Newsgroup: it.comp.reti.cisco
Titolo: VPN e linux comportamento molto strano

Ciao a tutti,
ho un problema veramente strano.
Ho due cisco 2600 in due uffici remoti che tra di loro fanno una vpn. Tutto
sembra funzionare: pingo tutto, telnetto tutto ma ho dei problemi con l'ssh.
Nel sito remoto ho svariati server linux quando mi collego in ssh a questi
server riesco a navigare tra le directory ma nel momento in cui faccio un
qualsiasi ls mi si blocca la connessione e non posso che chiudere il putty.
Se mi ricollego allo stesso server succede sempre la stessa storia.
Qualcuno potrebbe dire: č colpa del server! Credo di no perchč questo
comportamento anomalo si verifica su piů server linux e in piů uno di questi
server in oggetto č equipaggito con una scheda con ip pubblico; quando
faccio ssh sull'ip pubblico tutto funziona alla meraviglia!
Ho provato un debug de ltraffico criptato sui router ma non ho avuto nessuna
indicazione.
Qualcuno sa suggerirmi qualcosa?
Grzie!
Ginevra J.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Qualcuno sa suggerirmi qualcosa?
prova ad abbassare l'mtu

La vpn è fatta da un lato su di una connessione adsl. Ho visto che l'mtu per
le interfacce atm0/0 e 0/0.1 sono 4470 ho provato a cambiarle, ho fatto il
down/up ma l'mtu è rimasto invariato. Sono andato sulla Dialer1 e ho visto
che l'mtu è di 1500. Ma bisogna ulteriormente abbassarlo?
Grazie,
Ginevra J.

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 che l'mtu è di 1500. Ma bisogna ulteriormente abbassarlo?
intendevo per l'eth del server

 Qualcuno sa suggerirmi qualcosa?
Allora ho avuto il medesimo problema sia con una vpn gre/ipsec che una
pptp, e alla fine il mio problema era una acl su un router che bloccava
i pacchetti icmp "Packet too big".
Praticamente l'mtu su una vpn, per questioni di header, e' minore
rispetto ai classici 1500 e 1442, dipende da vari fattori.
Per questo di solito lo strato di rete dei due host hanno anche la
capacita' di adattare l'mtu se gli arriva tale segnalazione da parte di
un router...Se gli arriva!
Nel tuo caso probabilmente il problema e' sul router che collega la vpn
alla lan dei server linux oppure sui server ai delle policy di sicurezza
troppo restrittive sull'icmp.Non abbassare l'mtu a manina sulle
interfacce...ci rimetti e basta, sia in performance che in risoluzione
del problema.
Innanzi tutto dovresti dirci che tipo di vpn usano i due 2600 e poi
ci sono alcuni parametri che dovresti verificare sul router.
Qui ti spiega un po' l'andazzo sulle questioni MTU che ho trovato io...
http://alive.znep.com/~marcs/mtu/
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCrCjuuxRXtjsR9sRAzkXAKCHnn2JHCwTwyrI2TXyGlkbG2H27wCg34TP
ovG84BLXU8y15g0SeUEoxJk=
=MUwX
-----END PGP SIGNATURE-----

 del problema.
apprezzo la lunghezza della spiega, il fatto e` che abbassare la mtu e` un
attimo e costa poco rispetto a metter le mani sul tutto (sempre che non si
tratti di jumbo ecc., ma del resto non ha posto i dati) oltre a confermare
che si tratti di un problema di icmp che non passano, la cosa + comune, ma
non capisco quel "ci rimetti in risoluzione del problema" :)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: RIPEMD160

Oggi il problema lo hai con 2 server per esempio, quindi abbassi l'mtu
su due server, ricordandoti ogni volta che riavvii, di cambiare l'mtu o
di impostare al boot di farlo...
Poi un giorno metti un'altro server e ti devi ricordare di fare la
medesima cosa...
A questo punto conviene di piu' una soluzione infrastrutturale e quindi
risolverti le beghe sugli mtu e affini...
Temporaneamente per far andare la cosa lo puoi fare...ma usare la scelta
di abbassare l'mtu sui server come soluzione e' solo una pezza e non
andrebbe considerata come soluzione definitiva...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCt1NuuxRXtjsR9sRAxIIAJ9fKfP458V0ZBOT7woa/WMAyM5+gwCgvdHo
7PyCT7LpsSPt5ngovWUvwN4=
=ziYA
-----END PGP SIGNATURE-----

 andrebbe considerata come soluzione definitiva...
+ che altro a me capita regolarmente di avere la root dei server e di
non poter toccare i router, x cui mi chiedevo che problemi mi potesse
dare a livello di rete cio` che mi trovo a fare, oltre a quelli ovvi,
semplicemente, se e` solo questo pazienza


frick wrote:

