Newsgroup: it.comp.reti.cisco
Titolo: CISCO 851 -VPN CLIENT

Salve a  tutti,
sto testando una configurazione tra un cisco 851 e un PC installato con
win XP e VPN client della Cisco (Versione 4.8.01.0300).
il problema è che quando il pc remoto si collega in VPN non riesco a
raggiungere ls rete che c'è "dietro" al cisco 851.
ho ricontrolalto la configurazione e letto documentazioen Cisco ma non
riesco a vedere l'errore, qualcuno può aiutarmi a trovarlo?
grazie
saluti
stefano
hostname TEST_VPNCLIENTR01
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 debugging
logging console critical
enable secret 5 XXXXXXXXXXXXXXXX
enable password 7 XXXXXXXXXXXXX
!
aaa new-model
!
aaa authentication login default local
aaa authentication login sdm_vpn_xauth_ml_1 local
aaa authorization exec default local
aaa authorization network sdm_vpn_group_ml_1 local
!
aaa session-id common
!
resource policy
!
memory-size iomem 15
clock timezone PCTime 1
clock summer-time PCTime date Mar 30 2003 2:00 Oct 26 2003 3:00
no ip source-route
!
!
ip cef
ip tcp synwait-time 10
no ip bootp server
no ip domain lookup
ip domain name 
mend.it
ip ssh time-out 60
ip ssh authentication-retries 2
!
!
crypto pki trustpoint TP-self-signed-214268660
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-214268660
 revocation-check none
 rsakeypair TP-self-signed-214268660
!
!
username administrator privilege 15 secret 5 XXXXXXXXXXXXXX
username admin privilege 15 secret 5 XXXXXXXXXXXXXXXXXXXX
username PAPERINO secret 5 XXXXXXXXXXXXXXXXX
!
!
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp client configuration group GRUPPOVPN
 key XXXXXXXXX
 dns 172.24.50.20 213.140.2.43
 domain 
pippo.it
 pool VPN_POOL
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto dynamic-map VPN_DYNMAP_1 1
 set transform-set ESP-3DES-SHA
 reverse-route
!
!
crypto map VPN_CRYPTO_MAP client authentication list sdm_vpn_xauth_ml_1
crypto map VPN_CRYPTO_MAP isakmp authorization list sdm_vpn_group_ml_1
crypto map VPN_CRYPTO_MAP client configuration address respond
crypto map VPN_CRYPTO_MAP 65535 ipsec-isakmp dynamic VPN_DYNMAP_1
!
!
!
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
 description OUTSIDE
 ip address 172.17.2.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 ip virtual-reassembly
 ip route-cache flow
 duplex auto
 speed auto
 crypto map VPN_CRYPTO_MAP
!
interface Vlan1
 description INSIDE
 ip address 172.24.50.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 ip virtual-reassembly
 ip route-cache flow
 ip tcp adjust-mss 1452
!
ip local pool VPN_POOL 172.24.50.211 172.24.50.221
ip route 0.0.0.0 0.0.0.0 172.17.2.4
!
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip nat inside source route-map RMAP_NAVIGAZIONE interface FastEthernet4
overload
ip nat inside source static tcp 172.24.50.20 3389 interface
FastEthernet4 3389
!
logging trap debugging
access-list 1 permit 172.24.50.0 0.0.0.255
access-list 100 deny   ip any host 172.24.50.211
access-list 100 deny   ip any host 172.24.50.212
access-list 100 deny   ip any host 172.24.50.213
access-list 100 deny   ip any host 172.24.50.214
access-list 100 deny   ip any host 172.24.50.215
access-list 100 deny   ip any host 172.24.50.216
access-list 100 deny   ip any host 172.24.50.217
access-list 100 deny   ip any host 172.24.50.218
access-list 100 deny   ip any host 172.24.50.219
access-list 100 deny   ip any host 172.24.50.220
access-list 100 deny   ip any host 172.24.50.221
access-list 100 permit ip 172.24.50.0 0.0.0.255 any
no cdp run
route-map RMAP_NAVIGAZIONE permit 1
 match ip address 100
VERSIONE Cisco 851
ROM: System Bootstrap, Version 12.3(8r)YI2, RELEASE SOFTWARE
TEST_VPNCLIENTR01 uptime is 17 hours, 16 minutes
System returned to ROM by power-on
System image file is "flash:c850-advsecurityk9-mz.124-9.T.bin"

