Newsgroup: it.comp.reti.cisco
Titolo: VPN

Ciao,
è possibile creare una VPN tra un IP statico ed uno dinamico
utilizzando due Cisco 827
grazie a tutti

 utilizzando due Cisco 827
Ciao, purtroppo non so aiutarti...io ci sto provando da qualche tempo e ho
postato varie richieste d'aiuto.
Non sono ancora riuscito pero'!
Se hai qualche dritta o se qualcuno ti fornisce qualche aiuto...diffondi
pure eh!
Intanto posto anche a te il link che mi hanno suggerito...e' utile ma nel
mio caso non e' stato sufficiente per risolvere il problema!
http://www.cisco.com/warp/public/471/ipsecrouter_vpn.html

...

Grazie comunque,
mi studio il documento che mi hai linkato e se riesco a trovare
qualcos'altro ti faccio sapere
ciao,
Edoardo

 utilizzando due Cisco 827
SI, e lo faccio da anni con ISAKMP e preshared keys IPSEC 3DES.
L'unica limitazione e' che la VPN deve essere attivata dal lato dinamico verso
quello statico. Infatti il router con IP dinamico sa sempre dove trovare quello
con IP statico ma non il viceversa.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 con IP statico ma non il viceversa.
Ehm, posso chiederti una mano?
Ho postato gia' la config che ho provato con isakmp e parametri vari presi
dai doc di cisco....ma non va per niente!
Puoi darmi qualche dritta?
Nel caso grazie mille!
ciaooo
Ecco la config:
!
version 12.2
service password-encryption
!
hostname xxxxxxxxxxxxxxxxx
!
aaa new-model
!
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
enable secret 5 xxxxxxxxxxxxxxxxxxxxx
!
username xxxxxxxxxxxx secret 5 xxxxxxxxxxxxxxxxxxxxxx
ip subnet-zero
no ip source-route
ip icmp rate-limit unreachable 1000
ip dhcp excluded-address 172.16.0.73
!
ip dhcp pool CLIENT
import all
network 172.16.0.0 255.255.255.0
default-router 172.16.0.73
lease 0 2
!
ip inspect name fwconf tcp
ip inspect name fwconf http
ip inspect name fwconf smtp
ip ssh time-out 120
ip ssh authentication-retries 3
!
!
!
!
! policy per vpn dinamica
crypto isakmp policy 1
encr 3des
authentication pre-share
!
!policy per VPN statica punto-punto
crypto isakmp policy 3
encr 3des
authentication pre-share
group 2
crypto isakmp key xxxxxxxxxxxxxxx address ip-secondo-router 255.255.255.0
!
crypto isakmp client configuration group vpn1
key xxxxxxxxxxxx
pool ippool
!
!
crypto ipsec transform-set vpn-test esp-3des esp-sha-hmac
crypto ipsec transform-set myset esp-3des esp-sha-hmac
!
crypto dynamic-map dynmap 10
set transform-set myset
!
!
crypto map static-map local-address Dialer0
crypto map static-map 1 ipsec-isakmp
set peer ip-pubblico-secondo-router
set transform-set vpn-test
match address vpn-static1
!
crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap client configuration address respond
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
!
!
!
!
interface Tunnel0
ip unnumbered Dialer0
no keepalive
tunnel source Dialer0
tunnel destination ip-pubblico-secondo-router
crypto map static-map
!
interface Ethernet0
ip address 172.16.0.73 255.255.255.0
ip helper-address 172.16.0.115
no ip redirects
no ip proxy-arp
ip nat inside
no cdp enable
hold-queue 100 out
!
interface ATM0
no ip address
no atm ilmi-keepalive
pvc 8/35
encapsulation aal5mux ppp dialer
dialer pool-member 1
!
dsl operating-mode auto
!
interface Dialer0
ip address negotiated
ip access-group 120 in
ip nat outside
ip inspect fwconf in
encapsulation ppp
dialer pool 1
ppp chap hostname xxxxxxxxxxxx
ppp chap password 7 xxxxxxxxxxxxxxxxxxxx
ppp pap sent-username xxxxxxxxxxx password 7 xxxxxxxxxxxx
crypto map clientmap
!
!********************
!l'ultimo comando era crypto map static-map quando la vpn punto punto
funzionava correttamente...poi ho aggiunto la "crypto map clientmap" e
ha sostituito la vecchia....ma come faccio a fare due dverse vpn sulla
stessa interfaccia?
!********************
!
ip local pool ippool 172.16.0.240 172.16.0.250
ip nat inside source list 23 interface Dialer0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
ip route 172.16.2.0 255.255.255.0 Tunnel0
no ip http server
ip pim bidir-enable
!
!
ip access-list extended vpn-static1
permit gre host ip-pubblico-primo-router host ip-pubblico-secondo-router
!
access-list 23 permit ip-pubbico-secondo-router
access-list 23 permit 172.16.0.0 0.0.0.255
access-list 120 permit esp host ip-pubbico-secondo-router host
ip-pubbico-primo-router
access-list 120 permit udp host ip-pubbico-secondo-router eq isakmp host
ip-pubbico-primo-router eq isakmp
access-list 120 permit ip any host ip-pubbico-primo-router
call rsvp-sync
!
line con 0
exec-timeout 120 0
stopbits 1
line vty 0 4
exec-timeout 120 0
password 7 xxxxxxxxxxxxxxxxxxxxxxxxx
length 25
!
scheduler max-task-time 5000
end

