Newsgroup: it.comp.reti.cisco
Titolo: VPN e navigazione in internet

Ho configurato una connessione VPN in PPTP (ho il router che fa' PAT).
Dal PIX passo i parametri del server DNS che è all'interno della LAN.
Quando con il client mi collego tramite VPN alla mia LAN tutto funziona
regolarmente (risoluzione dei nomi host, netbios, sfogliare la rete
ecc....), se cerco di andare in internet non ci riesco.
Esegue la risoluzione del nome, che fa' il server DNS interno, ma poi non
riesce a raggiungerlo.
Ci può essere forse un blocco che il PIX non fa uscire gli IP della rete
dedicata per i client VPN? (Nelle access-list non c'è).
Grazie
Ciao
Luca
-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com
 - The #1 Newsgroup Service in the World!
-----==  Over 80,000 Newsgroups - 16 Different Servers! =-----

Non c'è nessuno che si è trovato in questa situazione e può darmi una mano?
Grazie


 ha scritto nel messaggio
news:3e007...@corp.newsgroups.com...



Quando con il client mi collego tramite VPN alla mia LAN tutto funziona
regolarmente (risoluzione dei nomi host, netbios, sfogliare la rete
ecc....), se cerco di andare in internet non ci riesco.
Esegue la risoluzione del nome, che fa' il server DNS interno, ma poi non
riesce a raggiungere il sito web.
Luca

 ha scritto nel messaggio
news:atqm6u$rm6$1...@lacerta.tiscalinet.it...



Cosa intendi con questa frase.


 ha scritto nel messaggio
news:3e031...@corp.newsgroups.com...


     Roberto
Per evitare di parlare al "buio" spiego meglio la situazione:
INTERNET
        |
        |
   Router (Che fa NAT) 192.168.0.250 (IP interno)
        |
        |
    PIX 501 (Firewall e VPN)   (192.168.0.10 IP Esterno, 10.0.0.3 IP
Interno)
        |
        |
    LAN
Con il client MS PPTP mi connetto in VPN al PIX 501, l'unico gateway che ho
nella rete è il PIX ed il PIX ha come unico gateway il router che va' verso
internet.
Spero di essere stato abbastanza chiaro.
Questa è la confgurazione del PIX.
nameif ethernet0 outside security0
nameif ethernet1 inside security100
hostname xxxxxxxxxxxx
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
access-list 101 permit tcp any host 192.168.0.11 eq www
access-list 101 permit tcp any host 192.168.0.11 eq smtp
access-list 101 permit tcp any host 192.168.0.12 eq 3389
access-list 100 permit ip 10.0.0.0 255.255.255.0 172.16.0.0 255.255.255.0
pager lines 24
logging console debugging
interface ethernet0 10baset
interface ethernet1 10full
mtu outside 1500
mtu inside 1500
ip address outside 192.168.0.10 255.255.255.0
ip address inside 10.0.0.3 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool utenti 172.16.0.1-172.16.0.15
pdm history enable
arp timeout 14400
global (outside) 1 192.168.0.20-192.168.0.200 netmask 255.255.255.0
nat (inside) 0 access-list 100
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) 192.168.0.11 10.0.0.2 netmask 255.255.255.255 0 0
static (inside,outside) 192.168.0.12 10.0.0.4 netmask 255.255.255.255 0 0
access-group 101 in interface outside
route outside 0.0.0.0 0.0.0.0 192.168.0.250 1
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-pptp
no sysopt route dnat
telnet timeout 5
ssh timeout 5
vpdn group 1 accept dialin pptp
vpdn group 1 ppp authentication pap
vpdn group 1 ppp authentication chap
vpdn group 1 ppp authentication mschap
vpdn group 1 ppp encryption mppe auto
vpdn group 1 client configuration address local utenti
vpdn group 1 client configuration dns 10.0.0.2
vpdn group 1 client configuration wins 10.0.0.2
vpdn group 1 pptp echo 60
vpdn group 1 client authentication local
vpdn username xxxxxxxxxxx password xxxxxxxxxxxxxxxx
vpdn enable outside
terminal width 80
Ciao
Luca

