Newsgroup: it.comp.reti.cisco
Titolo: NAT su 1700/2600 e VPN con PPTP

Salve, gente.
Sto cercando -disperatamente- di capire se e' possibile o no
effettuare una connessione PPTP tra un VPN client in una rete
privata 
192.168.0.0/24
 e un VPN server su di una rete pubblica.
La rete privata e' connessa ad Internet tramite router 1750
con interfaccia BRI, cui viene assegnato un ip pubblico;
ovviamente il router e' configurato per fare NAT.
Naturalmente il nat funziona benissimo per TCP, UDP e ICMP echo.
Purtroppo il PPTP richiede anche l'utilizzo del protocollo
IP GRE (47).
Scartabellando per ore il sito di cisco, non sono riuscito a capire
se e come sia possibile effettuare il NAT dinamico di
questo protocollo.
Mi risulta, ad esempio, che con altri router l'overload sia
effettuato usando (invece che il port address translation)
un ID presente nei pacchetti GRE (di cui non conosco il formato
ne' il contenuto di preciso), ma
non capisco se questa funzione sia attivabile o meno sui cisco
1700 o 2600 -qualsiasi IOS-. Ovviamente tutti i tentativi che
ho fatto con 12.0.7 IP/Firewall sul 1750 sono falliti miseramente...
Qualcuno ne sa qualcosa??
Grazie,
Alberto.
--
---------------------------------------------------
Alberto Pastore - Software Development
Master Soft S.p.A. - Piazzale Lombardia, 4
28100 Novara (NO) - ITALY
Phone 
+39-0321-466889
Fax   
+39-0321-465939
email: 
alberto...@mastersoft-italia.com
web:   
http://www.dialways.com
 
http://www.mastersoft-italia.com
ICQ UIN: 38632767
---------------------------------------------------

 Sto cercando -disperatamente- di capire se e' possibile o no


 ho fatto con 12.0.7 IP/Firewall sul 1750 sono falliti miseramente...
Ti suggerirei la 12.0.5T, e anche di fare  NAT e non  PAT. Come specificato
in uno dei link citati non funziona con il PAT.
Ciao.
Gab.

Ciao.
Ti ringrazio per i link e i suggerimenti. Purtroppo mi trovo in una
situazione in
cui non posso metter mano piu' di tanto sui pc... mi spiego.
Situazione:
-----------
ci sono circa un centinaio di piccole lan aziendali, tutte con ip privati
192.168 ecc.,
collegate ad internet (non e' proprio internet, ma fa lo stesso)
via ISDN tramite cisco 800, 1600 o 1700 allo stesso provider.
I cisco hanno un dialer sulla BRI che si prende un ip (diciamo pubblico)
assegnato dal provider;
ovviamente sono tutti configurati con NAT+overload.
Nella server farm del provider c'e' un VPN server PPTP (...Microsoft...)
(con o senza
MPPE, non e' importante l'encryption, perche' in effetti il provider non
collega
l'azienda ad internet).
Scopo del gioco:
----------------
Il consulente XYZ, dotato di pc laptop, gira in tutte le aziende; quando si
deve collegare
ad un server ZYX che sta nella server farm del provider,
attacca il pc alla lan aziendale, si becca
un bell'ip privato dal DHCP server aziendale,
lancia il VPN client PPTP, si autentica e si collega al server ZYX via
tunnel PPTP.
Tutto 'sto truscio viene fatto solo per gestire i permessi di accesso al (o
ai) server ZYX
in base all'utente. In realta' vi sono pure alcuni dipendenti aziendali che
devono poter
accedere al server ZYX sia pur con permessi piu' ristretti.
Problema:
---------
Come fa il consulente XYZ a iniziare un tunnel VPN con il server PPTP da una
rete su 192.168....?
Gli esempi che ho guardato non mi sono sembrati esattamente quello che
cerco.
Mi si sta consolidando sempre di piu' la certezza che la cosa non si possa
fare.
Naturalmente, se esistono soluzioni migliori per raggiungere lo scopo del
gioco senza
usare VPN/PPTP, ben vengano....
Ho pensato anche di usare dei PIX con user authentication, ma purtroppo non
va bene, perche'
tutti i client si presentano al PIX con l'IP del router ISDN, quindi il pix
non e' in grado
di distinguere le varie sessioni utente (o no?).
Se si trattasse di sessioni web, non ci sarebbe problema. Putroppo sono
anche FTP, telnet
piu' un paio di protocolli TCP proprietari!
Va be', ho intasato il NG con cose che non c'entrano niente, chiedo scusa in
anticipo per la
sbrodolata.
Alberto.

 sbrodolata.
Sbrodola... sbrodola pura.... :-)))
ciao
davide

 sbrodolata.
bye,
Gab.

 funziona anche con il PAT e con connessioni criptate.
Quindi cara "frizione gramata" siamo giunti alla conclusione che il tuo
cliente deve comprarsi un VPN 3000
:-)))
Ci sono delle buone offerte di questi tempi!! :-))
ciao
davide


Va beh, ho capito, l'ennesimo bidone:
ti dicono "puoi far tutto con tutto", poi scopri
che se non compri tutti i modelli top del top supercarrozzati
puoi far tutto tranne quello che ti serve.
Ma dico, per fare un tunnel VPN c'era proprio bisogno di inventare
protocolli che inviano dati in pacchetti IP non UDP o TCP?
Mannaggia sia a Micro$oft che a Cisco...
Alberto.
P.S. scusate per la "frizione gramata", ho sbagliato account di outlook....
;))

 P.S. scusate per la "frizione gramata", ho sbagliato account di
outlook....
tanto si era capito...:-))))