Newsgroup: it.comp.reti.ip-admin
Titolo: opinione su configurazioni VPN

Ciao a tutti,
riposto una domanda già fatta su i.c.o.linux.sys, ma che non ha avuto
gran seguito :D
Ultimamente mi capita sempre più spesso di ricevere richieste da clienti
e partner per mettere in piedi delle VPN il cui endpoint privato ha in
realtà un ip pubblico.
Io cerco sempre di evitare, perché, a logica, se la VPN cade, il
traffico in teoria dovrebbe cominciare a ruotare su Internet senza
cifratura, a meno di imbastire un qualche tipo di blocco sul gw...
E' così comune questa configurazione? E' comunque corretta e sono io che
mi faccio troppe paranoie?
Lato mio uso solitamente Openswan. Dall'altra parte il 99% delle volte
usano Cisco.

 cifratura, a meno di imbastire un qualche tipo di blocco sul gw...
Le policy si fanno con i firewall, non con il NAT.
Ciao,
-- 
  Daniele Orlandi							つづく

 Le policy si fanno con i firewall, non con il NAT.
Ma io non natto nulla :)
Io dico che se a me, per qualche assurda ragione, muore il demone ipsec,
questo si trascina le rotte (che instradano nel tunnel).
Per evitarlo devo filtrare tutto il traffico NON esp verso quella
destinazione (che ricordo essere un ip pubblico...), in modo che la
morte del tunnel non permetta al traffico di uscire su internet (e
quindi, come dici giustamente tu, devo ampliare le policy esistenti).
Non voglio fissarmi sulle parole, ma se è virtual PRIVATE network, mi
sembra illogico mettere su un ip pubblico un endpoint che non dovrebbe
essere direttamente raggiungibile dall'esterno, pur filtrandolo con
adeguate policy.
Poi per carità, se è pratica comune, mi metto l'animo in pace e mi adeguo :)

 sembra illogico mettere su un ip pubblico
Un indirizzo univoco a livello globale non è tanto diverso da un indirizzo 
univoco a livello locale.
Hai pensato come farai con IPv6?



L'endpoint, se non stiamo parlando di una vpn all'interno di un'altra
vpn, è sempre e solo un ip pubblico, se il traffico privato (inquanto
all'interno della vpn i pc lavorano usando gli ip privati) ad un certo
punto viene bloccato per la caduta del demone (come dici tu) in
pratica perdi le connessioni, a questo punto il tuo endpoint inizia ad
inviare il tentativo di instaurare la connessione attraverso il tuo
gateway ma usando degli ip privati come destination, in pratica non
rischi niente perchè il tentativo di connessione viene bloccato dal
primo router dell'ISP, i pacchetti hanno come destinazione un ip
privato e non vengono inoltrati ai successivi router.
Durante questa fase in pratica non c'è invio di informazioni ma solo
il tentativo di negoziare una connessione che non può attivarsi.
Allo stesso modo se invece è l'endpoint remoto a cadere quando il tuo
tenta di instaurare la vpn puntando all'ip pubblico remoto non essendo
in grado di farlo tutti i pacchetti con destination la subnet remota
vengono droppati.
Ciao
Ciao

 :)
Una ragione c'è.
Se tu usi LAN private come "encryption domain" può capitare (a me è 
successo) di avere due clienti che utilizzano lo stesso indirizzamento.
In quel caso come fai? O NATti gli indirizzi a valle della VPN o chiedi a 
uno dei clienti di cambiare il proprio indirizzamento.
Usando subnet o indirizzi pubblici anche come "encryption domain", eviti di 
dover pensare all'indirizzamento privato degli altri, in quanto sei sicuro 
che nessuno avrà il tuo stesso IP pubblico.