Newsgroup: it.comp.reti.cisco
Titolo: road warrior vpn su pix che non è gateway della rete

Salve a tutti,
mi ritrovo con un pix 515 (6.3) con un indirizzo pubblico 
100.100.100.100/24
 su "outside" e un indirizzo privato 
10.0.1.1/24
 su 
"inside", il fatto è che il pix non è il gateway della LAN: pensavo che 
per far vedere ai client remoti la LAN bastasse assegnarli un pool di ip 
appartenente alla stessa subnet dell'interfaccia inside (sulla LAN 
interna). Sembra non essere così perché il tunnel ipsec viene 
correttametne stabilito, il client riceve l'indirizzo 
10.0.1.200/24
 ma 
non riesco a vedere nessuna macchina della LAN, nemmeno il pix stesso (!).
In sostanza io credevo che assegnando ip della subnet su cui è 
l'interfaccia inside il pix facesse proxy arp (un po' come fa in alcuni 
casi di "static").
Ho provato anche ad assegnare pool non appartenenti alla subnet 
dell'interfaccia inside ma anche così non riuscivo a pingare (si, avevo 
abilitato il ping sul pix :-)) l'interfaccia inside del pix (purtroppo 
non essendo il pix il gateway non potevo provare con altre macchine).
C'è proprio qualcosa di sbagliato nella mia logica o mi manca qualche 
comando?
Approfitto per fare altre due domandine:
1) perché il mio VPN Client (versione 4.0) accettava solo isakmp policy 
  10 group 2 (e non group 5?), allo stesso modo sembrava accettare solo 
crittografia AES (e non 3DES o DES)
2) Perché non è possibile utilizzare l'autenticazione "protocol local" 
sui vpngroup (mentre è possibile farlo direttamente sulle crypto map!), 
ricevo questo errore:
"Protocol "local" is not supported for authentication of remote users of 
a h/w client"
un grazie di cuore a chi sarpà illuminarmi...
PIX Version 6.3(4)
interface ethernet0 auto
interface ethernet1 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password xxxx encrypted
passwd xxxx encrypted
hostname pixfirewall
domain-name xx.yy
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
pager lines 40
logging on
logging console debugging
logging monitor debugging
logging buffered debugging
mtu outside 1500
mtu inside 1500
! Il mio client si connette a questa interfaccia per stabilire il tunnel
! IPSEC
ip address outside 100.100.100.100 255.255.255.0
! Questa è l'interfaccia sulla LAN a cui voglio accedere (ma nessun host
! della LAN ha questa interfaccia come gateway)
ip address inside 10.0.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
! Questo è il pool che assegno ai client che si autenticano
! correttamente sul vpngroup TEST, il pool è preso dalla subnet su cui è
! inside
ip local pool vpn_pool 10.0.1.200-10.0.1.210
pdm logging informational 100
pdm history enable
arp timeout 14400
route outside 0.0.0.0 0.0.0.0 100.100.100.101 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
! Questo dovrebbe dare automaticament i permessi necessari a chi
! stabilisce un tunnel ipsec
sysopt connection permit-ipsec
crypto ipsec transform-set LAN-TRANSFORM esp-aes-256 esp-sha-hmac
crypto dynamic-map DYNMAP 10 set transform-set LAN-TRANSFORM
crypto map LAN-MAP 10 ipsec-isakmp dynamic DYNMAP
crypto map LAN-MAP client authentication LOCAL
crypto map LAN-MAP interface outside
isakmp enable outside
isakmp identity address
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption 3des
isakmp policy 10 hash sha
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400
vpngroup VPN address-pool vpn_pool
vpngroup VPN dns-server 10.0.1.2 10.0.1.3
vpngroup VPN default-domain xx.yy
vpngroup VPN idle-time 1800
vpngroup VPN password ********
vpngroup dns-server idle-time 1800
ssh 0.0.0.0 0.0.0.0 outside
console timeout 0
username test password xxxxx encrypted privilege 2
terminal width 80

metti una subnet diversa dalla LAN, per i client ....
inserisci una route sul gateway per la subnet dei client via pix
ciao!


Che fosse possibile fare (e che fosse la soluzione "standard") l'avevo 
capito, la mia domanda č: posso fare nell'altro modo?
A questo punto poi ho un'altra domanda: su quale interfaccia applico le 
access-list che limitano l'accesso alle reti interne da parte dei client 
VPN? su outside perché stabiliscono il tunnel con outside? e il fatto 
che ho messo sysopt connection permit ipsec non sovrascrive le access-list?
Grazie mille della risposta comunque.