Credo che oltre al problema di far uscire ( o meglio, FAR RITORNARE )
i client in vpn su internet, dovresti rivedere anche il modello di
sicurezza che hai implementato, mi sembra un poco troppo permissivo
!!!
Se proprio devi usare il Terminal Services di Microsoft (TCP/3389),
cerca di "stringere" host to host !!!
Cambia il default del protocollo RDP, settalo al massimo sulla
crittografia,e scarica da Microsoft l'ultima versione di TS Client.
Per quanto riguarda il tuo problema, penso proprio che non si tratti
di un problema, ma semplicemente di un fatto di Spoof.
Il tuo PIX , non permette il ritorno su Internet, perchè source e
destination dei pacchetti generati dai client VPN, sono uguali, metti
il PIX in debug, rigirati il SysLog su di un pc con W2K, così ti
renderai conto di cosa ti ho detto.
Sono certo, che vedreai nel syslog, dei messaggi di Spoof, che a
partire dalla ver. 6.0.x, non puoi disattivare, che è meglio.
Pertanto, penso proprio che la VPN non serve per far rigirare traffico
su Internet, ma bensì a rendere dei client remoti visibili dalla
intranet senza troppe restrizione, ed è questo il motivo perchè sono
nate le VPN.
CIAO.
Vincenzo
Cisco Certified Network Associate & Design
Cisco Secure Firewall CSS-1   
Vima...@libero.it

 
Vima...@libero.it
Sì esatto, ho fatto un po' di ricerche ed ho scoperto che non si tratta di
un problema, ma è by design (come direbbe la Microsoft).
Il PIX non permette di far entrare e riuscire del traffico sulla stessa
interfaccia.
Il fatto è che alcuni utenti si collegano in VPN alla rete locale e mentre
sono collegati potrebbe venirgli comodo comunque usare internet senza
doversi scollegare e poi magare ricollegare alla VPN.
Ho visto che usando l'istruzione "vpngroup" è possibile settare l'istruzione
"split-tunnel" che fa' al caso mio, il fatto è così non potrei usare il
PPTP, ma dovrei per forza usare IPSec.
Il mio problema principale è che ho il router che fa' NAT (per ora) e non
posso usare IPSec.
Posso usare L2TP/IPSec attraverso NAT? Di solito uso il cisco VPN Client 3.6
e non ho capito se lo split-tunnel è supportato dal cisco vpn client 3.6.
Ti ringrazio per la risposta.
Ciao
Luca

 di porta da usare?
Ti risparmio questa risposta, ho già trovato.
http://support.microsoft.com/default.aspx?scid=kb;en-us;187623
Ciao
Luca

...


 internet.
Lo so', ma mi serve così.
Ciao


 
puoi "splittare" il tunnel, ma questa feature utilizzabile, a quanto
pare con il VPN CONCENTRATOR ( 300x-500x ) e VPN Client 3.6.1
ecco quanto ho trovato per adesso ...
Split DNS
Release 3.6 has the ability to direct packets in clear text over the
Internet to domains served through an external DNS (serving your ISP)
or through an IPSec tunnel to domains served by the corporate DNS. The
VPN Server supplies a list of domains to the VPN Client for tunneling
packets to destinations in the private network. For example, a query
for a packet destined for 
corporate.com
 would go through the tunnel to
the DNS that serves the private network, while a query to for a packet
destined for 
myfavoritesearch.com
 would be handled by the ISP's DNS.
This feature is configured on the VPN Server (VPN Concentrator) and
enabled on the VPN Client by default
bye,bye

Ok, Luca,
ecco un "collega" con il tuo stesso problema,
http://www.experts-exchange.com/Networking/Q_20369010.html
,
usa lo split-tunnel, fammi sapere; diversamente da cosa dice Cisco,
pechè ho letto solo di poter abilitare lo split con VPN Client 3.6.1 e
VPN Concentrator, provaci, e fammi sapere se va bene.
Ti saluto,
ciao Vincenzo.
bye.

 ha scritto nel messaggio
news:d9c00a67.0212...@posting.google.com...

