Newsgroup: it.comp.reti.cisco
Titolo: Per Fabio Sardone e tutto il NG

Ciao a tutto il NG,
dopo un numero indefinito di tentativi e di altrettante notti insonni,
seguendo le indicazioni di questo NG, sono riuscito a configurare una
VPN dinamica utilizzando un C827 e il Cisco VPN Client 4.0;
purtroppo come le altre persone di questo NG impegnate in questa ardua
impresa sono arrivato a un punto morto:
il VPN Client effettua regolarmente l'autentificazione ma non riesco a
pingare ne tantomeno a vedere le risorse condivise;
spulciando i post del NG relativi a questo argomento mi č sembrato di
capire che dovrei eliminare il NAT e applicare particolari ACL;
ci ho provato con l'unico risultato che dopo le modifiche di cui sopra
non avviene piů neanche l'autentificazione.
Vi posto la configurazione dei due Router premettendo che entrambi
hanno 48MB DI ram e questa versione  di IOS:
c820-k9osv6y6-mz.122-8.T5
SCENARIO:
ComputerA-Router1(IP statico)-----Internet----Router2(IP
dinamico)-CpmputerB(VPN Client)
Router1:
Current configuration : 3341 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
logging buffered 4096 informational
aaa new-model
!
!
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
!
username cisco password 0 cisco
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip name-server 194.243.154.62
ip name-server 195.31.190.31
!
ip inspect name myfw cuseeme timeout 3600
ip inspect name myfw ftp timeout 3600
ip inspect name myfw rcmd timeout 3600
ip inspect name myfw realaudio timeout 3600
ip inspect name myfw smtp timeout 3600
ip inspect name myfw tftp timeout 30
ip inspect name myfw udp timeout 15
ip inspect name myfw tcp timeout 3600
ip inspect name myfw h323 timeout 3600
!
!
!
!
!
!
!
!
crypto isakmp policy 3
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp client configuration group 3000client
 key cisco123
 dns 194.243.154.62 195.31.190.31
 domain 
cisco.com
 pool ippool
!
!
crypto ipsec transform-set myset esp-3des esp-sha-hmac
!
crypto dynamic-map dynmap 10
 set transform-set myset
!
!
crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap client configuration address respond
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
!
!
!
interface Ethernet0
 ip address 192.168.1.1 255.255.255.0
 ip access-group 122 out
 ip nat inside
 hold-queue 100 out
!
interface ATM0
 no ip address
 ip nat outside
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.1 point-to-point
 ip address A.B.C.D 255.255.255.252
 ip access-group 111 in
 ip nat outside
 ip inspect myfw out
 pvc 8/35
  encapsulation aal5snap
 !
 crypto map clientmap
!
ip local pool ippool 192.168.1.50 192.168.1.150
ip nat inside source list 102 interface ATM0.1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip http server
ip pim bidir-enable
!
!
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
access-list 111 permit tcp any any eq telnet
access-list 111 permit icmp any any administratively-prohibited
access-list 111 permit icmp any any echo
access-list 111 permit icmp any any echo-reply
access-list 111 permit icmp any any packet-too-big
access-list 111 permit icmp any any time-exceeded
access-list 111 permit icmp any any traceroute
access-list 111 permit icmp any any unreachable
access-list 111 permit udp any eq bootps any eq bootpc
access-list 111 permit udp any eq bootps any eq bootps
access-list 111 permit udp any eq domain any
access-list 111 permit esp any any
access-list 111 permit udp any any eq isakmp
access-list 111 permit udp any any eq 10000
access-list 111 permit tcp any any eq 1723
access-list 111 permit tcp any any eq 139
access-list 111 permit udp any any eq netbios-ns
access-list 111 permit udp any any eq netbios-dgm
access-list 111 permit gre any any
access-list 111 deny   ip any any log
access-list 122 deny   tcp any any eq telnet
access-list 122 permit ip any any
!
line con 0
 stopbits 1
line vty 0 4
 exec-timeout 120 0
 length 0
!
scheduler max-task-time 5000
end
Ps:ho provato ad eliminare le funzioni firewall, ma niente da fare non
va uguale!
Router2:
Current configuration : 1083 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip name-server 194.243.154.62
ip name-server 195.31.190.31
!
!
!
!
!
!
!
!
!
!
!
!
interface Ethernet0
 ip address 192.168.2.1 255.255.255.0
 ip nat inside
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp chap hostname *********@
virgilio.it
 ppp chap password 0 *******
 ppp pap sent-username  *********@
virgilio.it
 password 0 *******
!
ip nat inside source list 1 interface Dialer0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
ip http server
ip pim bidir-enable
!
!
access-list 1 permit 192.168.2.0 0.0.0.255
!
call rsvp-sync
!
!
line con 0
 stopbits 1
line vty 0 4
 login
!
scheduler max-task-time 5000
end
Approfitto per porre altri quesiti:
la configurazione che ho usato per il Router con IP statico deve
essere fatta necessariamente in questo modo o esistono delle
alternative? posso ad esempio utilizzare il dialer come per l'altra
configurazione?
il mio IOS supporta Easy VPN?
Grazie a tutti quelli che sino ad ora mi hanno aiutato consentendomi
questo risultato intermedio e grazie a tutti quelli che dopo aver
letto questo lungo post avranno la pazienza di darmi una mano.
Buone vacanze a chi le fa (io purtroppo no)
Edoardo

