Newsgroup: it.comp.reti.cisco
Titolo: Reti Remote

Ciao vorrei chiedervi una consulenza.
Vi spiego il problema ho una filiale che esce su internet tramite un router
cisco 2600 adesso sta aprendo una nuova filiale anche lei con un router
cisco 2600.
Il problema è come faccio a far comunicare le due sedi come se fossero in
una ipotetica LAN o sentito parlare di reti WAN ma ne sò veramente poco.
Grazie mille Marco
--------------------------------
Inviato via 
http://usenet.libero.it

 Grazie mille Marco
Marco, che tipo di connessione Internet hai (CDN ADSL HDSL DATAWAN ISDN ecc)?
L'IP e' statico o dinamico? Voui mantenere una unica connessione Internet e
routere il traffico delle due sedi da quella unica esistente (collegando le due
sedi tra loro)oppure vuoi avere due connessioni Internet e sfruttarle per
Internet e per interconnettere le sedi?
In ogni caso la soluzione e' una VPN ma servono dettagli so obiettivi e
topologia.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

Il 14 Apr 2003, 19:48, Fabio Sardone <fsar...@btinternetdotcom.invalid> ha
scritto:

Ciao innanzi tutto grazie per la risposta allora la connessione internet in
tutte e due le sedi è tramite HDSL , ognuna dovrà accedere a internet con la
propria connessione e sfruttare quest'ultima per connettere le due sedi.
L'ip di uscita dell'hdsl è statico.
L'obbiettivo e riuscire a vedere da una sede all'altra in pc all'interno
della rete :)
Grazie ancora!!!


 della rete :)
Per quel poco che conosco (da poco tempo mi son lanciato in queste cose) e
per la mia situazione molto simile alla tua (io ho una doppia adsl con
router piu' economici 827) direi che non devi far altro che utilizzare il
singolo router per dare connettivita' internet alla rete di appartenenza con
un bel nat interno.
Poi crei un tunnel tra i due router e fai la vpn tra le due sedi.
Consiglio: per fare un tunnel ipsec 3des per bene ti direi di partire
inizialmente con un tunnel banale liscio liscio...
Partendo da zero infatti sono passato a gradi successivi dal tunnel GRE alla
crittografia per arrivare alla fine a condividere le risorse tra le due reti
remote (preparati a litigare con windows quando vorrai condividere le
risorse!)
Buona fortuna!

>
Il modo piu' semplice e sicuro e' una VPN IPSEC basata su 3DES in tunnel mode
con preshared keys e ISAKMP.
Potrei lasciare la risposta qui :-)) ma non lo faro'.
Decidi il tuo addressing plan del tipo
sede 1 
192.168.1.0/24
sede 2 
192.168.2.0/24
..
..
poi nel definire il NAT sui router definiscilo in modo che venga basato su una
access-list del tipo
access-list 101 deny 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 101 permit 192.168.0.0 0.0.255.255 any
la prima riga previene il NAT per traffico dalla rete locale indirizzato ad
altra sede, mentre la seconda permette il NAT da indirizzi locali a tutti i
rimanenti (non locali perche' gia esclusi dalla prima riga)
la crypto map sara definita mediante access list del tipo
access-list 102 permit 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
al centro mentre le access-list alla periferia devono essere simmetriche
(ricordare il deny implicito)
sul router centro stella:
crypto isakmp key xxxx address router_remoto
mentre sull'altro:
crypto isakmp key xxxx address centro_stella
inoltre 
crypto ipsec transform-set mymap esp-3des esp-sha-hmac
crypto map mymap 10 ipsec-isakmp
 set peer centro_stella
 set transform-set mytransform
 set pfs group2
 match address eagcrypto
Quindi applicare alla interfaccia WAN del router.
La configurazione di dettaglio del centro stella e' lasciata come esercizio al
lettore :-?
Questa configurazione con IP statico ai router periferici.
Essenzialmente ti ho detto tutto, e dovrebbe pure funzionare  con un po' di 
applicazione. Suggerisco la lettura della VPN tecnology page sul sito cisco
e l'ottimo demistyfying the IPsec Puzzle di sheila frankel edito da artech 
house (londra). Se hai difficolta' a reperirlo 
www.amazon.co.uk
 (e' recensito
da me su quel sito)
Ciao
P.S. Se vuoi una config funzionante contattami via email e discutiamo il prezzo
(non per essere cattivo ma la gente ci mangia con ste cose e non sarebbe giusto
togliere il pane di bocca a qualcuno, il motto del gruppo e' aiuto si ma pappa
pronta, gratis, no). Un ultimo consiglio. Verifica che il traffico che viaggia 
nel tunnel sia realmente protetto da ESP, perche' altrimenti esporrai in chiaro 
il traffico della LAN su Internet e assicurati di evitare che il traffico Internet
acceda alla LAN e il traffico LAN viaggi su Internet. Ti serve una solida 
conoscenza dei protocolli e del funzionamento delle access-list.