 Ecco la config:
Scusa se non entro nei dettagli specifici, ma chi ci mangia con queste cose poi
avrebbe anche diritto di arrabbiarsi perche' gli tolgo il pane di bocca.
Allora dal router dinamico (questo e' un router che contatta due siti statici
con due pre-shared keys):
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
 lifetime 3600
!
crypto isakmp policy 20
 encr 3des
 hash md5
 authentication pre-share
 group 2
 lifetime 3600
crypto isakmp key xxxxx address 1.1.1.1
crypto isakmp key yyyyy address 2.2.2.2
!
!
crypto ipsec transform-set name1 esp-3des esp-sha-hmac
crypto ipsec transform-set name2 esp-3des esp-sha-hmac
!
crypto dynamic-map dialin 65535
 set transform-set name2
 set pfs group2
!
!
crypto map mymap 10 ipsec-isakmp
 set peer 1.1.1.1
 set transform-set name1
 set pfs group2
 match address list1
crypto map mymap 20 ipsec-isakmp
 set peer 2.2.2.2
 set transform-set name2
 set pfs group2
 match address list2
Devo premettere che il sito statico ha un PIX 515 quindi la config e'
abbastanza diversa comunque se usi un router con IP statico devi usare una
cosetta cosi':
crypto isakmp key zzzzz address 0.0.0.0 0.0.0.0
crypto dynamic-map mymap 65535
 set transform-set name2
 set pfs group2
Usa debug crypto isakmp per vedere cosa succede e perche' fallisce.


 Usa debug crypto isakmp per vedere cosa succede e perche' fallisce.
Ok...quello si!
Ci stavo gia' lavorando...
Il mio problema temo sia quello di applicare due cryptomap alla stessa
interfaccia (la dialer0 che esce via adsl)
Al momento c'e' la crypto map della vpn statica punto punto.Quello che non
riesco a fare e' dare una seconda vpn (quindi una seconda crypto map ma
dinamica) all'interfaccia che esce. Ho letto che il comando extended
dovrebbe servire a qualcosa...ora vedo di provare un po'...
Grazie mille!

