Newsgroup: it.comp.reti.cisco
Titolo: Vpn Client e Nat-T

Salve,
ho un client XP che si collega correttamente ad un Pix con un
VpnClient tramite una connessione Dialup. Il tutto funziona bene anche
se il pc lo metto in una rete privata collegata ad internet tramite un
router ADSL Zyxel che fa NAT mentre non funziona se la rete privata è
collegata ad internet da un router Cisco.
In entrambi i casi viene stabilito il tunnel fra il VpnClient ma nel
primo caso riesco a fare il ping agli host interni mentre nel secondo
caso no.
Il NAT sul Cisco avviene con:
ip nat inside source list 131 interface ATM0.1 overload
access-list 131 permit ip any any
Il NAT sullo zyxel è di tipo SUA Only
Perchè non funziona?
grazie
Carlo

 caso no.
Butto li tre ipotesi:
1 - il router cisco ha delle acl sulla ethernet o sulla atm che bloccano i 
pacchetti vpn (tipicamente udp4500)
2 - la rete interna al router cisco ha gli stessi indirizzi della rete 
remota
3 - con le config di router e pix alla mano si potrebbe dire di più
Ciao,
        Tosh 

 Carlo
Ciao Carlo,
il problma potrebbe esere dovuto al fatto che sul router Cisco devi
specificare un port forwarding della porta UDP 500 IKE e del protocollo ESP
sull'indirizzo privato dellatua macchina, una cosa del tipo :
ip nat inside source static udp "indirizzo privato della tua macchina" 500
"indirizzo pubblico con il quale la tua macchina viene nattata" 500
ip nat inside source static esp "indirizzo IP privato della tua macchina"
"indirizzo pubblico con il quale vieni nattato "
Con lo Zyxel tutto funziona perchč probabilmente nel menů 15 (che non
ricordo come si chiami) hai specificato nel campo "default" l'indirizzo
privato della tua macchina.
Saluti,
Matador
 
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ESP
Potrebbe essere, ma in questo caso sarebbe meglio attivare il nat-traversal 
sul pix (che in questo caso sarebbe disattivato) piuttosto che fare i salti 
mortali sul router, cosa che tra l'altro consentirebbe ad un solo client 
alla volta di collegarsi.
Il comando è "isakmp nat-traversal 20"
Se la gente si abituasse a postare le config senza doverlo chiedere ....
Ciao,
        Tosh. 

...

Ciao Tosh, a volte ho sempre paura di eccedere sulla descrizione del
problema e penso sempre che qualcuno ha già affrontato lo stesso
problema prima di me e quindi che un piccolo ma buon suggerimento a
volte sia più che sufficiente.
In questo caso infatti, la tua dritta relativa al comando da mettere
sul Pix ha avuto subito effetto positivo nel senzo che ho risolto il
problema.
Per quanto riguarda lo Zyxel non era abilitato il punto 15 come diceva
Matador ma ho sentito dire che questa funzione, cioè l'inolto
automatico di tutti i pacchetti che arrivano al router verso un IP
interno, è abilitata di default.
Mi sembra una bufala ma ti posso garantire che senza il "isakmp..."
sul pix, CVPNC funziona perfettamente se il NAT lo fa uno Zxyel.
Per l'altro problema che ho farò il post della configurazione.
ciao a tutti e grazie
Carlo


Niente bufala, probabilmente lo zyxel di default tenta di fare un port 
mapping 1:1 per i protocolli vpn, mentre in ios va configurato.
In ogni caso, visto che utilizzi il client, č meglio attivare il 
nat-traversal in modo da evitare rogne, l'altra tecnica č piů indicata nel 
caso di configurazioni ipsec rigide tipo so microsoft.
Ciao,
        Tosh.
Ciao,
         Tosh.