Newsgroup: it.comp.reti.cisco
Titolo: Problema con Client vpn

Ciao,
sono riuscito a configurare il mio 1721 per fare una vpn con un'altra sede
con un 837. Tutto funziona correttamente.
Anzi a dire il vero non riesco a sfogliare le risorse windows C$ mentre le
share normali si.
Ho visto che quando sfoglio le risorse di un server remoto usa la porta 445.
Forse quelle c$ viaggiano solo sulla 139 ?
Il problema comunque che non riesco a superare è quello relativo ai client
cisco.
Mi connetto mi autentico, ottengo l'ip, pingo ma non riesco a fare nessun
tipo di connessione (telnet etc..)
Per avere aiuto devo postare la conf?
Grazie per eventuali suggerimenti
Rocco


wrote:



Anche io penso che ci sia un problema in quella direzione ma non riesco a
salterne fuori.
le access list sono queste:
access-list 110 remark NAT Access List
access-list 110 deny   ip 192.168.10.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 110 permit ip 192.168.10.0 0.0.0.255 any
Il pool di indirizzi assegnati ai client che si connettono in remoto č:
ip local pool vpnclientpool 192.168.10.180 192.168.10.190
Ti appare qualche errore chiaro?
Grazie
Rocco

 ip local pool vpnclientpool 192.168.10.180 192.168.10.190
se sei certo che il tunnel sia (e stia) in piedi, mi vengono in mente una
serie di possibili cause che vanno da prob con acl/inspect vari a prob di
instradamento (usi split-tunnel?) o ni nat come ha ribadito eldorado. Ti
conviene verificare che non ci sia un problema con il nat inside: verifica
il match delle acl no-nat e quelle usate come selectors x ipsec
(correlandole con "sho cry ipsec sa") nonche' le traslations attive e (alla
peggio se ti pare tutto ok vai di "deb ip nat det"). Cmq al riguardo al nat
meglio usare "ip nat inside source route-map".. le route map son piu'
flessibili e soprattutto + coerenti col nat order. Se i conti non tornano
ancora allora posta la conf "bonificata".
Saluti.

 ancora allora posta la conf "bonificata".
Grazie per la tua risposta.
Purtroppo perņ penso di non essere ancora abbastanza preparato per fare
debugging in maniera adeguata.
Le configurazioni sono riuscito a farle guardando qua e la sul sito della
cisco e studiandomi i conceti di base.
Ma č ancora presto per risolvere reamente i problemi!
Pertanto passo la conf Bonificata e se hai del tempo per dargli un occhio ti
ringrazio molto.
Building configuration...
Current configuration : 3369 bytes
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname router-adsl
!
aaa new-model
!
!
aaa authentication login default local
aaa authentication login vty local
aaa authentication login dialin local
aaa authentication ppp default local
aaa authorization network utentivpn local
aaa session-id common
enable secret 5 $1$qHV.$Uco6SBV1MDcitTJswtfVU.
enable password 7 130618000E18012923757A7D
!
username office1 password 7 08701E1D5D4C111E060A020D2967
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
!
!
!
ip audit notify log
ip audit po max-events 100
!
crypto isakmp policy 30
 encr 3des
 hash md5
 authentication pre-share
 lifetime 43200
!
crypto isakmp policy 99
 hash md5
 authentication pre-share
 group 2
crypto isakmp key office1-passw address 85.75.55.181 no-xauth
!
crypto isakmp client configuration group office1group
 key secretvpn
 dns 192.168.10.252
 pool vpnclientpool
!
!
crypto ipsec transform-set office1-ts esp-des esp-md5-hmac
crypto ipsec transform-set office1-client esp-des esp-md5-hmac
!
crypto dynamic-map mappadinamica 99
 set transform-set office1-client
 reverse-route
!
!
crypto map office1-office2 client authentication list userauthen
crypto map office1-office2 isakmp authorization list utentivpn
crypto map office1-office2 client configuration address initiate
crypto map office1-office2 client configuration address respond
crypto map office1-office2 30 ipsec-isakmp
 set peer 81.74.54.181
 set transform-set office1-ts
 match address 101
crypto map office1-office2 99 ipsec-isakmp dynamic mappadinamica
!
!
!
!
interface ATM0
 no ip address
 ip nat outside
 no atm ilmi-keepalive
 dsl operating-mode auto
 no fair-queue
!
interface ATM0.1 point-to-point
 bandwidth 640
 ip address 80.75.5.150 255.255.255.252
 ip nat outside
 pvc 8/35
  protocol ip 80.75.5.151 broadcast
  vbr-nrt 640 640 1
  encapsulation aal5snap
 !
 crypto map office1-office2
!
interface FastEthernet0
 ip address 192.168.10.253 255.255.255.0
 ip nat inside
 speed auto
 full-duplex
!
interface Serial0
 no ip address
 shutdown
!
ip local pool vpnclientpool 192.168.10.180 192.168.10.190
ip nat inside source list 110 interface ATM0.1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip route 192.168.1.0 255.255.255.0 ATM0.1
no ip http server
ip pim bidir-enable
!
!
access-list 101 remark AccessList per connessione con Office2
access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 110 remark NAT Access List
access-list 110 deny   ip 192.168.10.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 110 permit ip 192.168.10.0 0.0.0.255 any
!
!
line con 0
line aux 0
line vty 0 4
 password 7 1446405858513E2230293D3C215F
!
no scheduler allocate
end

ip local pool vpnclientpool 192.168.10.180 192.168.10.190
non e' sano assegnare il pool in overlapping con la subnet
inside e avendo pure un'altro tunnel statico con selector
l'acl 101
insomma riassunto.. lascia che il router faccia il router =)
ed assegna il pool su un'altra subnet; inoltre come ti 
dicevo conviene usare le route map 
ip nat inside source route-map nonat interface ATM0.1 overload
route-map nonat permit 10
match ip address acl_no_nat
Dovresti risolvere... spero =)
Saluti. 
p.s.
alla conf dagli un giro di vite.. un veloce cookbook
http://www.cymru.com/Documents/secure-ios-template.html
.. poi se ti
interessa ci sono altri template/worksheet (da cisco,nist,nsa,phrack) ma
quello e' appunto servito al dente =)


In realtà il problema era sulle acl e lo risolto.
Gli Ip assegnati al pool via dhcp ai client vpn, non dovevano essere nattati
come per ....
access-list 110 remark NAT Access List
access-list 110 deny   ip 192.168.10.0 0.0.0.255 192.168.1.0 0.0.0.255
Grazie
Rocco