Newsgroup: it.comp.reti.cisco
Titolo: NAT overload e VPN

Salve a tutti.
Vorrei una indicazione.
Immagino che sia possibile configurare un router per terminare delle
connesioni VPN in presenza di un NAT sulla interfaccia di coneessione.
Sul sito della Cisco ho trovato dei documenti con esempi di configurazione
di VPN in presenza di NAT, ma "site to site".
Non un solo esempio per VPN "remote access", e non ho cercato poco...
Mi chiedo allora se è possibile configurare il router come "Easy VPN Server"
con una interfaccia dove già esiste un NAT overload.
Se possibile, esiste un documento della Cisco che mostra un esempio di
configurazione?
(tipo: PC connesso ad internet con il modemino e connesso in VPN con il
Router...)
Grazie a tutti per il vostro aiuto.
JOSabor
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 JOSabor
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCrY5uuxRXtjsR9sRA1RSAJ4rpduSkVZhrS10uhOdal0Ex0qxDwCg0NPl
UBbeq1IbFEYKkFXopCOHc6o=
=TLWx
-----END PGP SIGNATURE-----

Il router è un 1721.
La VPN è IPSec Cisco.
Voglio usare Easy VPN Server.
Nella tua risposta è implicita la chierezza al mio dubbio. Devo usare una
route-map.
OK ma...
Nel caso di VPN Site-to-Site, sono noti e statici gli indirizzi IP dei due
endpoint del tunnel (solitamente).
Come si fa nel caso di VPN "remote access"?
Teoricamente il PC che vuole stabilire la sessione potrebbe avere qualunque
indirizzo.
L'indirizzo di destinazione è sempre quello "outside" del router.
Nella ACL (per la route-map) quindi:
- Non posso discernere in base all'indirizzo "source" (qualunque)
- Non posso discernere in base all'inddirizzo "destinatione (sempre lo
stesso)
come lo distinguo il traffico relativo ad una VPN, dalla porta?
Devo escludere dal NAT le porte 500. 50 e 51?
Grazie infinite per il tuo aiuto.
JOSabor

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 
No, questo non devi preoccuparti, parti dal fatto che nel momento in cui
 ti colleghi, ti viene assegnato un'ip di un pool che tu dovrai definire,
essendo furbo sceglierai una rete privata che sara' esclusa dalle regole
del nat.
Per la questione porte, non ti devi preoccupare perche' la gestione di
una vpn cisco ipsec salta il nat, perche' la connessione e' tra il
router e il pc su internet e non tra la rete dietro il router e il pc su
internet.
Mi spiego meglio, i pacchetti della vpn non vengono intercettati dal "ip
nat outside" perche' il destinatario e' il router stesso quindi
processati dalla parte crypto, che dopo aver verificato il tutto
estrapola il pacchetto con ip sorgente privato del pc connesso in vpn.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCxEruuxRXtjsR9sRA9fOAKCu94weNrMTFUT1NxrEf03QLFiHJwCeNLzF
1UY2lS4XVqIHREo7xklONHE=
=WXYb
-----END PGP SIGNATURE-----

Ummm...
OK, tu avevi la connettività internet più due tunnel...
Ma io ho comunque la connettività ad internet (NAT overload) ed il server
VPN...
Sicuro che non ho necessità di dstinguere il traffico che arriva sulla
dialer? Passo tutto al NAT indistintamente?
Se invece la necessità c'è, come potrei fare questa distinzione se non con
una route-map?
E si... monterò sul portatile il VPN client di Cisco.
Farò un po' di prove.
Grazie infinite per il tuo aiuto.
JOsabor

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 
Fidati e' una cosa che funziona verso il terzo o quarto colpo...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFC0p0uuxRXtjsR9sRA1pUAJ0VyVcPWY8X12awiBefQBCaf7iKWgCgywtB
QWq5Y/onGnT3p2QOrjhLH1c=
=MP1Q
-----END PGP SIGNATURE-----