 stefano
prova a togliere no proxy-arp sull'inside.
E sopratutto fammi/facci sapere.
Il problema secondo me sta nel fatto che tu per i client hai usato indirizzi dello stesso pool della LAN.
Ci sono diversi modi per risolvere questo problema.
In primis prova quanto ti ho detto sopra.
Ripeto facci sapere perché sono curioso e mi sono trovato nella stessa situazione.
Potrei quasi dire che il problema non è nel router ma in tutte le macchine della LAN dietro il router ;-)
Poi ti dico la mia idea perché adesso devo proprio scappare dall'ufficio.
Ciao Alex.


ciao
grazie per la risposta.
con la tua modifica riesco a raggiungere dalla lan il pc remoto ma non
viceversa. :(
il problema non è delle macchine dietro ma del router.
ora provo a fare altri test e poi ti faccio sapere.
cioa


ho provato anche ad abilitare lo split-tunnel ma niente.
la cosa starna è ache nemmeno dal router riesco a raggiungere la rete
locale.....

 
Allora brevemente.
Il problema è che utilizzi un pool all'interno del range che usi per la LAN.
Quando dal pc remoto, che ha un IP appartenente al range che usi per la LAN da dietro al router, fai ping verso una 
macchina che sta sulla LAN essa deve rispondere e cerca il PC non dietro al router ma sullo stesso segmento di LAN.
Per questo dicevo che il problema sta nelle macchine che stanno sulla LAN.
Se il router ha il proxy arp abilitato raccoglie questa richiesta perchè sa che l'indirizzo che tale macchina cerca si 
trova "davanti" a lui. Se togli questa funzione il router non raccoglie il pacchetto.
Prova ad abilitare il proxy ARP anche sulla WAN o meglio usa un altro POOL per i client, che forse è meglio.
Cisco raccomanda, come regola di buona configurazione, di non usare pool che si sovrappongono.
Ciao Alex.


Ciao
ho provato ad usare una classe diversa ma non è cambiato nulla, la
cosa strana è :
1. dal router non riesco a pingare il pc della lan,
2.  dal pc della lan riesco a pingare il router
3. dal pc della lan riesco a pingare il pc remoto collegato in vpn
4. dal pc remoto collegato in vpn riesco a pingare il router
5. dal pc remoto collegato in vpn non riesco a pingare  i pc della lan
Dal pc remoto riesco a pingare il router ma non riesco a pingare i pc
della lan.....sto diventando matto!!!!
grazie
ciao
aaa authentication login default local
aaa authorization exec default local
aaa authorization network sdm_vpn_group_ml_1 local
!
aaa session-id common
!
resource policy
!
memory-size iomem 15
clock timezone PCTime 1
clock summer-time PCTime date Mar 30 2003 2:00 Oct 26 2003 3:00
no ip source-route
!
!
ip cef
ip tcp synwait-time 10
no ip bootp server
no ip domain lookup
ip domain name 
mend.it
ip ssh time-out 60
ip ssh authentication-retries 2
!
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp policy 2
 hash md5
 group 2
!
crypto isakmp client configuration group TESTVPN
 key kkkkkkkkk
 pool VPN_POOL
!
crypto ipsec transform-set MEND esp-des esp-md5-hmac
!
crypto dynamic-map CRYPTO_DYNAMIC-MAP_TEST 1
 set transform-set TEST
 reverse-route
!
!
crypto map VPN isakmp authorization list sdm_vpn_group_ml_1
crypto map VPN client configuration address respond
crypto map VPN 65535 ipsec-isakmp dynamic CRYPTO_DYNAMIC-MAP_TEST
!
!
!
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
interface FastEthernet4
 description OUTSIDE
 ip address 172.17.2.1 255.255.254.0
 no ip redirects
 no ip unreachables
 ip nat outside
 ip virtual-reassembly
 ip route-cache flow
 duplex auto
 speed auto
 crypto map VPN
!
interface Vlan1
 description INSIDE
 ip address 172.24.50.1 255.255.255.0
 no ip redirects
 no ip unreachables
 ip nat inside
 ip virtual-reassembly
 ip route-cache flow
 ip tcp adjust-mss 1452
ip local pool VPN_POOL 172.25.50.1 172.25.50.254
ip route 0.0.0.0 0.0.0.0 172.17.2.4 permanent
!
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip nat inside source route-map ROUTE_MAP_NAVIGAZIONE interface
FastEthernet4 overload
ip nat inside source static tcp 172.24.50.20 3389 172.17.2.1 3389
extendable
!
logging trap debugging
access-list 1 permit 172.24.50.0 0.0.0.255
access-list 100 deny   ip 172.24.50.0 0.0.0.255 172.25.50.0 0.0.0.255
access-list 100 permit ip 172.24.50.0 0.0.0.255 any
no cdp run
route-map ROUTE_MAP_NAVIGAZIONE permit 1
 match ip address 100

