Newsgroup: it.comp.reti.cisco
Titolo: Conf IPSec per Cisco 827

Ciao a tutti,
sto incontrando parecchi problemi a mettere in piedi
un accesso VPN da un pc remoto ad un Router ADSL 827 
Il router è dotato di estensione IPSec ed è normalmente 
usato da tutti in società per uscire su Internet.
Mi si è presentata la necessità di aprire un varco 
in ingresso e ho pensato di farlo usando una VPN installando sul 
client (win98) la vers. 1.1 del client VPN cisco.
Ogni tentativo di inserire le regole tipo 
crypto map ....
etc.
me lo lasci fare ma se salvo il tutto e faccio il reload
il router si blocca.
Qualcuno ha affrontato questo problema e mi può rigirare 
un esempio di conf?
Penso che si tratti di un problema di NAT ma ogni tentativo
di trovare configurazioni simili sul sito cisco non ha portato 
ad alcun risultato.
In sintesi si tratta di uno schema semplice:
PC ----- Internet ----- 827(IPSec) ---- Rete interna 10.0.0.x
Saluti 
E. Mondini
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 il router si blocca.
che ios usi?
a me fa piu' pensare a bug che altro.
il secondo dubbio e' il transform set ... se hai messo una cosa modello
cpu-eater potrebbe succedere ... al 2500 succede ;P
un mayhem e la guerra e' continua
--
Se odiamo qualcuno, e' perche' nella sua effige odiamo qualcosa che
e' in noi. Quello che non e' in noi non riesce ad eccitarci. H.H.
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org

 
IOS version 12.1
e questo č un estratto della conf:
....
crypto isakmp policy 1
 hash md5
 authentication pre-share
crypto isakmp key ******************* address 0.0.0.0 0.0.0.0
crypto isakmp client configuration address-pool local RTP-POOL
!
!
crypto ipsec transform-set RTP-TRANSFORM esp-des esp-md5-hmac
!
crypto dynamic-map RTP-DYNAMIC 10
 set transform-set RTP-TRANSFORM
 match address 110
!
!
crypto map RTPCLIENT client configuration address initiate
crypto map RTPCLIENT client configuration address respond
crypto map RTPCLIENT 10 ipsec-isakmp dynamic RTP-DYNAMIC
!
interface Ethernet0
 ip address 10.0.0.2 255.255.255.0
 ip access-group 101 in
...
interface ATM0.35 point-to-point
 ip address 80.16.x.x 255.255.255.252
 ip access-group 105 in
 ...
 crypto map RTPCLIENT
!
ip local pool RTP-POOL 10.0.1.1 10.0.1.254
ip nat inside source route-map nonat interface ATM0.35 overload
ip route 0.0.0.0 0.0.0.0 ATM0.35
access-list 101 permit tcp 10.0.0.0 0.255.255.255 any
access-list 101 permit udp 10.0.0.0 0.255.255.255 any
access-list 101 permit icmp 10.0.0.0 0.255.255.255 any
access-list 105 permit icmp any any echo-reply log
access-list 105 permit icmp any 10.0.0.0 0.0.0.255 time-exceeded log
access-list 105 permit icmp any 10.0.0.0 0.0.0.255 packet-too-big log
access-list 105 permit icmp any 10.0.0.0 0.0.0.255 traceroute log
access-list 105 permit icmp any 10.0.0.0 0.0.0.255 unreachable log
access-list 105 deny   ip 127.0.0.0 0.255.255.255 any
access-list 105 deny   ip any any log
access-list 105 deny   tcp any any log
access-list 110 permit ip 10.0.1.0 0.0.0.255 10.0.0.0 0.0.0.255
access-list 110 permit ip 10.0.0.0 0.0.0.255 10.0.1.0 0.0.0.255
access-list 111 deny   ip 10.0.0.0 0.0.0.255 10.0.1.0 0.0.0.255
access-list 111 permit ip 10.0.0.0 0.0.0.255 any
no cdp run
route-map nonat permit 10
 match ip address 111
....
---------------------------
Adesso il cisco non mi si blocca piů al reboot
(penso che la precendente ip nat inside non fosse molto corretta...) 
adesso credo che ci sia un problema a livello di access-list
nel senso che eliminando la 105 il pc si connette 
via VPN-Client, ma poi non vede le macchine all'interno
della rete, quelle della subnet 10.0.0.x
solo che senza la 105 sono esposto ad attacchi 
(che sono anche avvenuti nel poco tempo che ho lasciato 
scoperta la porta....)
Grazie x ogni aiuto.


 scoperta la porta....)
la 105 fa passare solo icmp loggandoli. ed il resto del traffico? le
ultime due entry poi ... la seconda e' un sottoinsieme della prima.
quella 105, scusami, e' proprio brutta. guarda nelle faq e prendi
spunto. inoltre loggare tutti gli icmp mi sembra eccessivo.
ricorda una cosa: se metti una acl su una interfaccia a cui applichi una
crypto map, la acl viene prima valutata rispetto ai pacchetti
incapsulati, poi rispetto a quelli decapsulati; quindi okkio
all'antispoofing ;P
un mayhem in attesa


 
Ammetto di aver fatto un pò di accrocchi pescando le info da varie
parti sia in alcune faq che sul sito cisco.
Le ultime 2 acl (110 e 111) le ho inserite dopo vari tentativi 
falliti.
La 111 l'ho tolta perchè è in effetti una ripetizione della 110
ma per la 105 il mio scopo è quello di bloccare tutto in ingresso
ma di rispondere ai pacchetti icmp (così come indicato su vari doc 
cisco).
Ho notato che con la 105 così comè la connessione vpn 
non viene attivata, il debug mi segnala un tentativo bloccato
da parte del pc chiamante prot. udp porta 500.
Come devo riscriverla (la 105) secondo te per poter sbloccare 
la situazione?
Grazie ancora x l'aiuto.
