Newsgroup: it.comp.reti.cisco
Titolo: VPN tra Cisco router e Firewall Fortinet

Ciao a tutti,
volevo sapere se qualcuno di voi ha mai provato a creare una VPN tra un 
Cisco router (serie 800) ed un Firewall della Fortinet, precisamente un 
Fortigate 50.
Teoricamente una VPN IPsec con preshared key ed autenticazione SHA1 dovrebbe 
essere supportata da ambedue gli apparati, corretto?
Però da alcuni forum ho letto di alcune difficoltà a "capirsi"..
Grazie mille per qualsiasi info.
bye
Andrew

Ad di là di quello che si pensa, IPSEC non è esattamente
universale ...
Mi sono trovato a fare VPN con Cisco dalla mia parte e "di tutto"
dall'altra parte (partner di miei clienti, su cui ovviamente NON avevo
alcuna possibilità di interferire, spesso anche all'estero).
E posso dirti di essere SEMPRE riuscito a chiudere la VPN, a volte in
modo facile (in pochi minuti), a volte con maggiori difficoltà, con
qualche ora di lavoro.
C'è un solo "trucco" che ho scoperto; quello che IPSEC di Cisco NON
gestisce la modalità "aggressive mode" che invece per altri FireWall
risulta esser quella di default.
Quindi è sufficiente dire questo al partner.
Poi per gli altri parametri (DES, 3DES, AES, MD5, SHA1, DH1, DH2,
ecc.) va bene TUTTO, basta che - ovviamente - facciate le stesse
scelte su entrambi i lati.
In bocca al lupo
Claudio

risulta esser quella di default.
Non è esattamente così, a meno che non sia una modifica recente che mi è 
sfuggita.
Gli apparati cisco mi risulta che gestiscano le vpn l2l in modalità 
aggressive, le cosidette "easyvpn" ne sono un esempio pratico.
Diciamo che in una configurazione standard gli apparati cisco, a quanto mi 
risulta, possono gestire la modalità aggressive solo come responder ma non 
come initiator, a meno che non li configuri come easyvpn client.
Questo non vuol dire che deve per forza funzionare con prodotti di terzi, e 
probabilmente è meglio che non lo faccia dato che la modalità aggressive è 
poco sicura e andrebbe utilizzata solo per le vpn client.
Ciao,
        Tosh. 

Non insisto, so che Tosh ha molta più esperienza di me.
Io ricordo solo un episodio di qualche tempo fa, VPN site-to-site o
l2l come le si voglia chiamare, (ma di cui non ricordo molti
dettagli).
So per certo che la nostra VPN è andata UP solo quando il
corrispondente ha tolto sul suo FireWall la modalità "aggressive".
Che fosse solo una coincidenza ?
Claudio


In ongi modo mi da errore:
%CRYPTO-6-IKMP_BAD_DOI_NOTIFY
Nella config. del cisco però mi sembra tutto ok:
cisco857>show crypto session detail
Crypto session current status
Code: C - IKE Configuration mode, D - Dead Peer Detection
K - Keepalives, N - NAT-traversal, X - IKE Extended Authentication
F - IKE Fragmentation
Interface: Vlan1
Session status: UP-IDLE
Peer: 87.23.XX.161 port 500 fvrf: (none) ivrf: (none)
      Phase1_id: 172.16.3.2
      Desc: (none)
  IKE SA: local 88.34.XX.105/500 remote 87.23.XX.161/500 Active
          Capabilities:N connid:2011 lifetime:07:57:30
  IPSEC FLOW: permit ip 
192.168.10.0/255.255.255.0
192.168.3.0/255.255.255.0
        Active SAs: 0, origin: crypto map
        Inbound:  #pkts dec'ed 0 drop 0 life (KB/Sec) 0/0
        Outbound: #pkts enc'ed 0 drop 72 life (KB/Sec) 0/0

>Che fosse solo una coincidenza ?
Forse no.
Diciamo che nelle vpn l2l usare l'aggressive mode è poco logico, l'eccezione 
è che uno dei due peer sia con ip dinamico, ma anche in questo caso si può 
risolvere il problema in altro modo, può quindi essere che cisco supporti la 
funzionalità ma non ci investa più di tanto per farla funzionare con tutti 
gli apparati.
Preciso che in parte è roba documentata e in parte si tratta di mie 
personali considerazioni.
Ciao,
        Tosh. 

        Outbound: #pkts enc'ed 0 drop 72 life (KB/Sec) 0/0
Qui fanno pensare i 72 pacchetti droppati in uscita, sei sicuro del routing 
e del nat?
Le due sottoreti 10.0 e 3.0 sono corrette?
Ciao,
         Tosh. 

          Tosh.
E accertati che anche dall'altra parte utilizzino le stesse Subnet
Mask - IPSEC pretende totale omogeneità


allora, purtroppo su richiesta di un altro tecnico abbiamo provato una
nuova config. del router, risultato: non va  :)
ma da un altro errore:
%CRYPTO-6-IKMP_BAD_DOI_NOTIFY
sia il forigate che cisco usano una VPN ipsec/3des
router#show crypto map
Crypto Map "01" 10 ipsec-isakmp
        Peer = 87.XX.240.161
        Extended IP access list encryptmilanobologna
            access-list encryptpmilanobologna permit ip 192.168.10.0
0.0.0.255
 192.168.3.0 0.0.0.255
        Current peer: 87.XX.240.161
        Security association lifetime: 4608000 kilobytes/3600 seconds
        PFS (Y/N): N
        Transform sets={
                01-transf,
        }
        Interfaces using crypto map 01:
                ATM0.1
Parte della configurazione CISCO:
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key xxxxxxx address 87.xx.240.161
!
crypto ipsec transform-set 01-transf esp-3des esp-sha-hmac
!
crypto map 01 10 ipsec-isakmp
 set peer 87.XX.240.161
 set transform-set 01-transf
 match address encryptmilanobologna
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip nat inside source route-map nonat interface ATM0.1 overload
ip access-list extended encryptparabiagobologna
 permit ip 192.168.10.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 110 deny   ip 192.168.10.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 110 permit ip 192.168.10.0 0.0.0.255 any
route-map nonat permit 10
 match ip address 110
le netmask sembrano corrette 192.168.10.0 è milano e 192.168.3.0
bologna.
grazie mille per il vostro aiuto!

Dal supporto tecnico Cisco:
%CRYPTO-6-IKMP_BAD_DOI_NOTIFY : DOI of [dec] in notify message from
%15i
Explanation    The Domain of Interpretation (DOI) field in the notify
messages gives the receiver a context in which to understand the
message being notified. This DOI value is not understood, and
therefore the message cannot be understood.
Recommended Action    If this situation persists, contact the remote
peer.
Le TUE Netmask saranno anche corrette, ma è importante che dall'altra
parte siano identiche.
Anche se non è detto che il problema sia questo, è oipportuno fare la
verifica.
Claudio