Newsgroup: it.comp.reti.cisco
Titolo: VPN MS dalla LAN

Ciao a tutti,
vi chiedo un parere su questa questione:
ho una LAN con una connessione HDSL con Wind. La LAN ha indirizzi privati
192.168.0.0/24
 e sul router è attivato il NAT outside aperto su tutte le
porte (la eth del router ha solo un indirizzo della rete privata).
Ho provato a configurare una VPN Microsoft da un PC sulla LAN verso un
indirizzo esterno pubblico e non funziona: i pacchetti arrivano a
destinazione, ma non tornano. La stessa VPN funziona se la lancio da un PC
collegato tramite modem e accesso remoto con Libero.
Ho chiamato i tecnici di Wind, i quali mi hanno risposto che con il NAT non
è possibile farlo e che l' unica soluzione è quella di dare un indirizzo
pubblico al PC in questione.
Scusate la mia ignoranza, ma, a parte che purtroppo non posso entrare nel
loro router per guardare la conf  o mettermi in debug, a quanto ne so io la
VPN MS dovrebbe comportarsi come una qualsiasi applicazione, cioè in questo
caso il protocollo GRE dovrebbe lavorare a livello applicazione ed essere
quindi reincapsulato a livello network, per cui il NAT del router dovrebbe
vederlo come una qualsiasi altra applicazione (tipo apertura di una pagina
web).
Mi sbaglio io oppure i tecnici Wind mi hanno preso per il c..., perchè non
avevano voglia di fare troubleshooting sul problema?
ciao e grazie

da quanto ho capito wind ti mette in una situazione simil fastweb.
la risposta č no, non ci puoi fare nulla
ti allego la mail di risposta ad un problema simile al tuo da parte di 
Fabio Pietrosanti in una mailing list di settore, che penso risponda a 
perfezione al tuo problema:
----------------------  snip  ------------------------------------
Mittente: Fabio Pietrosanti (naif)
Data: 22 Nov 2002 21:56:21 -0000
Per ovviare ai problemi relativi alle incompatibilita' con la NAT di
protocolli utilizzati per effettuare VPN widely used come IPSec ( ESP = 
proto
50, AH = proto 51 ) e PPTP ( 1724/TCP + GRE = proto 47 )  sono state 
proposte
alcune soluzioni.
Nello specifico per IPSec ci sono delle proposte di incapsulare IPSec
all'interno di pacchetti udp, consentendo cosi' al dispositivo che sul
frontend effettua la NAT di gestire tale connessione inserendola nella sua
connection table .
I riferimenti si trovano qui:
http://www.ietf.org/internet-drafts/draft-ietf-ipsec-udp-encaps-01.txt
http://www.ietf.org/internet-drafts/draft-ietf-ipsec-udp-encaps-justification-00.txt
http://www.ietf.org/internet-drafts/draft-ietf-ipsec-nat-t-ike-01.txt
A quanto ne so' FreeS/WAN non implementa tale soluzione mentre alcuni vendor
quali Cisco ( per ora solo con i vpn concentrator ma se non sbaglio presto
anche con PIX, misi confermi? ) e Checkpoint ( con FW-1/VPN-1 NG ) hanno 
gia'
implementato tali soluzioni ( che ho testato con successo sia tra client 
mobili
che tra peer fissi ) ma che non so' se siano interoperabili fra loro .
Intanto sono nate una moltitudine di soluzioni VPN NAT-aware implementati in
soluzioni come il classico "pppd over ssh", vtun ( 
vtun.sf.net
 ) e OpenVPN
( 
openvpn.sf.net
, che uso personalmente ed e' molto stabile e performante
oltre che molto sicuro grazie all'autenticazione bidirezionale con 
certificati
digitali ) che nascono nel mondo opensource e purtroppo rimangono la
maggioranza delle volte in questo mondo ( ovvero se hai un peer Windows 
non li usi ) .
Un'alternativa opensource che garantisca l'interoperabilita' fra il mondo
microsoft e il mondo *nix e' rappresentata da CIPE ( Crypto IP 
Encapsulation )
che usa udp come protocollo e non ha quindi problemi con la NAT ed e' a
disposizione anche per Windows ( XP purtroppo in fase di sviluppo ) .
CIPE: 
http://sites.inka.de/sites/bigred/devel/cipe.html
CIPE x win32: 
http://cipe-win32.sourceforge.net/
Saluti
------------------ snip --------------------------
ciao
p

 ha scritto nel messaggio
news:3DF0E8A6...@softhome.net...