Tutto dipende dal valore che imposti di MTU, se lo fai troppo basso,
praticamente il server avra' un carico di lavoro maggiore nel trasferire
dati, quindi piu' basso e' l'mtu piu' basse saranno le performance...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFC9lVuuxRXtjsR9sRAwyxAJ99kQDVgYBF+DlbHrGo6q5qPBMDPACgz2qW
ZSev64PeWIQDhuNEFZzW7IA=
=eF32
-----END PGP SIGNATURE-----

 > server in oggetto č equipaggito con una scheda con ip pubblico; quando

Ciao di seguito trovi la configurazione del mio router, č un po' pasticciata
come tutti quei dispositivi configurati da persone diverse:
Current configuration : 9765 bytes
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname router
!
boot-start-marker
boot-end-marker
!
logging buffered 52000 debugging
enable secret 5 XXXXXXXXXXXXXXXXXXXXXX
enable password XXXXXXX
!
username user privilege 15 password 0 XXXXXXX
clock timezone PCTimeZone 1
clock summer-time PCTimeZone date Mar 30 2003 2:00 Oct 26 2003 3:00
no aaa new-model
ip subnet-zero
!
!
!
!
ip audit notify log
ip audit po max-events 100
clns routing
no ftp-server write-enable
!
!
!
!
!
!
!
!
!
!
!
!
!
!
crypto isakmp policy 15
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 30
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 32
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 35
 hash md5
 authentication pre-share
 group 2
crypto isakmp key mcXXXXXXXXXXXXXn address XXX.XXX.XXX.XXX
crypto isakmp key 1XXXXXXXXXXXp address XXX.XXX.XXX.XXX
crypto isakmp key sXXXXXXXXXXXXj address XXX.XXX.XXX.XXX
crypto isakmp key AxXXXXXXXXXXXXX8 address XXX.XXX.XXX.XXX
crypto isakmp key mxXXXXXXXXXXXXXXXn address XXX.XXX.XXX.XXX
crypto isakmp key MXXXXXXXXXXXXXXXXXXM address XXX.XXX.XXX.XXX
crypto isakmp key NXXXXXXXXXXXXXXX@c address XXX.XXX.XXX.XXX
crypto isakmp key MXXXXXXXXXXXXXXXXXXl address XXX.XXX.XXX.XXX
crypto isakmp key AXXXXXXXXXXXXXXXXX8 address XXX.XXX.XXX.XXX
crypto isakmp key sXXXXXXXXXXXXXXXXXXXXXXXXXl address XXX.XXX.XXX.XXX
crypto isakmp key !XXXXXXXXXXXXXXXX! address XXX.XXX.XXX.XXX
!
crypto isakmp peer address XXX.XXX.XXX.XXX
 description CW
!
!
crypto ipsec transform-set 3des_md5 esp-3des esp-md5-hmac
crypto ipsec transform-set SDM_TRANSFORMSET_1 esp-3des esp-sha-hmac
crypto ipsec transform-set 3des_md5bis esp-3des esp-sha-hmac
crypto ipsec transform-set des_md5 esp-des esp-md5-hmac
!
crypto map XXXX 10 local-address FastEthernet0/0
crypto map XXXXX 10 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set security-association lifetime seconds 10800
 set transform-set 3des_md5
 set pfs group2
 match address 140
crypto map XXXXX 11 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 match address 101
crypto map XXXXX 20 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 set pfs group2
 match address 120
crypto map XXXXX 30 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 set pfs group2
 match address 130
crypto map XXXXx 40 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set security-association lifetime seconds 28800
 set transform-set 3des_md5
 set pfs group2
 match address 160
crypto map XXXXX 50 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 match address 180
crypto map XXXXX 51 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5
 match address 190
crypto map XXXXX 55 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set des_md5
 match address 195
