Newsgroup: it.comp.reti.cisco
Titolo: Problema con VPN e routing

Salve a tutti,
ho un problema con una configurazione VPN.
Ho due sedi che hanno una VPN tra di loro tramite un collegamento
Interbusiness HDSL utilizzato per l'accesso ad Internet.
La LAN della sede A è 
172.30.1.0/24
.
La LAN della sede B è 
172.30.2.0/24
.
La VPN funziona benissimo, tutto il traffico entrante nel router viene
gestito correttamente.
L'unico problema è che se cerco di accedere alla sede A dal router della
sede B (e viceversa), ad esempio tramite un ping, il router non sa come
instradare il traffico tramite la VPN. Cerca di passare tramite l'indirizzo
la ser 0/0.1 con l'indirizzo pubblico. Da notare che se da un PC della sede
A (ad es. 172.30.1.10) lo pingo all'indirizzo 172.30.2.1, lui risponde,
quindi usa l'instradamento corretto !!
Come faccio a dargli una route corretta, se per aggungere una route devo
avere una interfaccia a cui indirizzarla ? Ci sarà una soluzione più
elegante di aggiungere un tunnel solo per il traffico originato dal router !
Ne ho bisogno per utilizzare il VOIP. Lo so che potrei passare tramite
l'indirizzo pubblico della ser0/0.1, ma ormai è diventata una questione di
principio....
Es. di un traceroute dal router della sede B :
traceroute 172.30.1.1
Type escape sequence to abort.
Tracing the route to 172.30.1.1
  1 (44.44.44.56) 8 msec 4 msec 8 msec
  2  *  *  *
  3  *  *  *
  4  *  *
La config del router B è (quella del router A è speculare), con gli
indirizzi modificati per sicurezza :
version 12.2
service timestamps debug uptime
service timestamps log uptime
!
hostname pippo
!
enable secret XXXXXXXXXXXXXXXXXXXXXXX
!
ip subnet-zero
!
!
ip audit notify log
ip audit po max-events 100
!
crypto isakmp policy 10
 encr 3des
 hash md5
 authentication pre-share
 group 2
 lifetime 28800
crypto isakmp key XXXXXXXXXXXXXXXXXXX address 55.55.55.55
!
!
crypto ipsec transform-set 3DES esp-3des esp-md5-hmac
!
crypto map vpn local-address Serial0/0.1
crypto map vpn 3001 ipsec-isakmp
 set peer 55.55.55.55
 set transform-set 3DES
 set pfs group2
 match address 131
!
!
voice call carrier capacity active
!
voice service pots
!
!
!
!
!
!
!
!
!
mta receive maximum-recipients 0
!
!
!
!
interface Ethernet0/0
 ip address 172.30.2.1 255.255.255.0
 ip nat inside
 half-duplex
!
interface Serial0/0
 no ip address
 encapsulation frame-relay
 no ip route-cache
 no ip mroute-cache
 frame-relay lmi-type cisco
!
interface Serial0/0.1 point-to-point
 description connected to Internet
 ip address 44.44.44.44 255.255.255.248
 ip nat outside
 no ip route-cache
 no ip mroute-cache
 frame-relay interface-dlci 125 IETF
 crypto map vpn
!
interface Ethernet0/1
 no ip address
 shutdown
 half-duplex
!
ip nat pool nat-pool-internet 44.44.44.44 netmask 255.255.255.248
ip nat inside source route-map no-nat-vpn pool nat-pool-internet overload
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0/0.1
no ip http server
ip pim bidir-enable
!
!
access-list 131 permit ip 172.30.2.0 0.0.0.255 172.30.1.0 0.0.0.255
access-list 131 deny   ip 172.30.2.0 0.0.0.255 any
access-list 150 deny   ip 172.30.2.0 0.0.0.255 172.30.1.0 0.0.0.255
access-list 150 permit ip 172.30.2.0 0.0.0.255 any
!
route-map no-nat-vpn permit 150
 match ip address 150
!
call rsvp-sync
!
voice-port 1/0/0
 cptone IT
!
voice-port 1/0/1
 cptone IT
!
!
mgcp profile default
!
dial-peer cor custom
!
!
!
dial-peer voice 1 pots
 destination-pattern 42...
 port 1/0/1
 forward-digits 3
!
dial-peer voice 2 voip
 destination-pattern 41...
 session target ipv4:172.30.1.1
!
!
!
Grazie a tutti per l'aiuto
romadd64

 quindi usa l'instradamento corretto !!
Ciao,
hai provato a fare un ping esteso per raggiungere un IP privato dell'altra
sede,  ??
Facci sapere cosa accade facendo un ping esteso,
Matador

 wrote in message 
ciao, le sedi (a,b) vanno anche su internet?
- cioè i router relativi hanno una :
ip route 0.0.0.0 0.0.0.0 ser0
oppure solo :
ip route "lanA" tunnel0
ip route "tunneldestination" ser0
infatti in quest' ultimo caso la vpn funziona , ma le sedi non
navigano su internet e pertanto i router non hanno nessun
instradamento se non quello verso il tunnel destination!
giuseppe
sfs.elis.org
www.italycug.org

Innanzitutto un grazie a tutti quelli che mi hanno risposto.
In ogni sede il router della VPN č lo stesso usato per l'accesso ad
internet.
Viene regolato nel config da :
ip nat pool nat-pool-internet 44.44.44.44 netmask 255.255.255.248
ip nat inside source route-map no-nat-vpn pool nat-pool-internet overload
ip route 0.0.0.0 0.0.0.0 Serial0/0.1
access-list 150 deny   ip 172.30.2.0 0.0.0.255 172.30.1.0 0.0.0.255
access-list 150 permit ip 172.30.2.0 0.0.0.255 any
route-map no-nat-vpn permit 150
 match ip address 150
Ho provato sul router B con l'extended ping, utilizzando come source address
quello della eth0/0 (172.30.2.1), e riesco a pingare qualsiasi indirizzo
della sede A (compreso il router).
Quindi il problema potrebbe essere : come "convincere" il router che
l'outbound interface per la sede remota č la sua eth0/0 invece della
ser0/0.1 (il default gateway) ? Ho provato ad aggiungere :
ip route 172.30.1.0 255.255.255.0 Ethernet0/0
ma non cambia nulla.
romadd64

 ser0/0.1 (il default gateway) ? Ho provato ad aggiungere :
se ti serve solo per la voce puoi utilizzare sulla ethernet questo comando:
 h323-gateway voip bind srcaddr <ip address>
che praticamente fa in modo che i pacchetti relativi al traffico h.323
abbiano come source add quello della ethernet stessa.
Ciao
Marco
P.S. qui trovi il motivo per cui e' stato introdotto:
http://www.cisco.com/warp/public/788/AVVID/fix_1way_voice.html

 wrote in message
news:1032965459.961404@sj-nntpcache-3...

Grazie Marco, funziona !!
Romadd64