Newsgroup: it.comp.reti.cisco
Titolo: Aiuto configurazione VPN

Buonasera
vi chiedo cortesemente supporto in quanto non sto riuscendo a cavare un 
ragno dal buco ed � tutta sera che ci provo:
Scenario:
SEDE PRINCIPALE:
Cisco router principale (sar� un 2600xm)
atm0.1 pubblico
eth0 lan privata 
192.168.1.254/24
eth1 rete separata 10.0.0.1 255.255.255.252
dalla eth1 parte un bridge transparente wireless che va direttamente a 
infilarsi in un altro router (in questo caso un C831) configurato come 
segue:
eth1 10.0.0.2 255.255.255.252 (deve parlare in pratica solo con l'eth1 del 
router principale)
eth0 
192.168.10.254/24
 lan privata.
Dunque devo realizzare quanto segue:
La eth1 del 2600 e la eth1 del 831 dovranno fare una IPSEC 3DES.
Ogni cosa della rete privata dietro al cisco 831 dovr� raggiungere la rete 
remota 
192.168.1.0/24
 tramite VPN
la rete privata dietro al cisco 831 dovr� uscire in internet tramite il 
router della sede principale passando per la VPN
Queste le mie config:
CISCO 831
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key XXXXXX address 10.0.0.1 no-xauth
!
!
crypto ipsec transform-set VPN esp-3des esp-sha-hmac
!
crypto map VPN local-address Ethernet1
crypto map VPN 10 ipsec-isakmp
 set peer 10.0.0.1
 set transform-set VPN
 match address 110
!
!
!
interface Ethernet0
 description LAN Port
 ip address 192.168.10.254 255.255.255.0
 no ip redirects
 no ip proxy-arp
 ip nat inside
 ip virtual-reassembly
 no ip route-cache
 no ip mroute-cache
!
interface Ethernet1
 description WAN Port
 ip address 10.0.0.2 255.255.255.252
 no ip redirects
 no ip proxy-arp
 ip nat outside
 ip inspect IN-OUT-GW out
 ip virtual-reassembly
 no ip route-cache
 duplex auto
 crypto map VPN
!
interface Ethernet2
 no ip address
 no ip route-cache
 shutdown
!
interface FastEthernet1
 duplex auto
 speed auto
!
interface FastEthernet2
 duplex auto
 speed auto
!
interface FastEthernet3
 duplex auto
 speed auto
!
interface FastEthernet4
 duplex auto
 speed auto
!
no ip forward-protocol nd
ACL:
Extended IP access list 110
    10 permit ip 192.168.10.0 0.0.0.255 any
ho messo any sperando di far uscire qualunque cosa via tunnel
Ora il cisco 2600:
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key XXXXXXXXXX address 10.0.0.2 no-xauth
!
!
crypto ipsec transform-set VPN esp-3des esp-sha-hmac
!
crypto map VPN local-address Vlan1
crypto map VPN 10 ipsec-isakmp
 set peer 10.0.0.2
 set transform-set VPN
 match address 110
le ACL:
Extended IP access list 101 (NAT) quindi escludo come destinazioni la lan 
remota
    10 deny ip 192.168.1.0 0.0.0.255 192.168.10.0 0.0.0.255 (4 matches)
    20 permit ip 192.168.1.0 0.0.0.255 any (927 matches)
 Extended IP access list 110
    10 permit ip 192.168.1.0 0.0.0.255 192.168.10.0 0.0.0.255
PROBLEMI:
le interfacce 10.0.0.1  e .2 le pingo da entrambi i router e viceversa 
(quindi le interfacce sono raggiungibili)
le vpn non si alzano
le ACL non vengono matchate in qualche modo
come posso verificare?
 

Le ACL delle Cryptomap devono essere assolutamente SIMMETRICHE.
Quella sul lato 831 (rete 192.168.10.0) ti porta TUTTO sulla VPN,
quindi anche la navigazione InterNet.
Sul lato 2600, deve essere simmetrica, quindi "tutto" (e non solo la
192.168.1.0) verso la 192.168.10.0
Quindi:
Extended IP access list 110
    10 permit ip any 192.168.10.0 0.0.0.255
Buona fortuna
Claudio

 ha scritto nel messaggio 
news:df6f984d-88b3-42d4...@o28g2000yqh.googlegroups.com...


 ha scritto nel messaggio 
news:xdudnWQJw6SZbv_W...@kpnqwest.it...


Eccomi
alla fine ho realizzato un pppoe server sul 2651xm e funziona perfettamente
volevo vedere di farlo anche sul C877 ma non riesco in quanto non mi da nel 
vpdn-group, il protocollo PPPoE
qualcuno sa se sull'877 si pu� fare un PPPoE server? A occhio no in quanto � 
un router piccolo non � un 2600...
ho verificato con il cisco feature navigator ma non ho trovato risposte 
utili.