Newsgroup: it.comp.reti.cisco
Titolo: maledetta vpn

Salve a tutti.
dopo 3 settimane di tentativi mi sono arreso:
ho 2 router 837 con i quali dovrei fare una VPN fra le nostre due sedi.
vi scrivo sotto le 2 configurazioni nel caso mi possiate dare una mano
altrimenti i router li butto tutti e 2 e faccio una VPN con i piccioni
viaggiatori!!!!!!!!!!!!!!!!!!
alcune spiegazioni per capire le conf.
PUNTOA e PUNTOB sono gli IP pubblici dei router
192.168.1.0 e 192.168.2.0 sono le 2 reti ke devo far parlare
192.168.1.122 è la ethernet del routerA
192.168.2.104 è la ethernet del routerB
queste conf le ho prese un po da internet un po da una conf funzionante e un
po dal sito cisco.
forse tutte queste info ridondanti mi hanno incasinato il cervello.
ultima cosa: su ogni router è collegata una ADSL SMART 10 con 1 IP pubblico.
ho kiamato anke telecom per sapere se questa ADSL avesse delle limitazioni o
filtri.. ma mi è stato detto ke non ci sono problemi, ci posso far passare
tutto quello ke mi pare!
grazie e scusate anke il piccolo sfogo personale.
router A
no ip subnet-zero
!
no ip bootp server
ip audit notify log
ip audit po max-events 100
!
crypto isakmp policy 1
 hash md5
 authentication pre-share
crypto isakmp key xxx address PUNTOB
!
!
crypto ipsec transform-set criptaggiotortoreto esp-des esp-md5-hmac
!
crypto map tunnelperchieti 1 ipsec-isakmp
 set peer PUNTOB
 set transform-set criptaggiotortoreto
 match address 100
!
partition flash 2 6 2
!
!
!
!
interface Ethernet0
 description CRWS Generated text. Please do not delete
this:192.168.1.122-255.255.255.0
 ip address 192.168.1.122 255.255.255.0
 ip nat inside
 no ip route-cache
 no ip mroute-cache
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip route-cache
 no ip mroute-cache
 atm vc-per-vp 64
 no atm ilmi-keepalive
 dsl operating-mode auto
 dsl power-cutback 0
!
interface ATM0.1 point-to-point
 ip address PUNTOA 255.255.255.0
 ip mtu 1200
 ip nat outside
 no ip route-cache
 no ip mroute-cache
 pvc 8/35
  encapsulation aal5snap
 !
 crypto map tunnelperchieti
!
ip nat inside source route-map nonat interface ATM0.1 overload
ip nat inside source static tcp 192.168.1.1 3389 interface ATM0.1 3389
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip http server
!
!
access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 102 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
route-map nonat permit 1
 match ip address 102
!
!
line con 0
 exec-timeout 120 0
 no modem enable
 stopbits 1
line aux 0
 stopbits 1
line vty 0 4
 exec-timeout 0 0
  login local
!
scheduler max-task-time 5000
end
ROUTER B
no ip subnet-zero
!
no ip bootp server
ip audit notify log
ip audit po max-events 100
!
crypto isakmp policy 1
 hash md5
 authentication pre-share
crypto isakmp key xxx address PUNTOA!
!
crypto ipsec transform-set criptaggiotortoreto esp-des esp-md5-hmac
!
crypto map tunnelperchieti 1 ipsec-isakmp
 set peer PUNTOA set transform-set criptaggiotortoreto
 match address 100
!
partition flash 2 6 2
!
!
!
!
interface Ethernet0
 description CRWS Generated text. Please do not delete
this:192.168.2.104-255.255.255.0
 ip address 192.168.2.104 255.255.255.0
 ip nat inside
 no ip route-cache
 no ip mroute-cache
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip route-cache
 no ip mroute-cache
 atm vc-per-vp 64
 no atm ilmi-keepalive
 dsl operating-mode auto
 dsl power-cutback 0
!
interface ATM0.1 point-to-point
 ip address PUNTOB 255.255.255.0
 ip mtu 1200
 ip nat outside
 no ip route-cache
 no ip mroute-cache
 pvc 8/35
  encapsulation aal5snap
 !
 crypto map tunnelperchieti
!
ip nat inside source route-map nonat interface ATM0.1 overload
ip nat inside source static tcp 192.168.2.1 3389 interface ATM0.1 3389
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip http server
!
!
access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 102 permit ip 192.168.2.0 0.0.0.255 any
access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
route-map nonat permit 1
 match ip address 102
!
!
line con 0
 exec-timeout 120 0
 no modem enable
 stopbits 1
line aux 0
 stopbits 1
line vty 0 4
 exec-timeout 120 0
 login local
 length 0
!
scheduler max-task-time 5000
end

