Newsgroup: it.comp.reti.cisco
Titolo: x guru VPN:convivenza tra vpn e nat statico

Ciao a tutti
ho un problema di convivenza tra una vpn lan-to-lan e un NAT statico che 
non riesco a risolvere,
vorrei sapere se avete qualche idea.
Un cliente deve poter accedere da una LAN A con indirizzamento privato 
(192.168.2.0) ad un pc
con VNC che sta su un altra LAN B (192.168.1.0), e il tutto e' stato 
risolto con una VPN tra le due reti.
Ora il cliente vuole accedere al pc della LAN B anche tramite un 
cellulare dotato di client vnc, anche
se cio' abbassa il grado di sicurezza della soluzione (e' una cosa 
temporanea). Ho configurato
il router della lan B tramite un "ip nat inside" per poter rendere 
raggiungibile da fuori la porta
di vnc ma ora i pkt della vpn non tornano piu' indietro poiche' 
incontrano il nat inside e quindi il mittente viene
nattato e quindi non rientrano nella access list della cripto map 
applicata alla wan del router.
Io ho risolto dando due IP privati al pc da raggiungere, uno viene 
utilizzato dagli utenti dell'altra LAN e l'altro
e' mappato verso fuori con il nat inside quindi non si verifica il probl 
di cui sopra.
Vorrei solo sapere se qualcuno ha in mente una soluzione diversa, magari 
piu' "pulita" (ammesso che la cosa sia
risolvibile in maniera pulita), per completezza vi allego qui sotto la 
configurazione del cisco
  della LAN B (quella che contiene il pc da raggiungere) config router 
sede B
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname router_lan_B
!
logging queue-limit 100
enable secret 5 xxxxx
!
username xxxx password 7 xxxxxx
ip subnet-zero
ip name-server xxxx
ip name-server xxxxx
!
!
ip audit notify log
ip audit po max-events 100
no ftp-server write-enable
!
!
!
!
crypto isakmp policy 1
  encr 3des
  authentication pre-share
crypto isakmp key 0 miosegreto address  IP_WAN_del_router_della_sede_A 
!
!
crypto ipsec transform-set tset esp-3des esp-sha-hmac 
!
crypto map crmap 1 ipsec-isakmp
  set peer IP_WAN_del_router_della_sede_A
  set transform-set tset
  match address 115
!
!
!
!
interface Ethernet0
  description interfaccia verso la LAN della sede B 
  ip address 192.168.1.1 255.255.255.0
  ip nat inside
  no ip mroute-cache
  hold-queue 100 out
!
interface ATM0
  no ip address
  atm vc-per-vp 64
  no atm ilmi-keepalive
  dsl operating-mode auto
!
interface ATM0.1 point-to-point
  ip address IP_WAN_del_router_della_sede_B 255.255.255.0 
  ip nat outside
  pvc 8/35
   encapsulation aal5snap
  !
  crypto map crmap
!
ip nat inside source route-map nonat interface ATM0.1 overload 
ip nat inside source static tcp 192.168.1.2 5900 
IP_WAN_del_router_della_sede_B 5900 extendable 
 
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
no ip http server
no ip http secure-server
!
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
access-list 115 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 115 deny   ip 192.168.1.0 0.0.0.255 any
access-list 120 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 120 permit ip 192.168.1.0 0.0.0.255 any
route-map nonat permit 10
  match ip address 120
!
!
line con 0
  exec-timeout 120 0
  no modem enable
  stopbits 1
line aux 0
  stopbits 1
line vty 0 4
  exec-timeout 120 0
  login local
  length 0
!
scheduler max-task-time 5000
!
end

Nel messaggio di prima all'inizio dicevo che non riuscivo a risolvere e
poi alla fino ho detto che ho traovato una soluzione ma chiedevo consiglio
per una soluz piu' pulita: scusate, e' solo che ho scritto il messaggio in
due tempi, l'ho iniziato quando non sapevo che pesci prendere, poi mi sono
dimenticato di cancellare le prime due righe, scusate ancora.
bebe
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it