Newsgroup: it.comp.reti.cisco
Titolo: Full Business Company ADSL Multigroup Mega

Buona serata a tutto il newsgroup,
vorrei sottoporre alla Vostra attenzione il problema che mi si è presentato
oggi.
Ho configurato un router Cisco Soho 97 ADSL, secondo i dati forniti dalla
"solita" scheda di attivazione Telecom, per collegare una piccola rete
locale (indirizzi IP privati + NAT) ad internet e creare una VPN,
utilizzando IPSEC 3DES e      pre-shared key, con un'altra sede dove è
installato un router Cisco 2610 con una HDSL a 2Mb.
La linea è una "Full business Company ADSL Multigroup Mega" 1280/256 con 5
IP statici assegnati.
Collegato il router l'interfaccia ADSL si fasa senza nessun problema con la
centrale telecom, ma se cerco di fare un ping dalla rete interna verso un
qualsiasi indirizzo pubblico internet mi risponde destinazione
irraggiungibile dall'indirizzo IP della punto-punto lato Telecom.
Se da internet cerco di pingare l'indirizzo pubblico della punto-punto lato
router risponde senza nessun problema, ma se cerco di telnettare sul router
non riesco, nonostante non ci sia nessuna restrizione sul telnet abilitata.
Ho aperto un caso al supporto tecnico interbusiness ma senza ottenere
nessuna risposta "apprezzabile" (forse problema di routing lato loro, forse
problema di natting lato mio).
Qualcuno ha un'idea di quale possa essere il problema?
Allego la configurazione, un pò semplificata, implementata sul
router...GRAZIE MILLE per l'attenzione:
hostname Router
aaa new-model
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
username ******  password *******
enable secret ********
enable password **********
ip subnet-zero
ip classless
no ip domain-lookup
ip inspect name firewall ftp
ip inspect name firewall tcp timeout 3600
ip inspect name firewall udp timeout 60
crypto isakmp policy 4
authentication pre-share
crypto isakmp key ******* address (indirizzo IP pubblico punto-punto router
remoto) no-xauth
crypto ipsec transform-set prova esp-3des esp-md5-hmac
crypto map prova local-address ATM0.35
crypto map prova 7 ipsec-isakmp
set peer (indirizzo IP pubblico punto-punto router remoto)
set  transform-set prova
match address 105
int ethernet0
ip address 10.xxx.yyy.zzz 255.255.255.240
ip  nat  inside
int ATM0
no ip  address
no  ATM0 ilmi-keepalive
boundle-enable
dsl operating-mode auto
int ATM0.35 point-to-point
ip  address XXX.XXX.XXX.XXX+1 255.255.255.252
ip  nat  outside
ip  inspect firewall out
pvc 8/35
protocol ip XXX.XXX.XXX.XXX broadcast
crypto map prova
ip nat  translation timeout 180
ip nat  translation tcp-timeout 180
ip nat  translation udp-timeout  180
ip  nat  inside source list  120 int ATM0.35 overload
ip  route 0.0.0.0 0.0.0.0 ATM0.35
no  ip  http server
access-list 105 permit ip (indirizzo LAN rete locale) 0.0.0.15 (indirizzo
LAN rete remota) 0.0.0.63
access-list 105 permit ip (indirizzo LAN rete remota) 0.0.0.63 (indirizzo
LAN rete locale) 0.0.0.15
access-list 120 deny ip (indirizzo LAN rete locale) 0.0.0.15 (indirizzo LAN
rete remota) 0.0.0.63
access-list 120 deny ip (indirizzo LAN rete remota) 0.0.0.63 (indirizzo LAN
rete locale) 0.0.0.15
access-list 120 permit ip (indirizzo LAN rete locale) 0.0.0.15 any
line  con 0
login local
line  vty  0 4
login local

 router...GRAZIE MILLE per l'attenzione:
Vedo che hai una configurazione mediamente complessa. Togli tutte le
access-list e fai funzionare il tutto poi aggiungi le access-list che servono a
indurire il router.
Usa il criterio incrementale, specie per le config complesse che usano ipsec.
qualche ora in piu' nel costruire e testare tutti i gradini intermedi si
ripagano risparmiando giorni o settimane trascorsi a scoprire xche' la
bellissima configurazione "totale" non funziona come desiderato.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 Ciao
Normalmente utilizzo anchio questo modus operandi...comunque anche provando
con la configurazione minimale (solo collegamento internet con NAT senza
VPN) il problema rimane lo stesso.
GRAZIE MILLE PER LA COLLABORAZIONE.


 GRAZIE MILLE PER LA COLLABORAZIONE.
Se puoi configura un IP pubblico su una loopback, e prova vedere se funziona
..
Ciao



gli ip del punto punto che ti da telecome sono filtrati se ti una
subnet di ip pubblici!!
devi usare gli ip che ti hanno assegnato
io di solito definisco una loopback a cui assegno uno di questi  con
maschera /29
a questo punto puoi telnettare dall'esterno quello..
ovviamente il nat non lo puoi piu' fare sull'atm ma o sulla loopback o
su un pool (ovviamente degli ip che ti hanno dato)
postai  (per le faq :PP )
http://groups.google.com/groups?hl=en&lr=&ie=UTF-8&oe=UTF-8&scoring=d&selm=n44lqvkpnm2otison02f61cml3559fsd2q%404ax.com
se ti puo' servire...
ciao

 ha scritto nel messaggio
news:psnd00tqb5vvhoop9...@4ax.com...

Anzitutto grazie per la fattiva collaborazione sia tua che di Fabio.
Mi sono limitato ad utilizzare l'indirizzo punto-punto per fare NAT perchè
fin ora non mi era mai capitato questo tipo di anomalia (ad esempio su ADSL
Smart 5 e 10 la configurazione postata funziona senza nessun problema).
Visto che tutti e due mi dite che gli indirizzi punto-punto sui contratti
ADSL Multigroup MEGA sono "filtrati", domani pomeriggio sono sul posto e
proverò ad utilizzare gli indirizzi ip pubblici assegnando il primo alla
interfaccia di Loopback e utilizzando gli altri come pool per il NAT.
Appena torno vi relazionerò in merito all'esito dell'intervento.
Ciao e grazie ancora.


Hai provato ad installare un ntp server interno come stratum 2?
Ciao,
         Tosh.



ovviamente su un server interno funziona...  

 ha scritto nel messaggio
news:on3e009tkaflm9hre...@4ax.com...

Ho messo in pratica i Vostri suggerimenti e tutto funziona perfettamente.
Comunque penso che il "filtraggio" degli indirizzi punto-punto non dipenda
dal fatto che tu abbia uno o più indirizzi IP assegnati ma dipenda del tipo
di contratto sottoscritto con il provider.
Come già avevo detto ho implemetato soluzioni VPN utilizzando contratti ADSL
Smart 5, Smart10 e HDSL Interbusiness a 2 e 4 Mb senza mai riscontrare
questo problema (il traffico tra le punto-punto era permesso).
Per finire vi chiedo un ulteriore suggerimento, che metodologia utilizzate
per analizzare le performance di una connessione ADSL/HDSL (es. funzionalità
di sh e debug IOS con syslog server o tools windows/linux esterni)?
Grazie e ciao.



tipicamente mi accontento di mrtg e nagios..

 tipicamente mi accontento di mrtg e nagios..
ah, ti accontenti!
magari usi pure mrtg_total ....
un mayhem e due dei migliori tool sul mercato ...
-- 
 Per il monte di venere non occorre essere alpinisti. Vallik
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

un mayhem e due dei migliori tool sul mercato ...
concordo!