 della lan.....sto diventando matto!!!!
ovviamente tutti i PC della LAN hanno come default gateway il router, no? Non ci sono 
misconfigurazioni...
Mi sembra strano che il problema possa essere la ACL. prova a mettere anche la definizione speculare 
cioè
access-list 100 deny   ip 172.24.50.0 0.0.0.255 172.25.50.0 0.0.0.255
access-list 100 deny   ip 172.25.50.0 0.0.0.255 172.24.50.0 0.0.0.255
access-list 100 permit ip 172.24.50.0 0.0.0.255 any
poi ti direi di togliere "ip cef".
Potresti abilitare "debug ip nat" e vedere cosaa succede quando fai ping da un altro.
Inoltre vedo che la Fa4 è un indirizzo privato. Stai facendo delle prove oppure davanti a 
quell'interfaccia c'è un altro router che natta un IP pubblico verso la Fa4?
Alex.


ciao a tutti
non chiedetemi come mai ma reinstallando TCP/IP sul mio pc funziona
tutto.
cmq le prove erano in locale, credo che sia con un router del provider
che fa nat che assegnando direttamente un ip pubblico alla fasteth4 la
config sia ok.
posto la config così che se a qualcuno serve la può usare, sono ben
accetti consigli/miglioramenti sulla config , soprattutto per il
firewall.
grazie a tutti per i consigli.
P.S. la stessa config con un pool di indirizzi della stessa classe
della Vlan1 per i client remoti funziona, occhio a mettere un deny
sull'accesslist associata alla route_map della navigazione.
aaa authentication login default local
aaa authorization exec default local
aaa authorization network sdm_vpn_group_ml_1 local
!
aaa session-id common
!
resource policy
!
memory-size iomem 15
clock timezone PCTime 1
clock summer-time PCTime date Mar 30 2003 2:00 Oct 26 2003 3:00
no ip source-route
!
!
ip cef
ip tcp synwait-time 10
ip inspect name TEST_INSPECT cuseeme
ip inspect name TEST_INSPECT dns
ip inspect name TEST_INSPECT ftp
ip inspect name TEST_INSPECT h323
ip inspect name TEST_INSPECT https
ip inspect name TEST_INSPECT icmp
ip inspect name TEST_INSPECT imap
ip inspect name TEST_INSPECT pop3
ip inspect name TEST_INSPECT rcmd
ip inspect name TEST_INSPECT realaudio
ip inspect name TEST_INSPECT rtsp
ip inspect name TEST_INSPECT esmtp
ip inspect name TEST_INSPECT sqlnet
ip inspect name TEST_INSPECT streamworks
ip inspect name TEST_INSPECT tftp
ip inspect name TEST_INSPECT tcp
ip inspect name TEST_INSPECT udp
ip inspect name TEST_INSPECT vdolive
ip inspect name TEST_INSPECT netbios-ns
ip inspect name TEST_INSPECT wins
ip inspect name TEST_INSPECT isakmp
no ip bootp server
ip domain name PIPPO.it
ip name-server 172.24.50.20
ip name-server 213.140.2.43
ip name-server 213.140.2.49
ip ssh time-out 60
ip ssh authentication-retries 2
!
crypto pki trustpoint TP-self-signed-214268660
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-214268660
 revocation-check none
 rsakeypair TP-self-signed-214268660
username administrator privilege 15 secret 2212121212121212
username PAPERINO secret 5 XXXXXXXXXXXXXXXXX
!
!
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp policy 2
 hash md5
 group 2
!
crypto isakmp client configuration group GRUPPOVPN
 key 54545454545454
 pool VPN_POOL
 acl 101
!
!
crypto ipsec transform-set TEST esp-des esp-md5-hmac
!
crypto dynamic-map CRYPTO_DYNAMIC-MAP_TEST 1
 set transform-set TEST
