Newsgroup: it.comp.reti.cisco
Titolo: Link Wireless e Cisco BR350

Buongiorno a tutti
ho un link attivo a 4km con 2 BR352 con due yagi direttive.
L'AP, aggiornato all'ultimo firmware 12.05 mi consente al massimo la WEP128.
Nelle opzioni del ponte radio ho attivato:
Preamble: short
TKIP = CMIC (versione proprietaria di cisco)
Attualmente il link, � attivo con una WEP128.
Questo � lo schema della rete:
HQ:
C877 (presto un 2651XM)
Switch
BR352
Sede remota:
BR352
Switch
tutti stanno felici sulla LAN 
192.168.1.0/24
----------------------------------------
Da un lato sono tranquillo perch� anche se trovassero la key WEP non si 
potrebbero associare altri client in quanto gli apparati funzionano in 
modalit� BRIDGE con impostato il MAC remoto, dall'altro un curiosone 
potrebbe leggere tutto il traffico che passa dalla sede remota all'HQ.
Dalla sede remota si naviga in internet e occasionalmente si trasferiscono 
files da un NAS presente in HQ. Il link � stabilito fisso a 11 Mbit 802.11b 
e i file si muovono a circa 480Kbyte/sec e sono molto soddisfatto.
Mi erano venute un paio di idee:
Lascio la WEP128 cosi com'� e metto alla sede remota un C831 e faccio una 
VPN IPSEC verso l'HQ in modo che cosi un tunnel IPSEC cripta tutto il 
traffico attraverso il ponte.
Con questo ragionamento per� devo considerare l'eventuale overhead della WEP 
+ il tunnel IPSEC (che lo gestiscono il C831 e l'877 dall'altro, dotati di 
hw offload per fortuna) e la banda si stringe.
Se facessi invece il tunnel in Cleartext in modo da "liberare" i bridge e 
instaurassi dalla sede remota :
a) connessione PPPoE verso il cisco in HQ (se il C877 non supporta PPPoE ci 
metto un 2651XM)
b) connessione PPTP verso il cisco in HQ
c) connessione L2TP verso il cisco in HQ (troppo incasinante per via dei 
certificati secondo me)
Da notare che se non � il C831 posso mettere anche un qualunque zyxel zywall 
o un 3com secure router, dotati di 1 porta WAN e di 4 LAN. In questo caso il 
router si occupa sul link wan di far partire la giusta connessione (pppoe, 
PPTP, L2TP o IPSEC)
che ne dite?
_________________ 

 > che ne dite?
Di buttare i due attuali apparati wireless e di mettere due 1242, con le 
quali potresti attivare il wpa e se sei fortunato ottenere anche un 
incremento di banda.
I router che hai citato non sono propiamente nati per reggere tutta quella 
banda in ipsec, quindi non mi fiderei, tanto pi� che non costano meno di due 
1242.
Comunque devi fare qualcosa per la sicurezza, quindi piuttosto che tenere le 
cose come sono va bene tutto.
Ciao,
         Tosh. 

 ha scritto nel messaggio 
news:4b5f87fd$1...@newsgate.x-privat.org...


Aggiungo questo documento
http://newsroom.cisco.com/dlls/IOSVPNRoutersDS.pdf
pare che il C831 tenga 6mbit di VPN 


wep e mac filterng sono quasi equivalenti a niente, quindi con una vpn sotto 
non servono a niente, tienili solo fin che il traffico circola in chiaro.
Per rispondere anche alla tua mail successiva, i dati di performance forniti 
da cisco sono sempre calcolati nelle migliori condizioni, quindi tutti 
pacchetti da 1500 bytes e router che fa solo quello, le condizioni reali 
sono spesso ben diverse.
Ciao,
        Tosh. 

        Tosh.
Ciao e grazie
Elia 

 prestazioni?
Mi sembra proprio di no, il wep � un meccanismo di cifratura molto semplice 
che viene molto facilmente implementato in hardware e se non vado errato non 
aggiunge nulla o quasi alla lunghezza dei pacchetti.
Ciao,
         Tosh. 

 ha scritto nel messaggio 
news:4b6279b6$1...@newsgate.x-privat.org...