 dovrebbe servire a qualcosa...ora vedo di provare un po'...
crypto map vpn 10 ......
crypto map vpn 20 .......
crypto map vpn 30 ....
e le tre sessioni vengono provate ogni volta che viene correttamente 
stabilita la sa di isakmp. vengono provate in sequenza, quindi prima le 
statiche, poi le dinamiche.
un mayhem su di una scomoda sedia
-- 
  Diplomazia: dire bravo cagnetto fino a che non trovi il bastone.
  Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
  SPP  wpage: 
http://www.spippolatori.com
  Key on 
pgp.mit.edu
 ID C7393613

 un mayhem su di una scomoda sedia
Non c'entra un fico ma le tue firme sono sempre un sorriso in questo triste
mondo di interface eth0 ;-)

 modo che riconosca da solo il tipo di connessione da fare.
crypto map vpn-map  local-address Dialer0
crypto map vpn-map client authentication list userauthen
crypto map vpn-map client configuration address respond
crypto map vpn-map 10 ipsec-isakmp
set peer ip_pubblico_peer_remoto
set transform-set vpn-test
match address vpn-static1
crypto map vpn-map 20 ipsec-isakmp dynamic dynmap
un mayhem che spera sia giusto ... non ho tempo di collegarmi ad un 
router e provare ...


 Ovviamente devo ancora applicare la crypto map dinamica...
Se la applichi escludi l'altra. Se modifichi la prima si applica
automaticamente ....


 automaticamente ....
Fantastico...ora inizio a capire come funziona sto benedetto IOS! ;-)

 Sob....disperazione totale...ero felice...
cosa e' l'altro peer? se e' un pix fallo riavviare :)
un mayhem che setaccia il registro di un maledetto server ....


 un mayhem che setaccia il registro di un maledetto server ....
Ma le metti ogni volta a mano?!?
Che forza! ;-)

 > Sob....disperazione totale...ero felice...
Ecco le ultime!
Grande scoperta!!!!
Dopo aver applicato il sano e buon vecchio metodo Galileiano (in pratica ho
provato le varie combinazioni!!!) ho scoperto che un comando ben preciso e'
il colpevole del mio disastro!!!
Ricapitolando:
La vpn punto punto DA SOLA funziona con questi comandi:
crypto map vpn-map local-address Dialer0
crypto map vpn-map 10 ipsec-isakmp
 set peer IP_REMOTO
 set transform-set vpn-test
 match address vpn-static1
A quel punto aggiungo le righe 2-3-8 ottenendo:
1) crypto map vpn-map local-address Dialer0
2) crypto map vpn-map client authentication list userauthen
3) crypto map vpn-map isakmp authorization list groupauthor
4) crypto map vpn-map 10 ipsec-isakmp
5)  set peer IP_REMOTO
6)  set transform-set vpn-test
7)  match address vpn-static1
8) crypto map vpn-map 20 ipsec-isakmp dynamic dynmap
E FUNZIONA ANCORA!!!!
Questa e' la scoperta!!!
In pratica e' solo uno il comando che mi stende la vpn verso la lan remota e
precisamente:
************
crypto map vpn-map client configuration address respond
************
Qualcuno sa cosa significhi nel dettaglio questo comando?
E' proprio necessario?
Ora che l'ho tolto, la vpn funziona (non ho ancora verificato la vpn
dinamica ovviamente...e non mi stupirei se non funzionasse proprio perche'
ha bisogno di quel comando...)
Grazie a tutti e a chi ha ancora la pazienza di leggermi e di aiutarmi!
Pian piano la luce si avvicina! ;-)))
E al fin usciREMO a riveder le stelle.

> crypto map vpn-map client configuration address respond
Dal sito Cisco:
respond
A keyword that indicates the router will accept requests for IP addresses
from any requesting peer.
Ahia....senza questo comando mi sa che la vpn dinamica non andra' mai!
;-((((
ma se la metto....non va la vpn punto punto....che faccio?

