Newsgroup: it.comp.reti.cisco
Titolo: VPN su ADSL con 827

ciao a tutti, vi volevo chiedere un consiglio sulla configurazione di due
827 collegati ad internet che fanno anche VPN tra le due sedi.
premetto che ho provato il tipo di configurazione consigliata nelle FAQ del
newsgroup ma non ho avuto successo, evidentemente avrò sbagliato qualcosa.
di seguito la configurazione attuale, che funziona, ma che non soddisfa
appieno le esigenze di banda x la VPN. sò benissimo che l'827 non è nato x
fare VPN e che l'ADSL telecom fa il resto.
cosa posso modificare per migliorare le prestazioni?!
ecco le due conf
SEDE1
interface Tunnel0
 ip address 192.168.30.2 255.255.255.252
 tunnel source ATM0.1
 tunnel destination "ip_pubblico_sede2"
 tunnel mode ipip
!
interface Ethernet0
 ip address 192.168.200.1 255.255.255.0
 ip helper-address 192.168.200.0
 ip nat inside
!
interface ATM0
 no ip address
 ip nat outside
 no atm ilmi-keepalive
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface ATM0.1 point-to-point
 ip address "ip_pubblico_sede1" "net_mask"
 ip nat outside
 pvc 8/35
  protocol ip "ip_pubblico_sede1" broadcast
  encapsulation aal5snap
 !
!
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip route 192.168.100.0 255.255.255.0 Tunnel0
no ip http server
!
ip nat pool sede2 "ip_pubblico_sede1+2ip" "ip_pubblico_sede1+2ip" netmask
255.255.255.0
ip nat inside source list 1 pool sede2 overload
ip nat inside source route-map nonat pool sede1 overload
access-list 1 permit 192.168.200.0 0.0.0.255
access-list 101 deny   ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255
access-list 101 permit ip 192.168.200.0 0.0.0.255 any
route-map nonat permit 10
 match ip address 101
SEDE2
interface Tunnel0
 ip address 192.168.30.1 255.255.255.252
 tunnel source ATM0.1
 tunnel destination "ip_pubblico_sede1"
 tunnel mode ipip
!
interface Ethernet0
 ip address 192.168.100.1 255.255.255.0
 ip helper-address 192.168.100.0
 ip nat inside
!
interface ATM0
 no ip address
 ip nat outside
 no atm ilmi-keepalive
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface ATM0.1 point-to-point
 ip address "ip_pubblico_sede2" "net_mask"
 ip nat outside
 pvc 8/35
  protocol ip "ip_pubblico_sede2" broadcast
  encapsulation aal5snap
 !
!
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip route 192.168.200.0 255.255.255.0 Tunnel0
no ip http server
!
ip nat pool sede2 "ip_pubblico_sede2+2ip" "ip_pubblico_sede2+2ip" netmask
255.255.255.0
ip nat inside source list 1 pool sede2 overload
ip nat inside source route-map nonat pool sede1 overload
access-list 1 permit 192.168.100.0 0.0.0.255
access-list 101 deny   ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255
access-list 101 permit ip 192.168.100.0 0.0.0.255 any
route-map nonat permit 10
 match ip address 101

 fare VPN e che l'ADSL telecom fa il resto.
Guarda che per quanto riguarda i tunnel non criptati l'827 regge
benissimo le prestazioni dell'adsl, noi ne abbiamo in giro a decine
che sui 640 kbps dell'adsl riescono tranquillamente a tirare 600kbps
di payload dentro i tunnel (sia gre ip che ipip). A naso direi che
il problema e' del lato del tuo provider.
Ciao
	Loris
-- 
---------------------------------------------------------------------
Loris Marcovati                     phone    +39 02 70004850-44
C.U. S.r.l.                         fax      
+39 02 70004853
Via Reina  35                       e-mail   
Loris.M...@cu.mi.it
I-20133 Milano - Italy              
http://www.cu.mi.it

 [Snip CONF]
scuz, ma cosi' tu hai creato solo un tunneling, non è protetto !!!!
chiunque potrebbe "guardare" il traffico fra le due sedi.
Non è meglio un tunneling IPSEC ??
L'827 lo supporta con un upgrade dell'IOS (realizzato e funzionante con 3
sedi fra 2 827 ed 1 801)
Ciao, Salvatore

Non č meglio un tunneling IPSEC ??


 tunnel tutto va, ma quando metto una cryptomap non funziona nulla.
Ma l'IOS è quello base oppure è quello con funzioni IPSEC ??
Se è la versione base, non puoi utilizzare le funzioni IPSEC, ma devi
aggiornare la versione che hai con una che usa funzionalità crypto.
Nei router è precaricata la versione base quindi, se non hai fatto alcun
aggiornamento è quella !!!
Puoi controllare con uno show versiom.
se nel nome dell'immagine IOS ci sta qualcosa del genere c820-...-mz
allora è la versione base, se invece trovi scritto c820-k8osys6 supporta 
l'IPSEC.
cioa, Salvatore

Ma l'IOS č quello base oppure č quello con funzioni IPSEC ??
Si si, la IOS supporta l'ip sec, č un router upgradato e farcito di
memoria :-)
Ora sono riuscita a far funzionare la cryptomap.
Il problema č questo.
Nella LAN remota 10.0.1.x ho un web.
A casa mia ho vari client 10.2.30.x.
Quando applico la cryptomap tutto funziona, ma navigo in quel web
residente su 10.0.1.x solo con uno dei pc che ho in casa e non con gli
altri seppur della stessa classe.
Mi chiedo quindi se il problema sia solo dover non nattare questo
traffico:
access-list 120 permit ip 10.2.1.0 0.0.0.255 10.0.1.0 0.0.0.255
qual'č perň il modo piů semplice per farlo?
Nikita

 qual'è però il modo più semplice per farlo?
Scusami un attimo, magari dico delle stupidaggini. Tu non dovresti
nattare alcun tipo di traffico fra le due sottoreti, ma semplicemente
ruotare il traffico da una all'altra.
Forse c'è qualcosa che mi sfugge !!!
Oltretutto con quel tipo di Access List autorizzi il traffico da 10.2.1.x
e non da 10.2.30.x (immagino sia un errore di battitura)
Ciao, 1 Salvatore che non ha inquadrato il probs :(

 ha scritto nel messaggio
news:pan.2003.01.20....@connexxa.it...


 Ciao, Salvatore