Newsgroup: it.comp.reti.cisco
Titolo: VPN - statica e dinamica assieme

non ho tempo di aggiornare le faq. ma ho avuto il tempo di cercarlo.
per che ha un account cco:
http://www.cisco.com/en/US/partner/tech/tk583/tk372/technologies_configuration_example09186a0080094685.shtml
il titolo e' "Configuring IPSec Between Two Routers and a Cisco VPN 
Client 3.x"
magari c'e' anche per chi non accede all'area partner.
per chi non lo ha incollo solo la cfg del router centro stella:
hostname vpn2611
!
!--- Enable aaa for user authentication and group authorization.
aaa new-model
!
!--- To enable X-Auth for user authentication, enable the aaa 
authentication
!--- commands.
aaa authentication login userauthen local
!--- To enable group authorization, enable the aaa authorization commands.
aaa authorization network groupauthor local
aaa session-id common
!
!--- For local authentication of the IPSec user, create the user with 
password.
username cisco password 0 cisco
ip subnet-zero
!
!--- Create an Internet Security Association and Key Management Protocol 
(ISAKMP)
!--- policy for Phase 1 negotiations for the VPN 3.x clients.
crypto isakmp policy 3
encr 3des
authentication pre-share
group 2
!
!--- Create an ISAKMP policy for Phase 1 negotiations for the LAN-to-LAN 
tunnels.
crypto isakmp policy 10
hash md5
authentication pre-share
!--- Specify the PreShared key for the LAN-to-LAN tunnel. Make sure that 
you use
!--- no-xauth parameter with your ISAKMP key.
crypto isakmp key cisco123 address 172.18.124.199 no-xauth
!
!--- Create a group that will be used to specify the WINS, DNS servers' 
address
!--- to the client, along with the pre-shared key for authentication.
crypto isakmp client configuration group 3000client
key cisco123
dns 10.10.10.10
wins 10.10.10.20
domain 
cisco.com
pool ippool
!
!--- Create the Phase 2 Policy for actual data encryption.
crypto ipsec transform-set myset esp-3des esp-md5-hmac
!
!--- Create a dynamic map and apply the transform set that was created 
above.
crypto dynamic-map dynmap 10
set transform-set myset
!
!--- Create the actual crypto map, and apply the aaa lists that were 
created
!--- earlier. Also create a new instance for your LAN-to-LAN tunnel. 
Specify the
!--- peer IP address, transform set and an Access Control List (ACL) for 
this
!--- instance.
crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap client configuration address respond
crypto map clientmap 1 ipsec-isakmp
set peer 172.18.124.199
set transform-set myset
match address 100
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
!--- Apply the crypto map on the outside interface.
interface Ethernet0/0
ip address 172.18.124.159 255.255.255.0
half-duplex
crypto map clientmap
!
interface Ethernet0/1
ip address 10.10.10.1 255.255.255.0
no keepalive
half-duplex
!
!--- Create a pool of addresses to be assigned to the VPN Clients.
ip local pool ippool 14.1.1.100 14.1.1.200
ip classless
ip route 0.0.0.0 0.0.0.0 172.18.124.1
ip http server
ip pim bidir-enable
!
!--- Create an ACL for the traffic to be encrypted. In this example,
!--- the traffic from 
10.10.10.0/24
 to 
10.10.20.0/24
 would be encrypted.
access-list 100 permit ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
spero sia stata utile.
-- 
  Diplomazia: dire bravo cagnetto fino a che non trovi il bastone.
  Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
  SPP  wpage: 
http://www.spippolatori.com
  Key on 
pgp.mit.edu
 ID C7393613

si c'e'
http://www.cisco.com/warp/public/471/ipsecrouter_vpn.html
l'avevo gia' postato in un thread precedente
ciao, arx

 magari c'e' anche per chi non accede all'area partner.
Grazie mille come sempre.
In effetti l'avevo gia' trovato con accesso normale...e per la precisione lo
considero "la bibbia"...ho seguito passo passo proprio quella config ed e'
grazie a quella che finalmente apro un canale ipsec dinamico.
Purtroppo manca ancora il famoso pezzo...le acl per abilitare il traffico...
O forse sbaglio qualcosa nelle acl esistenti nel mio caso che no nsono di
"sicurezza" ma sono solo quelle necessarie a far passare i pacchetti 3des
nel tunnel statico...la sicurezza e' ancora da sistemare...DOPO aver fatto
la vpn per bene...
In ogni caso grazie dell'interessamento.
Emanuele che....emulando mayhem dice...viva le statiche! ;-)

 Purtroppo manca ancora il famoso pezzo...le acl per abilitare il traffico...
non vorrei dire ma nelle acl dinamiche non specifichi nessun peer e 
nessuna access-list. altrimenti sono statiche. le access-list sono 
dyn-access-list che vedi con uno show access-list quando i client sono 
connessi. vengono create alla connessione e distrutte alla 
disconnessione. questo per quanto riguarda ipsec.
un mayhem che odia i log di squid


 magari c'e' anche per chi non accede all'area partner.
Confermo: esiste anche per chi non ha accesso all'area partner
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Confermo: esiste anche per chi non ha accesso all'area partner
chi verifica se i contenuti sono gli stessi?
qui il pdf del documento dell'area partner
http://mayhem.oltrelinux.com/ipsecrouter_vpn.pdf
un mayhem da sempre incuriosito dalla faccenda ...


 disconnessione. questo per quanto riguarda ipsec.
Grazie delle info!
In effetti ho scoperto da poco che le acl per collegamenti dinamici vengono
fatte in modo dinamico (ok, potevo immaginarlo ma non sapevo!) quindi e'
giusto non averne. Il mio problema deve essere diverso ma pian piano ci
arrivero'!
Ciao ciao