> un mayhem che setaccia il registro di un maledetto server ....
Cheddici...se posto la nuova configurazione riuscite a capire dove sta
l'errore?
Mi sembra strano soprattutto perch'e ora e' proprio uguale a come suggerito
dal sito cisco...
la mia vpn punto punto funziona benone...se aggiungo il crypto map vpn-map
client configuration address respond continua a funzionare...ma se salvo
questo comando e faccio il reload non va piu' nulla!
PS Ho provato ad usare il vpn client e come immaginavo non riesce a
collegarsi...ma credo dipenda dalla mancanza dell' "address respond" di cui
sopra...
Non so piu' che fare ora!
Compro un asinello e mando i dati al trotto?
Sob...
Ciao ciao e grazie nel caso!

Salve a tutti,
ho da porre al NG questi 2 quesiti:
1.Ho questo IOS:
Cisco Internetwork Operating System Software
IOS (tm) C820 Software (C820-K9OSY6-M), Version 12.2(8)T5.
Quali VPN posso fare?
2.quando salvo nell'TFTP la configurazione corrente quale estensione ha?
Grazie anticipatamente a tutti.
Edoardo

 2.quando salvo nell'TFTP la configurazione corrente quale estensione ha?
copy runn|start tftp://ip/filename
il file sul tuo server tftp avra' come nome "filename". se tu scrivi 
router.cfg l'estensione sara' cfg, se scrivi test.xls sara' xls. se 
scrivi pippo il file non avra' estensione.
un mayhem e le brutte mattinate


> un mayhem e le brutte mattinate
Ciao....inizio a temere che i miei messaggi non arrivino sul news group!
Posso chiederti un aiutino pure io?
Sono sempre alle prese con la benedetta vpn dinamica "sommata" a quella
punto punto gia' esistente.
Ho scoperto grazie ai tuoi aiuti che dovevo mettere una sola crypto map per
interfaccia...ho rinominato quella che avevo e l'ho riapplicata in modo
corretto.
Poi ho creato la crypto map per la vpn dinamica e CREDEVO non andasse.....in
realta' ho scoperto che non funziona quando la provo io (sono all'interno
della stessa rete...nattato...dovrei uscire e rientrare in vpn...cosa che il
cisco vpn client non permette) ma se provo da una rete esterna funziona e
accetta il collegamento.
Restano due problemi forse collegati:
1) il comando
crypto map NOMEMAPPA client configuration address respond
viene accettato a runtime...e nel running-config si vede...ma quando salvo
nello startup e riavvio il router...causa il NON funzionamento della vpn
punto punto.
Se non lo salvo e lo lascio in running-config non crea problemi (a occhio)
2) ho fatto delle prove dall'esterno col client vpn e la connessione si
stabilisce...ma poi mi chiede user e password...e qualsiasi cosa io
inserisca...non funziona e da' errore. Ovviamente la user e pwd sono
giuste...
Ho messo quella del gruppo con chiave indicata nella config...poi nel dubbio
ho messo anche user e pwd degli utenti che accedono al router...e anceh un
cisco-cisco (ero disperato!)...ma comunque niente da fare...non si collega!
Stavo pensando che magari l'address respond non viene processato dal router
e di conseguenza quando si tenta l'accesso non permette
al'autenticazione...boh...c'e' qualche anima pia che ha un suggerimento?
Vi prego....
Emanuele
PS allego il pezzo di configurazione che dovrebbe interessare...
aaa new-model
!
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
!
crypto isakmp client configuration group NOME-GRUPPO
 key CHIAVE
 dns 195.130.224.18
 wins 172.16.0.115
 domain 
DOMINIO.IT
 pool ippool
 acl 130    (questa acl e' solo per prova...ma e' una permit ip any any)
!
crypto ipsec transform-set vpn-client esp-3des esp-md5-hmac
!
crypto dynamic-map dynmap 10
 set transform-set vpn-client
!
crypto map vpn-map local-address Dialer0
crypto map vpn-map client authentication list userauthen
crypto map vpn-map isakmp authorization list groupauthor
crypto map vpn-map 10 ipsec-isakmp
 set peer IPREMOTO
 set transform-set vpn-test
 match address vpn-static1
crypto map vpn-map 20 ipsec-isakmp dynamic dynmap
!
e poi applico la crypto map sul Tunnel0 e sul Dialer0
Leggevo inoltre che cisco sconsiglia di usare Dialer0 ma sarebbe meglio
Dialer1...lo faro' subito ma temo non sia rilevante...

