Newsgroup: it.comp.reti.ip-admin
Titolo: IP Protocol 47 (GRE) per VPN su WIN2K Server

come da oggetto, sto cercando di impostare una vpn su un windows 2000
server. ho aperto le porte necessarie . purtroppo non riesco a capire come
abilitare "IP Protocol 47 (GRE)" . sto cercando sul web per avere
informazioni, ma l'unica cosa che ottengo sono dettagli tecnico/teorici sul
funzionamento del protocollo e non si dice nulla su come lo si abiliti su
di un router o su un firewall. 
potreste darmi una dritta per cortesia?
grazie davvero a tutti coloro che mi risponderanno,
Fabio

 di un router o su un firewall. 
Beh, che intendi per 'abilitare'?
E su che piattaforma?
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

 E su che piattaforma?
nelle indicazioni di configurazione del vpn server su windows 2000 server
si fa riferimento  al protocollo "IP Protocol 47 (GRE)" . sempre nelle
indicazioni tale protocollo è richiesto per il corretto funzionamento di
una vpn. purtroppo io non so come lo si abilita su di un firewall o su di
un router o modem. esistono dei comandi per verificare se tale protocollo è
attivo? 
nb: il server vpn è sul pc che gira con win 2k server, la connetivita
avviene con modem interno wisecom adsl, la protezione delle porte è gestita
da kerio winroute 6.x .
grazie per l'interesse,
Fabio

 da kerio winroute 6.x .
per il winroute,
http://support.kerio.com/?_a=knowledgebase&_j=questiondetails&_i=61
il GRE è il protocollo 47.

 Fabio
Ho lo stesso problema ed ho seguito le indicazioni del documento al link
http://www.microsoft.com/italy/technet/itsolutions/network/installazionevpn
.
mspx
che è più immediato del classico 308208 che contestualizza maggiormente i
concetti sintetizzati nel link indicato. Ho posto al docente MCT che tiene
il corso MCSE che sto seguendo in questo periodo la domanda su cosa
significa consentire al "..protocollo IP con ID 47.." di passare attraverso
un fw o un router e la risposta è stata che basta aprire la porta
specificata e consentire il transito dei pacchetti TCP per ottenere il
risultato voluto, dato che esistono non molti modelli di router in
particolare che consentono una granularità dei filtri a livello di ID del
protocollo.
In sostanza dovrebbe essere sufficiente aprire la porta TCP 1723 per
ottenere l'effetto di par passare il tunnel VPN attraverso fw e router.
Ovviamente se il protocollo di encription è L2TP è necessario aprire la
porta UDP 500 piuttosto che la TCP 1723.
Non ho ancora avuto il tempo di fare una prova pratica, ma entro sabato
credo di poter verificare, per cui in seguito potrò relazionarti, se vuoi,
circa quanto è successo.
Bye
Fox

 risultato voluto
E questo sarebbe un docente?
Rotfl.
Prova a chiedergli cosa fare in caso di router che faccia anche NAT/PAT,
che mi scappa da ridere...<g>


 che mi scappa da ridere...<g>
A questo punto mi sorge una domanda  :-)
Visto che ip_gre, a quanto mi e' sembrato di capire adesso, opera
a livello di tipo di datagramma IP (id 47), e visto che ho due
macchine linux fra cui e' instaurato un tunnel ip_gre, che implicazioni
hanno i filtraggi iptables? (se ne possano avere...: io per sicurezza ho
aperto totalmente l'input fra le due macchine; contingentemente, non ho
avuto il tempo per fare dei test piu' approfonditi).
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 hanno i filtraggi iptables?
Domanda legittima.
Sulle interfacce "madri" (ethernet o quel che l'è), dobbiamo ovviamente
accettare il protocollo sudetto:
iptables -A INPUT -i $mother_dev -p 47 -s $other_endpoint -j ACCEPT
Il kernel accettera quindi i datagrammi gre, provvederà a decapsularli
e passerà il tutto all'interfaccia tunnel (la chiamo gre0 per comodità)
A quel punto saremo di fronte a 'normali' datagrammi ip sull'interfaccia
gre0 e potremo filtrare e manipolare come al solito: se i pacchetti sono
destinati alla box locale, si lavora su INPUT; se sono destinati altrove,
si lavora in FORWARD eccetera.
Ho ben interpretato la tua domanda o volevi sapere altro?
P.S.
Da grande voglio fare il veggente: sei toscano, per caso?
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 Da grande voglio fare il veggente: sei toscano, per caso?
Sardo. Toscana e' la mi' mamma.  ;-)