crypto map XXXXX 57 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5bis
 set pfs group2
 match address 196
crypto map XXXX 58 ipsec-isakmp
 description
 set peer XXX.XXX.XXX.XXX
 set transform-set 3des_md5bis
 match address 197
!
!
!
!
!
!
!
interface Tunnel1
 ip address 192.168.252.5 255.255.255.252
 tunnel source 194.X.X.X
 tunnel destination XXX.XXX.XXX.XXX
 tunnel checksum
!
interface ATM0/0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0/0.1 point-to-point
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
!
interface FastEthernet0/0
 description $FW_OUTSIDE$$ETH-WAN$Wan outside interface
 ip address XXX.XXX.XXX.XXX 255.255.255.0
 ip nat outside
 speed auto
 half-duplex
 no mop enabled
 crypto map mctel
!
interface FastEthernet0/1
 description $FW_INDISE$$ETH-LAN$LAN inside interface
 ip address 192.168.1.100 255.255.255.0
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 speed auto
 full-duplex
!
interface Ethernet1/0
 no ip address
 shutdown
 half-duplex
!
interface Ethernet1/1
 description $ETH-LAN$Frame Relay
 ip address 192.168.5.2 255.255.255.0
 ip nat outside
 half-duplex
!
interface Ethernet1/2
 no ip address
 shutdown
 half-duplex
!
interface Ethernet1/3
 description $ETH-LAN$
 ip address 192.168.2.111 255.255.255.0
 ip nat outside
 half-duplex
!
interface Dialer1
 description link ADSL
 ip address XXX.XXX.XXX.XXX 255.255.255.0
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication chap pap callin
 ppp chap hostname user@provider
 ppp chap password 0 passwd
 ppp pap sent-username user@provider password 0 passwd
!
ip nat inside source route-map SDM_RMAP_1 interface FastEthernet0/0 overload
ip nat inside source static tcp 192.168.1.250 XXX.XXX.XXX.XXX 80 extendable
ip nat inside source static tcp 192.168.1.93 10000 XXX.XXX.XXX.XXX 10000
extendable
ip nat inside source static tcp 192.168.1.93 10001 XXX.XXX.XXX.XXX 10001
extendable
ip nat inside source static tcp 192.168.1.93 11000 XXX.XXX.XXX.XXX 11000
extendable
ip nat inside source static tcp 192.168.1.93 11001 XXX.XXX.XXX.XXX 11001
extendable
ip classless
ip route 0.0.0.0 0.0.0.0 194.5.73.129 permanent
ip route 10.15.0.0 255.255.0.0 Tunnel1
ip route 10.16.0.0 255.255.0.0 Tunnel1
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route XXX.XXX.XXX.XXX 255.255.254.0 XXX.XXX.XXX.XXX
ip route XXX.XXX.XXX.XXX 255.255.255.255 XXX.XXX.XXX.XXX permanent
ip route 192.168.0.0 255.255.255.0 192.168.1.250
ip route 192.168.1.0 255.255.255.0 FastEthernet0/1
ip route XXX.XXX.XXX.XXX 255.255.255.0 FastEthernet0/0
!
ip http server
ip http authentication local
ip http secure-server
!
!
access-list 100 remark SDM_ACL Category=4
access-list 100 remark IPSec Rule
access-list 100 permit ip 192.168.1.0 0.0.0.255 10.0.16.0 0.0.15.255
access-list 101 remark SDM_ACL Category=4
access-list 101 remark IPSec Rule
access-list 101 permit ip 192.168.1.0 0.0.0.255 host 10.0.17.22
access-list 101 permit icmp 192.168.1.0 0.0.0.255 host 10.0.17.22
access-list 101 permit ip 192.168.1.0 0.0.0.255 host 10.0.17.21
access-list 101 permit icmp 192.168.1.0 0.0.0.255 host 10.0.17.21
access-list 102 remark SDM_ACL Category=4
access-list 102 remark IPSec Rule
access-list 102 permit ip 192.168.1.0 0.0.0.255 XXX.XXX.XXX.XXX 0.0.1.255
access-list 102 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 105 permit ip any any
access-list 120 permit ip host XXX.XXX.XXX.XXX XXX.XXX.XXX.XXX 0.0.0.15
