Newsgroup: it.comp.reti.cisco
Titolo: Utenti VPN e PIX

Buongiorno a tutti!
Utilizzando il PDM ho configurato un insieme di uetnti che possano
collegarsi al PIX attraverso una VPN di tipo PPTP.
Funziona correttamente, ma quando gli utenti sono connessi in VPN dai loro
PC portatili non riescono più a navigare, ad usare Skype e quant'altro.
Il problema è sicuramente legato all'instradamento del traffico VPN ed al
NAT, che al momento viene eseguito solo per il traffico della LAN interna
attraverso l'interfaccia inside.
Come posso modificare la conf del mio PIX 501 release 6.3 per consentire
agli utenti di navigare quando sono connessi in VPN?
Ciao e grazie a tutti!
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
devi lasciare perdere il pptp e passare ad IPSEC con il vpn client di 
cisco utilizzando lo split dns. ci guadagni in sicurezza ed affidabilita'.
bye
mp

 mp
Ti ringrazio per il tuo suggerimento, ma non vorrei installare software
aggiuntivo sui desktop o sui notebook, anche perchè gli utenti che sono
sparsi in giro per l'italia non hanno privilegi amministrativi sui loro PC.
Creare una connessione di tipo PPTP è molto più semplice ed a prova di
stupido... Solo che vorrei farli navigare mentre sono collegati in PPTP.
Ciao e grazie per il tuo aiuto!
Matteo


Nelle configurazioni TCP/IP della connessione PPTP, impostazioni avanzate
togli la spunta su usa gateway predefinito su rete remota.
-- 
La fortuna aiuta gli audaci che hanno culo.

 cisco utilizzando lo split dns. ci guadagni in sicurezza ed affidabilita'.
Brrrr il client cisco...non e' che sia questo splendore sia in termini
di sicurezza che di adesione allo standard, visto che la seconda
autenticazione e' un Draft bocciato.
Poi bisogna seriamente chiedersi cosa si vuole fare con una VPN...
Io alla fine preferisco limitare l'accesso ad internet quando
si ha una connessione in vpn attiva, sia per avere una reale sicurezza
e poi perche' ho avuto esperienze di pc "malgestiti" che connessi in vpn
poi diventavano possibili porte aperte per intrusioni...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCqv2uuxRXtjsR9sRA4lVAKCV5DhgKnlScNNvxWWKyrBjzLP2nwCdGJ0b
hhmZppWf6TV53+Q+5hYaeio=
=4u4W
-----END PGP SIGNATURE-----

 togli la spunta su usa gateway predefinito su rete remota.
Ciao Gino, cosě facendo riesco effettivamente a Navigare, ma non riesco
piů a raggiungere la rete remota.
La rete remota č di tipo 192.168.1.x, i client PPTP acquisiscono un
indirizzo di tipo 192.168.100.10-30.
E con questa subnet il PIX non mi instrada  e non esegue il NAT e quindi
non navigo...
Ciao e grazie!


 
Ogniuno e' libero di fare cio' che vuole...che vuoi che ti dica???
mp

 
Ma se ti dico che non funzia, non funzia.
mp


Ho capito ma non si puo' fare senza il client IPSEC.
bye

 contemporaneamente ma con il pptp non si fa'.
Guarda col pptp lo si fa tranquillamente, eliminando il flag
di "Usa il gateway sulla rete remota" nelle impostazioni Tcp/Ip
della connessione in vpn.
Ovviamente se la rete che sta dietro al router vpn e' diversa
dalla rete dei pool con cui dai gli ip alle connessioni vpn,
dovrai a manina aggiungere una rotta statica sul pc connesso in
vpn.
Questo perche' la vpn ti installera' una rete a seconda della
classe in cui si trova.
Per esempio, se tu configuri il pool per gli utenti in vpn nella
rete 10.x.x.x/xx, ti ritroverai con una rotta 
10.0.0.0/8
 (classe A)
sul tuo Pc. Pero' se la rete che vuoi raggiungere e' una 192.168.0.0
il tuo pc non sapra' dove si trova.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFC9qAuuxRXtjsR9sRA+qZAJ0cjavb5YM3xLvEa5a0W5aCIBK84gCg/KNc
BJx8KqeIqZJD5FZkJ45JKx0=
=4r6n
-----END PGP SIGNATURE-----

 il tuo pc non sapra' dove si trova.
stiamo parlando di una configurazione che implicherebbe dell'attivita' 
da far fare ad un utente che puo' essere piu' o meno confidente con il pc.
a me non piace, se chi ha aperto il thread e' contento di una soluzione 
cosi'...bene.
bye
mp

 cosi'...bene.
Beh la semplificazione e' quella di dare un pool che stia nel medesimo
blocco della lan a cui vuoi accedere. Cosi' ti trovi una rotta
installata dalla vpn che ti porta alla lan e puoi continuare a navigare
tranquillamente.
Per esempio, se la tua lan e' una 
192.168.0.0/26
, puoi usare un pool
nella rimanente parte del blocco /24.
Puoi anche dare un pool di ip compresi nella lan a cui vuoi accedere,
ma sulla interfaccia di rete lan dovrai attivare il proxy arp, poco
pulita come soluzione ma da "quick and dirty".
Di solito tale soluzione permette di collegarti in vpn e continui a
navigare ma il tuo traffico verso internet passera' dal router vpn e
si presentera' con l'ip wan di tale router.
Questo se si vuole rimanere nel pptp...
Con altri protocolli le questioni cambiano alquanto...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFDAm3uuxRXtjsR9sRAygkAKDWTaFc0+7yMY0tUJ5ZX1JBejYXlACgxh11
DLiuCnKaB3sAtLC0fOszJOY=
=J/rt
-----END PGP SIGNATURE-----

 Con altri protocolli le questioni cambiano alquanto...
Bene, ci siamo sincronizzati.
bye
mp

 mp
Rispondo con enorme ritardo ... chiedo scusa a tutti quelli che si sono
interessati a questo problema.
Ho letto le vostre risposte ed una possibile soluzione potrebbe essere
quella di assegnare ai client VPN il medesimo indirizzo IP della LAN,
attivando il proxyarp sull'interfaccia.
L'altra soluzione è acquistare un buonrouter Cisco che mi fa anche il
routing ed il policy routing.
Ciao, ed ancora grazie a tutti!
Matteo