 Perfattamente, ti ringrazio.
Confermo: abilitato l'input nei due endpoint per il solo
protocollo 47, funzia tutto regolare. TNX.   :-)
bye G.L.


Ritengo che il docente abbia dato una risposta al mio livello di
comprensione dell'argomento che non è sicuramente elevato, per cui ha
sicuramente approssimato qualcosa; inoltre è pur sempre un professionista
che lavora nel campo e ha ricevuto da me una richiesta che esulava
decisamente dall'argomento da trattare e lo spingeva a dare una consulenza
che andava oltre la sua funzione.
In ogni caso io ho seguito le sue indicazioni e sono riuscito ad arrivare da
remoto vin Internet sulla macchina server per la VPN attraversando Kerio
Winroute dal versante client e un router D-Link DSL-500 sul versante server
e tutto questo semplicemente mappando le porte TCP 1723 e UDP 500 sia su
Kerio che sul D-Link. Sicuramente i componenti (hw e sw) che ho citato non
sono assolutamente paragonabili con nomi ben più blasonati che producono
componenti decisamente più sofisticati e complessi, ma è sempre opportuno
adeguarsi al livello di tutela e protezione necessario e/o richiesto dalla
committenza o, come nel mio caso, si deve fare di necessità virtù
nell'utilizzare le risorse di cui si dispone per arrivare a capirci qualcosa
in più.
Quindi in definitiva niente mi ha richiesto ulteriori specifiche riguardo
all'ID del protocollo (47 o altro), per cui sono comunque riuscito ad
arrivare dal client su server VPN.
Purtroppo mi sono fermato alla soglia del server, nel senso che non ho
potuto accedere alle risorse del server sicuramente per problemi di
configurazione del RAS di WIN2000 Server. Ritengo che altre considerazioni a
proposito della configurazionew di questo componente ci porti lontano dal
topic del gruppo, per cui non procedo oltre anche se mi interessa il
conforto di quanti hanno puù esperienza di me sia a proposito della
configurazioen di RAS per le VPN che a proposito dell'allineamento con il
topic del gruppo.
Sono sicuro di essere arrivato dal client remoto (front-end aziendale verso
Internet) sul server perchè ho sniffato i pacchetti in arrivo sul server VPN
all'interno della mia rete domestica, quindi a valle del DSL-500, e ho
verificato la presenza di pacchetti si SYNC fra IP internoi del server e IP
pubblico del client. Oltre non sono riuscito ad andare perchè sicuramente
non ho gestito correttamente le impostazioni di routing di RAS per quanto
riguarda le VPN e devo, evidentemente, studiare ancora l'argomento.
Tuttavia un riferimento al proto 47 l'ho trovato all'interno di RAS:
Installando un server VPN il RAS di W2KServer imposta automaticamente per
l'interfaccia assegnata alla VPN delle regole di accesso che droppano tutti
i pacchetti che non riguardano la comunicazione VPN. Per consentire il
passaggio di altri pacchetti ' necessario modificare tali regole e
trafficando a riguardo ho notato che impostando una regola sulla porta 1723
TCP automaticamente viene settato l'ID 47 in uno specifico campo. Non ho
approfondito poichè ho capito che necessita una analisi sistematizzata delle
possibilità di RAS prima di trarre conclusioni definitive.
Grazie per l'attenzione e accetto consigli e indicazioni in genere, dato che
seguo con interesse il gruppo da quasi un anno, ma ho postato molto
raramente perchè non ne ho la pratica necessaria.
Bya
Fox