 un mayhem e le brutte mattinate
Ciao,
innanzitutto grazie per la dritta sulle estensioni
illustro adesso il mio problema:riesco a mandare  nell'TFTP la
configurazione corrente del C827 ma poi non riesco ad utilizzarla, ho
provato cosě:
1.copy tftp: running-config
2.copy tftp: startup-config
2.copy tftp: nvram:
nessuna funziona, sbaglio qualcosa?
Un grazie anticipato a te e a chiunque possa aiutarmi
Edoardo

Visto che precedentemente mi hai fatto capire varie cose...ci riprovo in
mancanza di altre risposte...
...inizio a temere che i miei messaggi non arrivino sul newsgroup percio' ti
copio-incollo il messaggio gia' postato...e te lo mando in
porivato...sperando in un aiuto...nel caso ti ringrazio fin da ora...
------------------




l'autenticazione...boh...c'e' qualche anima pia che ha un suggerimento?
Vi prego....
Emanuele
PS allego il pezzo di configurazione che dovrebbe interessare...
aaa new-model
!
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
!
crypto isakmp client configuration group NOME-GRUPPO
 key CHIAVE
 dns 195.130.224.18
 wins 172.16.0.115
 domain 
DOMINIO.IT
 pool ippool
 acl 130    (questa acl e' solo per prova...ma e' una permit ip any any)
!
crypto ipsec transform-set vpn-client esp-3des esp-md5-hmac
!
crypto dynamic-map dynmap 10
 set transform-set vpn-client
!
crypto map vpn-map local-address Dialer0
crypto map vpn-map client authentication list userauthen
crypto map vpn-map isakmp authorization list groupauthor
crypto map vpn-map 10 ipsec-isakmp
 set peer IPREMOTO
 set transform-set vpn-test
 match address vpn-static1


 provato cosě:
copy tftp://
192.168.1.1/miacfg.txt
 flash://miacfg.txt
copy tftp://
192.168.1.1/miacfg.txt
 startup
un mayhem ed i diritti il lettura sul file li hai?


 un mayhem ed i diritti il lettura sul file li hai?
Ciao,
purtroppo nonostante le tue precise indicazioni non sono riuscito nel
mio intento, cercherň di spiegare bene cosa sto cercando di fare:
1.configuro manualmente il C827 per l'accesso ad Internet,
2.salvo la configurazione nel TFTP con il comando: 
Router#copy running-config tftp(ad esempio con il nome router.cfg)
3.porto a 0 il Router con il comando: 
Router(config)#config-register x2142
Al riavvio configuro soltanto la et0 per rendere possibile l'utilizzo
dell'TFTP con cui vorrei caricare il file router.cfg precedentemente
salvato nell'TFTP per farlo diventare la configurazione di avvio.
Come devo fare?
Grazie a Mayem e a tutto il NG
Edoardo

 un mayhem ed i diritti il lettura sul file li hai?
Ciao,
purtroppo nonostante le tue precise indicazioni non sono riuscito nel
mio intento, cercherň di spiegare bene cosa sto cercando di fare:
1.configuro manualmente il C827 per l'accesso ad Internet,
2.salvo la configurazione nel TFTP con il comando: 
Router#copy running-config tftp(ad esempio con il nome router.cfg)
3.porto a 0 il Router con il comando: 
Router(config)#config-register x2142
Al riavvio configuro soltanto la et0 per rendere possibile l'utilizzo
dell'TFTP con cui vorrei caricare il file router.cfg precedentemente
salvato nell'TFTP per farlo diventare la configurazione di avvio.
Come devo fare?
Grazie a Mayhem e a tutto il NG
Edoardo

