Newsgroup: it.comp.reti.ip-admin
Titolo: accesso a server VPN da Fastweb e più in generale da client dietro NAT:ennesima richiesta di aiuto

il problema è già stato posto ma ho bisogno di ulteriori informazioni. Si
tratta dell'impossibilità di accedere dal mio collegamento fastweb
residenziale ad una rete vpn basata su windows 2000 server. Il client è
windows XP, posto che collegandomi a internet con un modem funziona
perfettamente.
Mi sono letto un bel pò di news e FAQ e ho capito che il problema dipende
dalla presenza di un "NAT" che maschera il mio ip, ma che è aggirabile
sostanzialmente in tre modi (esclusa ovviamente la possibilità di utilizzare
LINUX che invece pare risolva il problema brillantemente):
1) utilizzando PPTP invece di L2TP: io ho provato, in effetti si connette, e
poi mi dà un errore di "impossibilità di negoziare il protocollo", ripeto
che via modem funziona
2) utilizzando L2TP "senza IPsec": non ho provato ma non mi piace perchè mi
sembra di capire che così i dati viaggiano in chiaro: mi piacerebbe avere
conferma di ciò, perchè se il problema fosse invece una crittazione meno
forte potrei accettare il rischio, la mia azienda non è la CIA
3) "Incapsulamento dei pacchetti protetti da IPSec come messaggi UDP",
funzione supportata ad esempio da 'Microsoft L2TP/IPSec VPN Client": il
problema è che con mio grande disappunto NON è installabile su windows
2000/XP, in quanto questi ultimi hanno già integrato un client VPN che però
non prevede la possibilità di "bucare" il NAT, previsto in un futuro
aggiornamento...
In merito al punto 3) che mi sembra il più interessante perchè non costringe
a cambiare configurazioni vorrei sapere se qualcuno è a conoscenza di un
sistema per installare ugualmente il client anche su XP, oppure di qualche
prodotto di terze parti che fornisca questo servizio, o ancora se l'uscita
di questo aggiornamento sia prevista a breve. Ogni altro consiglio o
informazione è comunque gradita
Ringrazio anticipatamente

 "Incapsulamento dei pacchetti protetti da IPSec come messaggi UDP"
Soluzioni NAT Traversal/UDP encapsulation infatti consentono a client
VPN dietro hidden/dynamic NAT la connessione -> Microsoft consente pero'
(come tu stesso hai citato) tale funzionalita' solo al client per OS
Windows98/ME/NT4 .
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.ingegneria.meccanica <|
|>Togli/Remove .INVALID<|> NEWS: free.it.tlc.provider.fastweb <|

Grazie per la rapidissima risposta.
Premetto che non ho molta dimestichezza con IPsec, certificati, ecc, infatti
pur leggendo la FAQ non sono riuscito ancora a capire se il metodo L2TP con
Pre-shared key consenta di far viaggiare comunque i dati in modo crittato.
In tal caso sarebbe accettabile per le mie esigenze e passerei subito a
studiarmi tutta la documentazione relativa.

 aggiornamento...
<snip>
Puoi dare un'occhiata a CIPE
http://sites.inka.de/sites/bigred/devel/cipe.html
che "gira" sia su Win32 (NT/2000/XP) sia su *nix (varie versioni) e dovrebbe
fare al caso tuo ... o almeno credo; io personalmente l'ho usato (e lo sto
usando) in diverse situazioni e finora non mi ha creato problemi, ovvio che
non è allo stesso livello di una VPN "piena", ma per applicazioni che non
prevedano l'accesso ai dati della CIA :-) penso che possa andare ... inoltre
è piuttosto veloce il che non guasta !
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

Avevo già visionato il sito ma purtroppo non è compatibile con XP. Grazie
comunque


 comunque
Hm ... beh, per il lato server non dovrebbe essere un problema dato che
se hai una LAN puoi benissimo installare un win2000 come CIPE gateway
il problema in effetti lo avresti sui client ... hmm ..  e se mettessi tutto
in tunnel
usando SSH ? Potresti ad esempio usare 
http://www.openssh.org/
 come
base e poi "costruirti" il mapper ...

 e se mettessi tutto in tunnel usando SSH ?
La soluzione PPP over SSH funziona con connessioni residenziali/SOHO FW
tuttavia l'incapsulamento TCP over TCP puo' non essere considerato come
ottimale in quanto e' soggetto a problemi di perdita/ritrasmissione dei
pacchetti e a cadute della connessione come spiegato su :
==
- 
http://sites.inka.de/sites/bigred/devel/tcp-tcp.html
La soluzione CIPE opensource tramite tunneling dei pacchetti IP in UDP
datagrams e' una buona soluzione funzionante, permane pero' il fatto che
il porting 
http://cipe-win32.sourceforge.net/
 non funziona su client XP.
Per questa ragione la soluzione L2TP + pre-shared key su piattaforma
2000/XP puo' essere il compromesso migliore per la situazione di GG,
tenendo conto del fatto che e' possibile definire il protocollo di
autenticazione (CHAP/MS-CHAP/V2) proteggendo la password di connessione.
Unico punto debole e' la diminuzione del livello di sicurezza usando una
pre-shared key invece di una chiave IKE creata in automatico per la
negoziazione del livello di protezione del tunnel L2TP.



Scusa se mi ripeto, ancora non sono riuscito a capire se la soluzione
pre-shared key protegge anche i dati oltre che la passvord, ossia i dati non
viaggiano in chiaro, vorrei una conferma prima di mettermi a studiare la
documentazione M$

 studiare la documentazione M$
I dati viaggerebbero in chiaro solo se decidessi di non utilizzare la
pre-shared key -> in caso contrario, avresti comunque una policy IPSec
"indebolita" dall'uso di una chiave pre-condivisa per le ragioni esposte
nell'articolo della Knowledge Base MS :
==
- 
http://support.microsoft.com/default.aspx?scid=kb;EN-US;240262
==
citato peraltro nelle FAQ indicate.


 nell'articolo della Knowledge Base MS :
grazie mille per le preziose informazioni, IPSec "indebolito" mi sembra un
compromesso accettabile ora vado a studiare

 2000/XP puo' essere il compromesso migliore per la situazione di GG,
Beh .. si e no, la preshared key č il punto debole di tutta la struttura, se
qualcuno si mette a sniffare il traffico potrebbe riuscire a beccare la key
ed a decrittare/vedere in chiaro tutto il traffico, non solo, un'attacco del
tipo "man in the middle" diventa molto piů semplice in questo caso !!

 beccare la key ed a decrittare/vedere in chiaro tutto il traffico
Infatti la scelta della key non e' cosa da poco -> io consiglio di
appoggiarsi ad un certificato fornito dalla Thawte, soprattutto per 
minimizzare i costi (altro motivo per cui MS non appoggia la soluzione).



Dunque la pre-shared key viene trasmessa in chiaro su internet? e nel caso
avviene una sola volta o tutte le volte che si stabilisce una connessione?