.0 0.0.0.255 XXX.XXX.XXX.XXX 0.0.0.15
access-list 150 deny tcp host 192.168.1.11 any
access-list 160 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 160 permit ip host XXX.XXX.XXX.XXX host 192.168.0.1
access-list 170 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 170 permit ip 192.168.1.0 0.0.0.255 host XXX.XXX.XXX.XXX
access-list 180 permit ip host 192.168.1.93 host 10.10.10.1
access-list 180 permit icmp host 192.168.1.93 host 10.10.10.1
access-list 180 permit ip host 192.168.1.85 host 10.10.10.1
access-list 180 permit icmp host 192.168.1.85 host 10.10.10.1
access-list 180 permit ip host 192.168.1.32 host 10.10.10.1
access-list 180 permit icmp host 192.168.1.32 host 10.10.10.1
access-list 190 permit ip host 192.168.1.93 host XXX.XXX.XXX.XXX
access-list 190 permit icmp host 192.168.1.93 host XXX.XXX.XXX.XXX
access-list 190 permit ip host 192.168.1.85 host XXX.XXX.XXX.XXX
access-list 190 permit icmp host 192.168.1.85 host XXX.XXX.XXX.XXX
access-list 190 permit ip host 192.168.1.32 host XXX.XXX.XXX.XXX
access-list 190 permit icmp host 192.168.1.32 host XXX.XXX.XXX.XXX
access-list 195 permit ip host 192.168.1.93 10.77.36.0 0.0.0.255
access-list 196 permit ip 192.168.1.0 0.0.0.255 10.0.10.0 0.0.0.255
access-list 197 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 197 permit icmp 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
dialer-list 1 protocol ip list 105
snmp-server community public RO
snmp-server enable traps tty
!
route-map SDM_RMAP_1 permit 1
 match ip address 150
!
!
!
control-plane
!
!
!
!
!
!
!
!
!
line con 0
line aux 0
line vty 0 4
 privilege level 15
 password XXXXXXXXXXXXXXXXX
 login local
 transport input telnet ssh
!
!
!
end
Grazie ciao!


 successivi step non li frammentino "rompendoli" ;)
Questo e' un modo, utile anche per fare un test, ma per evitare di
operare su una moltitudine di client, e' certo meglio risolvere il
problema sul router.  :-)


 problema sul router.  :-)
infatti lo intendevo come "prova" che la causa e' l'MTU, poi e' chiaro
che se i client sono millle uno si ingegna ;)
-- 
Tinto

OK risolto grazie al prezioso aiuto di Hartigan.
E' stato "sufficiente" utilizzare il seguente comando sui due routers:
crypto ipsec df-bit clear
Grazie comunque a tutti per l'aiuto.
Ginevra J.

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/