> Tirando le somme, che mi consigli?
Non so cosa dirti, non ho mai usato quei protocolli per applicazioni del 
genere, i quali sono sicuramente nati per fare altro, quindi non so nemmeno 
se alla lunga possano risultare affidabili.
Senza poi considerare la sicurezza, ipsec e wpa2 (quindi aes) sono 
sicuramente anni luce avanti rispetto a chap e mppe.
Vedi tu.
Ciao,
         Tosh. 

 ha scritto nel messaggio 
news:4b667374$1...@newsgate.x-privat.org...


Ho finalmente risolto con una cosa grandiosa secondo me:
c2600 fast0/1 
10.0.0.1/29
c831 eth0: 
10.0.0.2/29
tunnel gre tra di loro
e traffico cifrato 3DES/SHA/ESP nel tunnel gre
la lan del c831 ha come route il 10.0.0.1 cosi tutto quello che � gre viene 
cifrato in ipsec.
direi che ho risolto definitivamente la soluzione di sicurezza del ponte, 
che dici?
tutto ci� che da 10.0.0.2 (c831) verso 10.0.0.1 (c2600) via GRE � cifrata, e 
guardando i pacchetti che passano, � tutto dentro ipsec, tutto tutto tutto.
che dici tosh, sono stato bravo? :)
 

> che dici tosh, sono stato bravo? :)
Sufficiente.
Gre + ipsec � sicuramente una soluzione funzionale e robusta, ma mangia 
banda (circa 88 bytes di overhead, se non ricordo male) e cpu, che per il 
tuo 831 potrebbe essere determinante.
Il prerequisito per un "bravo" in questo caso era il wpa2.
Ciao,
         Tosh. 

 ha scritto nel messaggio 
news:4b67b656$1...@newsgate.x-privat.org...


 una velocit� media di 5mbit con un cpu del 831 a circa il 70%.
Se sapessi che il router ragiona in pps e non in bps saresti meno 
tranquillo, in parole povere un singolo trasferimento ftp da 5mbit per un 
router � molto meno pesante di tanti trasferimenti http da pochi kbit 
cadauno, ergo quell'831 � destinato a fare gli straordinari.
Se si tratta di roba tua sei ampiamente giustificato (nel senso che a casa 
tua sei padrone di quello che fai), se fai tutto ci� per fare risparmiare un 
cliente (non ho idea del tuo ruolo) ti stai probabilmente tirando la 
classica zappa sui piedi.
Lo dico per esperienza, siamo tutti propensi a tirare al risparmio prima di 
affidare un lavoro, poi per� pretendiamo di vedere le cose funzionare come 
orologi svizzeri anche se ci sono state regalate.
Ciao,
         Tosh. 

Ciao!
Dunque, per fortuna lo uso in casa :) cosi evito tanti problemi.
Visto che tutto funziona, ho pensato di fare quanto segue:
a) sostituisco il C831 con un C851-W cosi integro in un unico prodotto 
router + access point b/g.
l'851 fa in hardware sia 3DES che AES, quindi switcher� ad AES che facendo 
alcuni testi gi� con l'831 � molto molto pi� leggero
quindi alla fine far� gre+ipsec esp-aes128 e esp-sha-hmac
l'851 avr� l'offload hardware dell'aes, e far� solo NAT e null'altro.
probabilmente inserir� una ACL sulla interfaccia "wan" dell'851 per bloccare 
tutto tranne il tunnel gre che passa.
il 2651 potrei rimpiazzarlo con un 877 che ha offload aes in hardware...ma 
lo vedr� tra qualche giorno.
Credo anche io alla fine per per 5mbit l'831 sia SOTTO dimensionato!!! 

 ha scritto nel messaggio 
news:oMKdndhsm6-Lr_TW...@kpnqwest.it...


Tosh! E' arrivato il 851W
ora ho attivato :
crypto isakmp policy 10
encr aes 256
hash sha
group 5
--------
transform set ho messo esp-aes 256 e esp-md5 con una shared key random da 64 
caratteri.
a 5.5mbit il cpu �:
40% su 877
35% su 851W
che ne dici?