Si, lo split tunnel dovrebbe fare proprio al caso mio.
Ho letto il link che hai postato, dove punta anche a questo link
http://www.cisco.com/warp/public/110/pix3000.html#device-1
 (che avevo già
trovato). Da questo link si capisce che lo split tunnel funziona sia con i
VPN3000 concentrator che con i client 2.5 e 3.x.
Il mio VERO problema in questo momento è che sto' usando PPTP e lo split
tunnel non funziona con il PPTP.
Uso il PPTP perchè ho il router che fa' NAT e per qualche mese non potrò
cambiarlo. (Dovrei anche cambiare contratto)
Da quel che ho capito il PIX fino alla versione 6.2 (attuale) non supporta
IPSec attraverso NAT.
Corretto?
Ne sai qualcosa? Userei volentieri IPSec.
Ciao
Luca

Ciao Luca,
ho capito che devi ancora vedere meglio l'argomento VPN/IPSec ...
Il NAT non bisogna farlo per la VPN, o meglio, i client LAN che devono
essere visti con i Client WAN Remoti, devono essere visti con il loro
ip lan, per settare il peer del Tunnel, poi in futuro , non so, ad
oggi si fà così, su Cisco.
PIX/VPN vs IPSec/3DES
http://www.cisco.com/en/US/partner/products/sw/secursw/ps2120/products_user_guide_chapter09186a0080089b8b.html
IPSec/PIX
http://www.cisco.com/en/US/partner/products/sw/secursw/ps2120/products_user_guide_chapter09186a0080089b84.html#xtocid2
Spero di esserti stato di aiuto.
CIAO e BUON ANNO 
Vincenzo



Quello che intendevo io è che IPSec non può passare attraverso NAT a meno
che non usi IPSec in transport mode, mi risulta però che IPSec in transport
mode non sia supportato dal PIX.
Ciao


 
Ciao Luca, 
ho letto solo adesso la tua risposta,
cmq, il Transport Mode per IPSec su PIX è possibile implementarlo,
ecco tutti gli steps che servono ....
Configuring L2TP with IPSec in Transport Mode
 Command  Purpose  
Step 1 
 crypto ipsec transform-set trans_name 1
 Specify IPSec to use transport mode rather than tunnel mode.
 
Step 2 
 sysopt connection permit-ipsec
 Steps 2 and 3 together allow L2TP traffic to bypass
conduit/access-list checking.
 
Step 3 
 sysopt connection permit-l2tp
 See Step 2.
 
Step 4 
 vpdn group group_name accept dial-in l2tp
 Instruct the PIX Firewall to accept L2TP dial-in requests.
 
Step 5 
 vpdn group group_name ppp authentication 
pap/chap/mschap
 Specify PPP protocol and authentication protocol (PAP or CHAP or
MS-CHAP).
 
Step 6 
 vpdn group group_name client configuration 
address local address_pool_name2
 Specify the local address pool used to allocate the IP address to the
client.
 
Step 7 
 (Optional)
vpdn group group_name client configuration 
dns dns_server_ip1 dns_server_ ip2
 Instruct the PIX Firewall to send DNS server IP addresses to the
client.
 
Step 8 
 (Optional)
vpdn group group_name client configuration 
wins wins_server_ip1 wins_server_ip2
 Instruct the PIX Firewall to send WINS server IP addresses to the
client.
 
Step 9 
 vpdn group group_name client 
authentication aaa aaa_server_tag
or
vpdn group group_name client 
authentication local
 Specify authentication using the PIX  Firewall local
username/password database.3 If set to aaa, authenticate using the aaa
server.
 
Step 10 
 (Optional)
vpdn group group_name client accounting 
aaa_server_tag
 Generate an aaa accounting start and stop record for an L2TP (and
PPTP) session.
 
Step 11 
 vpdn username username password password
 If local authentication is used, this command specifies
username/password entries.
 
Step 12 
 (Optional)
vpdn group_name l2tp tunnel hello hello 
timeout
 Specify the L2TP keep-alive/hello timeout value. The default timeout
value is 60, and the lower and upper limits are 10 and 300,
respectively.
 
Step 13 
 vpdn enable ifname
 Enable vpdn function on a PIX Firewall interface.
 
1If set to local.
2Use IP local pool command to create the pool.
3If set to local.
 
Sempre che usi L2TP over IPSec, io per le VPN uso SSH Sentinel 1.4,
funziona benissimo con tutte le piattaforme W2K e termino le VPN sui
PIX, oppure su Router con scheda VPN.
Per IPSec in Transport Mode, vai a questo link
http://www.cisco.com/en/US/partner/products/sw/secursw/ps2120/products_user_guide_chapter09186a0080089bd6.html#xtocid20
CIAO !!!