 ho 2 router 837 con i quali dovrei fare una VPN fra le nostre due sedi.
e' tardi, sono stanco, domani daro' un occhio alle conf...ma a naso
perche' una route-map ?
hai fatto un debug ?

 hai fatto un debug ?
l'azienda ke fa capo a quella dove lavoro mi ha fatto fare un mini corso
dove ho rotto i maroni ai docenti xkè mi spiegassero le basi della creazione
di una VPN con i cisco e mi hanno dato quella "route-map" come necessaria
per la navigazione dei pc al di fuori del tunnel...
io francamente è la parte ke non capito della spiegazione e quindi l'ho
presa per buona...
debug non ne ho fatti... al dire il vero non li ho mai fatti... dovrei
imparare ad usarli ma putroppo in azienda mi manca il tempo.... :o(
cmque grazie per l'aiuto... se trovi qualcosa mi salvi!
xiao
davide

 presa per buona...
la route-map e' corretta, non avevo capito che le macchine dovessero 
anche uscire in internet. il concetto di route-map e' abbastanza 
semplice in questo caso.
route-map nonat permit 10
  match ip address 105
access-list 105 deny  ip 192.168.100.0 0.0.0.255 192.168.200.00.0.0.255
access-list 105 permit ip 192.168.100.0 0.0.0.255 any
la route-map decide per quale traffico fare il nat. se il traffico 
matcha con la 105 ovvero l'origine del traffico e' la 192.168.100. e la 
destinazione e' 192.168.200. non natta (deny) perche' e' traffico VPN
se l'origine e' 192.168.100.0 verso tutto quello diverso da 
192.168.200.0, fa il NAT (traffico internet)
per il debug posta quello che esce da:
debug crypto ipsec
debug crypto isakmp
debug crypto engine
curiosa la scelta di md5 per l'hashing isakmp. :-) ricorda che stai 
lavorando in des e non in 3-des
a parte la VPN il traffico verso internet funziona ?
se non funziona nemmeno quello bisognera' ampliare il raggio di azione
dei controlli. le adsl sono ok ?
ciao, arx

 per la navigazione dei pc al di fuori del tunnel...
cut
Con quella route map dici al router di nattare i pacchetti definiti
dall'access-list 102, che nega i pacchetti destinati ad utilizzare la VPN e
permette gli altri (quelli che devono navigare..). In questo senso
effettivamente e' necessaria, chi deve utilizzare la VPN con l'altro sito
non viene nattato e viene criptato, chi deve navigare viene nattato e non
criptato. Ad occhio la configurazione mi sembra corretta, ma spero qualcun
altro ti dia qualche indicazione piu' utile in tal senso...
Ciao
cronenberg
--
Il cielo stellato sopra di te, la legge morale dentro.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ciao, arx
xiao
grazie 1000!!!

 
entra in console, non in telnet per vedere i debug altrimenti dovresti 
attivare il monitor sul terminal per ottenere qualche output. di default 
sulle vty (telnet ) non esce nulla.
ciao, arx

 ciao, arx
grazie


ancora non ne vengo a capo!!!! :(((
xiao
davide