Ciao a tutti
cercherò di spiegare bene cosa sto cercando di fare:
1.configuro manualmente il C827 per l'accesso ad Internet,
2.salvo la configurazione nel TFTP con il comando: 
Router#copy running-config tftp(ad esempio con il nome router.cfg)
3.porto a 0 il Router con il comando: 
Router(config)#config-register x2142
Al riavvio configuro soltanto la et0 per rendere possibile l'utilizzo
dell'TFTP con cui vorrei caricare il file router.cfg precedentemente
salvato nell'TFTP per farlo diventare la configurazione di avvio.
Come devo fare?
Grazie a tutto il NG
Edoardo

 ha scritto nel messaggio
news:605ebee8.03071...@posting.google.com...


 Saluti ChIcCo
Ciao ChIcCo,
avevo gia provato la procedura che mi hai consigliato, il file viene
copiato regolarmente nella NVRAM ma il suo contenuto non diventa la
configurazione di avvio che è quello che voglio ottenere.
E' necessario salvare il file con una estensione particolare?
Bisogna aggiungere qualche comando in conf t?
Grazie a te e a chiunque possa aiutarmi del NG.
Edoardo


 ha scritto nel messaggio
news:605ebee8.0307...@posting.google.com...


 Router(config)#config-register x2142
Tutto il tuo problema e' qui'. Infatti:
If you set the configuration register boot field to any value from 0x2 to 0xF,
the router uses the boot field value to form a default boot filename for
booting from a network server. 
e anche:
0x0040 Causes the system software to ignore the contents of NVRAM.
mettere il registro a 2142 significa non azzerare il contenuto della NVRAM ma
istruire il router ad ignorarlo.
Per cambiare la startup non serve toccare il registro.
rimetti il conf reg a 0x2102 e per cambiare la configurazione fai
copy tftp start
reload
e vivi felice


 e vivi felice
Ciao Fabio,
nel post a cui tu hai gentilmente risposto ho dimenticato di dire che
prima di provare a caricare il file salvato nella start comunque
riporto il registro a 2102 e solo in seguito al riavvio della macchina
eseguo:copy tftp start.
Ho scoperto da un altro post che per azzerare la configurazione posso
semplicemente fare:erase startup-config o anche:erase nvram, comandi
questi che mi lasciano inalterato il valore del registro.
Di seguito i comandi che eseguo e che non sortiscono l'effetto
sperato:
1.configurazione dell'accesso a Internet
2.wr, reload
3.copy startup-config tftp (salvo la configurazione con il nome
router.cfg)
4.erase nvram, reload
5.configuro la et0, copy tftp startup-config (carico il file
router.cfg), wr
6.a questo punto l'imputazione del comando show startup-config mi
restituisce la configurazione del punto 5
Non riesco ad uscire da questo loop e a vivere felice come dici tu.
Un grazie anticipato a te e a tutto il NG.
Edoardo

 Edoardo


...

Ciao Fabio,
innanzitutto grazie per la tua pazienza e disponibilita, seguendo le
tue indicazioni sono riuscito nel mio intento (dovrei ora cominciare a
vivere felice)
In una parte del tuo post mi hai scritto:
4.erase nvram, reload(scritto da me)
Questo e' inutile .... ma se stai cercando di imparare allora va bene
Premesso che stò imparando(molto lentamente) perchè è inutile?
Di nuovo grazie,
ciao,
Edoardo

 ciao,
Ciao


 Edoardo
ciao

 Ciao
Grazie per il chiarimento,
ciao,
Edoardo

...

Ho risolto,
grazie
ciao