la confiugurazione sembra un copia incolla degli esempi senza un minimo 
di ragionamento. Non andare a tentativi senza prima aver capito le basi.
L'arte della prova sul campo e' fondamentale ma NON PUO' escludere lo
studio della documentazione sui principi base di funzionamento.
qualche cenno:
- qual'e' l'ACL che definisce il traffico che va criptato ?
- tira vie le ACL di filtro. non aggiungere complicazioni.
   se timuovi a tentativi, riduci le variabili.
   cerca di far funzionare sta benedetta VPN e poi gestisci tutto il 
resto (sicurezza prima di tutto)
- a quale interfaccia e' applicata la crypto-map ?
- non puoi avere dubbi se il traffico della VPN vada nattato oppure ...
   non VA NATTATO ma devi capire perche', altrimenti il giorno che 
dovesse funzionare ti sentiresti come uno che per il grande culo a vinto 
alla lotteria piuttosto che uno cha ha imparato qualcosa.
Insomma l'esempio:
http://www.cisco.com/en/US/tech/tk583/tk372/technologies_configuration_example09186a0080094685.shtml
ti aiuta. perdere le notti andando a caso non serve  a nulla. Spegni il 
cisco per qualche giorno e studiati la documentazione. segui l'esempio, 
piano piano,poi prova.
dai su :-)
		ciao

 il mio IOS supporta Easy VPN?
Credo dipenda. Easy VPN e' client e server. La versione client e' supportata da
tutti i router (con  ipsec) mentre la versione server solo dal 17xx in su ....
(potrei sbagliare).
[SNIP]
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 dai su :-)
Sottoscrivo. Io comunque ho passato le notti insonni anche dopo aver studiato i
docs. Ma sono di coccio :-)


...

Ciao Arx,
grazie per avermi risposto,
cerco di rispondere alle tue domande:a quale interfaccia e' applicata
la crypto-map ?
nel documento del link che mi hai postato(e che ho usato come base per
la configurazione) dal Network Diagram si arguisce che la crypto-map
va applicata all'interfaccia che va su Internet, nel caso dell'esempio
la et0/0 del 2611, nella mia configurazione che utilizza un 827 la
crypto-map è stata applicata alla atm0.1;
le ACL di filtro le ho messe in quanto avendo un IP statico sono
soggetto ad attacchi continui(anche 50 in un ora).
Vediamo se ho capito perchè va tolto il NAT:
il VPN Server assegna al VPN Client un IP secondo quando specificato
nel pool, ma siccome nell'orine viene processato prima il NAT e poi la
criptazione,il pacchetto arriva con l'IP nattato che è quello
assegnato dinamicamente dall'ISP;
qual'e' l'ACL che definisce il traffico che va criptato ?
ora che mi ci fai pensare mi sa che non la ho applicata per niente, è
così?
Rivedendo il documento del link la ACL dovrebbe essere questa:
access-list 100 permit ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
che però non ho inserito in quanto ho soltanto la VPN dinamica mentre
se ho capito bene questa ACL si riferisce alla punto-a-punto.
E' giusto questo raggionamento?
DOMANDA:
bisogna seguire un particolare criterio nell'assegnazione del pool di
indirizzi da dare al VPN Client?La mia scelta(192.168.1.50
192.168.1.150) era motivata dal fatto che la et0 ha 192.168.1.1 e il
pcA 192.168.1.2 ma per la questione del NAT........sto incominciando a
capire?
ALTRE DOMANDE:
come faccio ad eliminare il NAT dal Router2?
Puoi darmi indicazioni su come realizzare l'ACL che definisce il
traffico che va criptato?ho fatto vari tentativi ma non fungono.
Spero tu abbia la pazienza di continuare ad aiutarmi, sono un pò duro
di comprendorio ma poi bell' è buono(traduazione
salernitano/italiano=all'improvviso) il mio cervello apre tutte le
65536 porte e comincio a capire!!!!!!!!!
grazie per la disponibilità,
ciao,
Edoardo

 
allora spiegazione:
tu hai un ip privato, supponiamo 192.168.0.100 e sei un pc della lan A.
questo pc si collega ad internet attraverso il tuo 827. sempre 
attraverso lo stesso router, con ipsec, deve collegarsi anche ad un
as400 192.168.1.100 della rete B remota.
e' evidente che se togli il nat tu non esci piu' su internet ( hai un ip 
privato) se del resto lasci il nat non raggiungi piu' l'as400. come si fa ?
si crea l'access list del traffico da criptare.
access-list 100 permit ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255
e poi si applica alla crypt-map
	crypto map clientmap client authentication list userauthen
	crypto map clientmap isakmp authorization list groupauthor
	crypto map clientmap client configuration address respond
	crypto map clientmap 1 ipsec-isakmp
	set peer XX.XX.XX.XX
	set transform-set myset
	match address 100  <<<<<<<<<<<<<<<<<<<<<<------------
	crypto map clientmap 10 ipsec-isakmp dynamic dynmap
e' chiaro ora ? il traffico che parte dal tuo pc 192.168.0.100 sara' 
criptato SE E SOLO SE deve raggiungere la rete 
192.168.1.0/24
, per 
esempio l'as400, altrimenti sara' nattato. (con altra opportuna 
access-list qui non visualizzata)
 > come faccio ad eliminare il NAT dal Router2?
	no ip nat inside
oppure
	no ip nat outside
dall'interfaccia a cui e' applicato.
RIPETO: studia la documentazione e abbandona quel router...
  per almeno qualche giorno. hai delle lacune di base. riempile
ora che e' estate :-)
ciao
arx e il tempo libero di una afosa notte udinese