Newsgroup: it.comp.reti.cisco
Titolo: VPN client dietro router NAT

Sono riuscito a far funzionare il client Cisco VPN in modo che acceda ad un
server VPN (cisco 1721).
Con una conessione dialup internet, attivo la connessione vpn e tutto
funziona correttamente.
Quando tento una connessione vpn con il client cisco da una rete privata che
accede ad internet attraverso un router che fa NAT, mi autentico ottengo
l'ip ma poi la connessione non funziona correttamente.
Mi sono letto qualche articolo sul sito della cisco:
http://www.cisco.com/en/US/products/sw/iosswrel/ps1839/products_feature_guid
e09186a0080110bca.html
ma sinceramente non sho afferrato.
Qualcuno può spiegarmi il concetto?
Grazie
Rocco

 ha scritto nel messaggio
news:bpaavs$gpu$1...@grillo.cs.interbusiness.it...


 Questo detto molto ma molto superficialmente ma dovrebbe rendere l'idea.
In pratica non riesco neanche a pingare e connettermi a nessuna macchina
(server, share etc...)
Non va un caspio insomma!
Rocco

> In pratica non riesco neanche a pingare e connettermi a nessuna macchina
Hai configurato correttamente lo split tunnel?
Ciao,
         Tosh.


Non ho capito !
Con una connessione dialup internet mi connetto tranquillamente al 1721 e la
vpn funziona perfettamente.
Inoltre tra  2 sedi ho fatto il tunnel vpn e funzia correttamente.
Rocco


Le due situazioni che hai citato sono diverse da quella in cui ti trovi
adesso.
Con lo split tunnel il tuo pc saprà che per certe destinazioni deve inviare
i pacchetti al tunnel ipsec e per altre deve invece utilizzare direttamente
il default gateway.
Non è detto che sia la soluzione del tuo problema, ma vale la pena provare.
Un'altra possibilità è che il 1721 abbia una release non abbastanza
aggiornata e non gestisca il nat traversal, magari fai qualche ricerca in
proposito sul sito cisco.
Una ultima possibilità è che il router dal quale esci abbia filtrato tutte
le porte in uscita tranne quelle "istituzionali" tipo 80 e 25.
Dopo di che non mi sembra che rimanga altro se non andare a Lourdes :-)
Ciao,
        Tosh.

 le porte in uscita tranne quelle "istituzionali" tipo 80 e 25.
Come si fa a impostare lo split tunnel sul client?
Io potrei verifcare con un trace che percorso tentano di fare i pacchetti in
uscita verso gli ip che stanno dall'altra perte del tunnel VPN.
Ma cosa dovrei vedere?
Se ad esempio il mo gateway è un ip privato, facendo un trace non vedrei
altro che come primo hop un ip privato! No?
In merito alla seconda possibilità, ti riferisci al router cisco 1721 che fa
da server VPN, o quello che dovrebbe stare "davanti" al client vpn che cerca
di connettersi da un'altra rete?
La terza possibilità la escludo.
Grazie ancora


Bene.
Ciao,
        Tosh.

 traversal.
Grazie per le tue risposte.
Chiedendo ad altre persone mi hanno detto:
"Il protocollo IPSec necessita di un tunnel point to point senza Nat. O non
funziona.
Questo vale per qualsiasi applicativo di VPN che utilizzi IPSec come
trasporto "
mi dai un ulteriore aiuto per capire?
Grazi


Chiedi a persone poco aggiornate, o perlomeno troppo frettolose nelle
risposte.
Già da tempo esistono delle implementazioni di IPSEC che permettono di
scavalcare questo problema, relativo effettivamente al protocollo nativo,
incapsulando i pacchetti IPSEC in pacchetti tcp oppure udp, in modo da
permettergli di passare attraverso firewall e apparati che fanno nat in
genere, sempre che non abbiano delle acl che bloccano anche questo tipo di
traffico.
Tra i prodotti che implementano tale funzionalità ci sono proprio il client
vpn cisco ed il server vpn cisco basato su ios, sempre che siano configurati
correttamente e siano di una release non troppo vecchia.
A parte i consigli che ti avevamo dato nei post precedenti, prova anche a
quardare sul client che sia attiva l'opzione NAT-T, di default lo è ma non
si sa mai che sia stata disattivata per sbaglio.
Ciao,
         Tosh.

 si sa mai che sia stata disattivata per sbaglio.
Finalmente una risposta chiara.
Perchè a un certo punto non capisco più un cavolo! Qualcuno mi dice si può,
qualcuno mi dice assolutamente no e qualcun'altro mi mistifica la cosa!
Dal punto di vista del client, ho installato l'ultima versione della cisco
la 4.x ed il nat transparent tunneling è abilitato (come di default).
La versione di IOS sul cisco 1700 è la 12.2.7
Pertanto a questo punto se mi dici che dalla parte del "client" (cioè il
client dietro il router che fa nat per tutti gli host di una rete per
l'accesso ad internt) il problema deve per forza essere sul server vpn.
Ma io configurazioni "particolari" sul sito della cisco per
l'implementazione dell'accesso vpn, non ne ho trovate.
Esiste un comando di configurazione particolare per abilitare questa
funzione?
Mi assicuri che il router che mi natta il client remoto non deve avere
nessuna configurazione particolare (nessun firewall o access list di mezzo)?
Grazie


Ti basta non avere filtri sulle porte in uscita, o almeno non sulla udp 500
ed udp 4500, lo stesso vale per il server in ingresso.
Se poi sei dietro un router strano che fa delle vaccate questo non lo posso
sapere.
Ciao,
        Tosh.

 ha scritto nel messaggio
news:bpn017$1p96n9$1...@ID-167638.news.uni-berlin.de...



Ciao,
io ho la 4.0.2
Ma molto probabilmente il problema, come dice Tosh è dovut alla versione di
IOS sul 1700.
Infatti io ho su la 12.2.7 , mentre il supporto nat-t è disponibile dalla
versione 12.2.13
Purtroppo in questo momento non ho la nuova versione e quindi non posso
verificare che il problema sia esatamente quello.
Grazie
Rocco