Newsgroup: it.comp.reti.cisco
Titolo: VPN tra due 827 adsl

Scenario: due reti private (192.168.1.x) che tramite Nat escono sui
rispettivi Cisco 827 adsl.
Vorrei creare una VPN criptata tra le due reti. Qualche anima buona mi puň
abbozzare una configurazione?
Eternamente grato!!!
Andrea Porcelli
-- 
Posted from postfix@[212.131.230.130] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Vorrei creare una VPN criptata tra le due reti. Qualche anima buona mi può


Scusami ma, premesso che sono alle primissime armi, sei sicuro che l'827adsl
abbia la "crypto map"?Nei comandi delle interfacce non ho visto
l'ombra.Quale sarebbe il comando specifico?Se riesci a procurarti quella tua
conf. mi faresti un piacere immenso.Tnx A Lot.
Andrea



Beh, ho dato per scontato che tu già avessi la versione di IOS che consente
la crittografia, altrimenti te la devi procurare. I comandi sono applicabili
solo se hai la versione sw corretta.
Questa e' una config. funzionante, ADSL con ip dinamico (per fortuna cambia
raramente).
100.10.10.10 e' l'ip dell'altro router (indirizzo pubblico)
192.168.0.0 e 172.31.0.0 sono le due reti che vengono interconnesse.
La config dell'altro peer e' piu' o meno speculare.
CIAO
version 12.1
service password-encryption
!
hostname ADSLRouter
!
enable secret 5 <removed>
!
!
!
crypto isakmp policy 1
 hash md5
 authentication pre-share
crypto isakmp key 0123456789 address 100.10.10.10
!
!
crypto ipsec transform-set rptset esp-des esp-md5-hmac
!
crypto map rpt 1 ipsec-isakmp
 set peer 100.10.10.10
 set transform-set rptset
 match address 115
!
!
!
interface Ethernet0
 ip address 192.168.0.9 255.255.255.0
 ip nat inside
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip mroute-cache
 dialer pool 1
 dialer-group 1
 pulse-time 0
 no cdp enable
 ppp pap sent-username USERNAME password <password>
 crypto map rpt
!
!
ip nat inside source route-map nonat interface Dialer0 overload
no ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
!
access-list 110 deny   ip 192.168.0.0 0.0.0.255 172.31.0.0 0.0.0.255
access-list 110 permit ip 192.168.0.0 0.0.0.255 any
access-list 115 permit ip 192.168.0.0 0.0.0.255 172.31.1.0 0.0.0.255
access-list 115 deny   ip 192.168.0.0 0.0.0.255 any
dialer-list 1 protocol ip permit
route-map nonat permit 10
 match ip address 110
!
!
line con 0
 transport input none
 stopbits 1
line vty 0 4
 password 7 <removed>
 login
!
scheduler max-task-time 5000
end

Perfetto!Ma c'è un sistema per vedere se io ho una ver. dell'IOS che
supporti la crittografia?Per la cronaca ho la 12.1 (è sufficiente questo
dato?).Inoltre mi capita uno strano inconveniente e per la precisione con il
NAT.Premesso che il router ha ip pubblico e che le interfacce sono solo due:
Ethernet e ATM (quindi la dialer no),ho configurato la eth0 con l'ip
pubblico datomi da telecom e con l'ip privato come secondario attivando ip
nat inside, alla atm0 ho assegnato l'ip datomi sempre dalla cara telecom e
ho attivato ip nat outside.Ho poi inserito ip nat inside source list 10
interface ATM0.1 overload.Penso che per il Nat dovrebbe essere tutto.Invece
no!Al riavvio del router mi salta fuori questo mess: "Secondary addresses
not allowed with negotiated addresses".Ma con cosa deve negoziare?Hai
qualche idea?Sempre grato.



ADSLRouter>sh ver
Cisco Internetwork Operating System Software
IOS (tm) C820 Software (C820-OSY656I-M), Version 12.1(3)XG1, EARLY
DEPLOYMENT RELEASE SOFTWARE (fc1)
Se tra C820- ed -M c'e' scritto anche 56I sei a posto, altrimenti no.
Nel tuo caso, la crypto map va messa dentro l'interface ATM0.1
Per il Nat, prova cosi':
- dai alla eth0 il solo IP interno e l'ip nat inside
(rt)#ip nat pool mypool 100.12.12.12 100.12.12.12 netmask 255.255.255.0
!tuo ip pubblico
(rt)#ip nat inside source route-map nonat pool mypool overload
Devo pensare a come modificare la programmazione della crittografia a
seguito di questa variazione di config...
Intanto controlla se hai il software adatto. CIAO

E infatti non ho la versione con la crittografia.Poco male, vuol dire che mi
accontenterò della sola VPN.In questo caso le cose cambiano molto?
Andrea