 reverse-route
!
!
crypto map VPN_CRYPTO_MAP client authentication list sdm_vpn_xauth_ml_1
!
crypto map VPN_TEST client authentication list sdm_vpn_xauth_ml_1
crypto map VPN_TEST isakmp authorization list sdm_vpn_group_ml_1
crypto map VPN_TEST client configuration address respond
crypto map VPN_TEST 65535 ipsec-isakmp dynamic CRYPTO_DYNAMIC-MAP_TEST
!
!
!
!
interface FastEthernet0
!
interface FastEthernet1
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
 description OUTSIDE$FW_OUTSIDE$
 ip address 172.17.2.1 255.255.254.0
 ip access-group 104 in
 ip verify unicast reverse-path
 no ip redirects
 no ip unreachables
 ip inspect TEST_INSPECT out
 ip nat outside
 ip virtual-reassembly
 ip route-cache flow
 duplex auto
 speed auto
 crypto map VPN_TEST
!
interface Vlan1
 description INSIDE$FW_INSIDE$
 ip address 172.24.50.1 255.255.255.0
 ip access-group 103 in
 no ip redirects
 no ip unreachables
 ip nat inside
 ip virtual-reassembly
 ip route-cache flow
 ip tcp adjust-mss 1452
!
ip local pool VPN_POOL 172.25.50.1 172.25.50.254
ip route 0.0.0.0 0.0.0.0 172.17.2.4 permanent
!
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip nat inside source route-map ROUTE_MAP_NAVIGAZIONE interface
FastEthernet4 overload
ip nat inside source static tcp 172.24.50.20 3389 172.17.2.1 3389
extendable
!
logging trap debugging
access-list 1 remark INSIDE_Vlan1
access-list 1 permit 172.24.50.0 0.0.0.255
access-list 100 remark ACL_NAVIGAZIONE
access-list 100 deny   ip 172.24.50.0 0.0.0.255 172.25.50.0 0.0.0.255
access-list 100 permit ip 172.24.50.0 0.0.0.255 any
access-list 101 remark ACL_SPLIT_TUNNEL
access-list 101 permit ip 172.24.50.0 0.0.0.255 any
access-list 103 remark ACL_VLAN1
access-list 103 deny   ip 172.17.2.0 0.0.1.255 any
access-list 103 deny   ip host 255.255.255.255 any
access-list 103 deny   ip 127.0.0.0 0.255.255.255 any
access-list 103 permit ip any any
access-list 104 remark ACL_OUTSIDE_INTERFACE
access-list 104 remark Remote Desktop
access-list 104 permit tcp host 2.2.2.2 host 172.17.2.1 eq 3389
access-list 104 permit ahp any host 172.17.2.1
access-list 104 permit esp any host 172.17.2.1
access-list 104 permit udp any host 172.17.2.1 eq isakmp
access-list 104 permit udp any host 172.17.2.1 eq non500-isakmp
access-list 104 permit ip 172.25.50.0 0.0.0.255 172.24.50.0 0.0.0.255
access-list 104 deny   ip 172.24.50.0 0.0.0.255 any
access-list 104 permit icmp any host 172.17.2.1 echo-reply
access-list 104 permit icmp any host 172.17.2.1 time-exceeded
access-list 104 permit icmp any host 172.17.2.1 unreachable
access-list 104 permit tcp host 2.2.2.2 host 172.17.2.1 eq 443
access-list 104 permit tcp host 2.2.2.2 host 172.17.2.1 eq 22
access-list 104 permit tcp host 2.2.2.2 host 172.17.2.1 eq cmd
access-list 104 deny   ip 10.0.0.0 0.255.255.255 any
access-list 104 deny   ip 172.16.0.0 0.15.255.255 any
access-list 104 deny   ip 192.168.0.0 0.0.255.255 any
access-list 104 deny   ip 127.0.0.0 0.255.255.255 any
access-list 104 deny   ip host 255.255.255.255 any
access-list 104 deny   ip host 0.0.0.0 any
access-list 104 deny   ip any any log


 sull'accesslist associata alla route_map della navigazione.
ovviamente con il proxy arp abilitato sulla VLAN 1.
Alex.