access-list 120 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 130 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 130 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 130 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 140 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 remark SDM_ACL Category=18
access-list 150 remark IPSec Rule
access-list 150 deny ip 192.168.1.0 0.0.0.255 host 10.0.17.22
access-list 150 deny ip any any
access-list 150 deny ip 192.168.1.0 0.0.0.255 10.0.16.0 0.0.15.255
access-list 150 deny ip 192.168.1.0 0.0.0.255 XXX.XXX.XXX.XXX 0.0.1.255
access-list 150 deny ip host XXX.XXX.XXX.XXX host 192.168.0.1
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 deny ip host XXX.XXX.XXX.XXX XXX.XXX.XXX.XXX 0.0.0.15
access-list 150 deny ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 150 permit ip host 192.168.1.38 XXX.XXX.XXX.XXX 0.0.0.15
access-list 150 permit ip 192.168.1.0 0.0.0.255 any
access-list 150 permit tcp host 192.168.1.11 host XXX.XXX.XXX.XXX
access-list 150 permit tcp host 192.168.1.20 any
access-list 150 deny ip 192.168.1.0 0.0.0.255 XXX.XXX.XXX.XXX 0.0.0.15
access-list 150 deny tcp host 192.168.1.11 any
access-list 160 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 160 permit ip host XXX.XXX.XXX.XXX host 192.168.0.1
access-list 170 permit ip host XXX.XXX.XXX.XXX host XXX.XXX.XXX.XXX
access-list 170 permit ip 192.168.1.0 0.0.0.255 host XXX.XXX.XXX.XXX
access-list 180 permit ip host 192.168.1.93 host 10.10.10.1
access-list 180 permit icmp host 192.168.1.93 host 10.10.10.1
access-list 180 permit ip host 192.168.1.85 host 10.10.10.1
access-list 180 permit icmp host 192.168.1.85 host 10.10.10.1
access-list 180 permit ip host 192.168.1.32 host 10.10.10.1
access-list 180 permit icmp host 192.168.1.32 host 10.10.10.1
access-list 190 permit ip host 192.168.1.93 host XXX.XXX.XXX.XXX
access-list 190 permit icmp host 192.168.1.93 host XXX.XXX.XXX.XXX
access-list 190 permit ip host 192.168.1.85 host XXX.XXX.XXX.XXX
access-list 190 permit icmp host 192.168.1.85 host XXX.XXX.XXX.XXX
access-list 190 permit ip host 192.168.1.32 host XXX.XXX.XXX.XXX
access-list 190 permit icmp host 192.168.1.32 host XXX.XXX.XXX.XXX
access-list 195 permit ip host 192.168.1.93 10.77.36.0 0.0.0.255
access-list 196 permit ip 192.168.1.0 0.0.0.255 10.0.10.0 0.0.0.255
access-list 197 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 197 permit icmp 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
dialer-list 1 protocol ip list 105
snmp-server community public RO
snmp-server enable traps tty
!
route-map SDM_RMAP_1 permit 1
 match ip address 150
!
!
!
control-plane
!
!
!
!
!
!
!
!
!
line con 0
line aux 0
line vty 0 4
 privilege level 15
 password XXXXXXXXXXXXXXXXX
 login local
 transport input telnet ssh
!
!
!
end
Grazie mille,


 Inviato via 
http://arianna.libero.it/usenet/
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFDq1TuuxRXtjsR9sRA0VbAKDW3p2Sbak3ZIjzswGCvtmaFLFYwwCgyIeA
jwDFhM2QJG850S4Fncb+opw=
=zvqr
-----END PGP SIGNATURE-----

OK, perfetto funzione, è stato sufficiente utilizzare il comando:
crypto ipsec df-bit clear.
Sei stato molto gentile e ti ringrazio molto.
Ginevra J.


 Ginevra J.
All good things! :)
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFEP35uuxRXtjsR9sRA97NAKCBlEuPVtpGcB7BkxEr4x9vppgYvgCeMDX8
lxdkHHuupQM3qV0J3vlsAQw=
=A1+d
-----END PGP SIGNATURE-----