Newsgroup: it.comp.reti.cisco
Titolo: IPSEC tra Pix e Router (solo per esperti)

Ho realizzato una connessione IPSEC tra un PIX 6.1 e un router 827 12.1(3)XG4
secondo lo schema (ottimo) proposto da cisco su
http://www.cisco.com/warp/public/110/39.html
Le transazioni di ISAKMP avvengono correttamente, cosi come CRYPTO_ENGINE e
IPSEC. Da quanto si evince dai debug a cui sono state sottoposte entrambe le
macchine il tutto sembrerebbe funzionare a meraviglia...
Non si riescono purtroppo a stabilire connessioni tra le due reti: da quanto
riporta "show crypto ipsec sa" il router riceve e trasmette pacchetti da e
verso il pix e li cripta/decripta corrrettamente mentre sul pix avviene
qualcosa di strano. Il pix trasmette regolarmente pacchetti cryptati al router
ma non ne riceve alcuno.
Il pix sostiene che i pacchetti che riceve dal router non sono pacchetti IPSEC
validi mentre il router sostiene di inviare al pix pacchetti IPSEC
correttamente.
La trasmissione di pacchetti avviene quindi regolarmente dal pix al router ma
non viceversa... in maniera unidirezionale quindi. Da questo l'impossibilita'
di stabilire una connessione di piu' alto livello tra le due reti, anche un
semplice ping.
Le domande sono ovviamente molteplici, prima tra tutte: quando entrambi (pix e
router) sostengono di lavorare correttamente chi dice la verita' e chi mente ?
Se qualcuno ha consigli utili o esperienza di IPSEC e' il benvenuto :)
Un saluto
-- 
Dario Centofanti
-- 
Posted from 
relay.mailgate.org
 [151.38.159.199] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

Bella domanda !!!
Allora,  c'e' un punto di indeterminazione in cui quando dichiari un Tunnel
su un router, non sai se questo e attivo o non attivo perche' l'interfaccia
"Virtuale" (anche se provvista di tunnel destination) rimane up in assenza di
raggiungibilita'
del destination.... (una cosa simile alla FR).
Ma a parte questo, io proverei a non mettere in nat ( sempre se puoi) in modo
da creare una comunicazione tra host conosciuti.
Poi, consiglio e' di sost l'IOS sul 827 con una stabile per ADSL.
Per quanto riguarda la conf, Ho notato che alla pagina che hai spec, la soluzione
e' un poco contorta.
Il PIX e' OK, mentre il Branch router e' forse confusa ..
Prova una cosi' :
***********************+
crypto isakmp policy 10
 authentication pre-share
 group 2
 lifetime 3600
crypto isakmp key <mykey> address <destination PIX>
!
!
crypto ipsec transform-set tunnelset esp-des esp-md5-hmac
 mode transport
!
crypto map <name> local-address FastEthernet0/1
crypto map <name> 10 ipsec-isakmp
 set peer <IP PIX inside...>
 set transform-set tunnelset
 match address 101
!
!
interface Tunnel0
 ip unnumbered FastEthernet0/0
 ip nat inside
 no ip route-cache
 no ip mroute-cache
 tunnel source FastEthernet0/0
 tunnel destination <destination PIX>
 crypto map <name>
!
interface FastEthernet0/0  --- (od altra IF )
 ip address 233.1.1.1 255.255.255.0
!
Interface FastEthernet0/1
 ip aadress 10.1.1.1 255.255.255.0
 ip nat outside
!
!
access-list 101 .................
!
*****************
ditemi la vostra !
ciao ciao !!


 wrote in message
news:3e7a2ff1f78350b4e...@mygate.mailgate.org...
FYI
Ho risolto ed ora il tutto funziona correttamente... tra le altre cose che non
andavano avero dimenticato (e faccio pubblica ammenda) un necessario "no ip
route-cache".
Un grazie comunque ad Alex per l'interessamento e agli altri per non aver
risposto sciocchezze. :)
