Newsgroup: it.comp.reti.cisco
Titolo: VPN attraverso NAT... si puo' ???

Salve a tutti.
Vorrei avere una conferma o smentita sulla possibilita' di connettersi ad
una vpn remota con un client che si trova dietro ad un router e firewall
(quindi con ip privato "nattato" sull'ip pubblico).
Leggendo qua e la , mi sembra di aver capito che il protocollo utilizzato
per le vpn non consente di ricevere traffico tcp con gli header cambiati
(cosa che, ovviamente, fa il router quando natta) ma solo utilizzando una
punto-punto.
Sulla lan in questione c'e' un Router 837 ed un PIX 501.
Visto che ho un adsl con 16 ip, ho subnettato quattro di quegli ip per
creare una mini rete da dedicare a questi esperimenti.
Giocando con la configurazione del router, ed assegnando alla nic del pc
l'ip pubblico e relativo ip di gateway del router sono riuscito a far
funzionare regolarmente tutto
Cerco di spiegarvi cosa ho fatto, (ovviamente gli ip sono inventati):
Rete pubblica :
da 100.100.100.100 a 100.100.100.103 - subnet 255.255.255.252
Ip router (gateway): 100.100.100.101
Ip pubblico: 100.100.100.102
ho assegnato all'ethernet del router un ip da utilizzare per il gateway:
interface Ethernet0
- ip address 100.100.100.101 255.255.255.252 secondary
sulla acl dell'interfaccia ATM ho aggiunto una riga per far passare tutto
sul gateway:
- access-list 120 permit ip any host 100.100.100.101
sulla acl della ethernet ho aggiunto una riga per far passare tutto sull'ip
pubblico:
- access-list 122 permit ip any host 100.100.100.102
Quindi ho configurato la nic del pc e tutto ha funzionato regolarmente.
A questo punto, per tentare di far funzionare lo stesso la connessione anche
da dietro il firewall, ho pensato di aggiungere sul router una route che
indirizzasse tutto il traffico della rete verso verso l'ip pubblico del
firewall (100.100.100.110) che, tra le altre cose, viene utilizzato anche
come server vpn:
ip route 100.100.100.100 255.255.255.252 100.100.100.110
Quindi, ho messo una riga di route statica nella configurazione del firewall
per mappare 1 a 1 l'ip pubblico con l'ip privato del pc :
- static (inside,outside) 100.100.100.102 192.168.0.100 netmask
255.255.255.255 0 0
Ho verificato che il pc uscisse con l'ip pubblico quindi ho provato a
connettermi alla vpn ma, questa volta, non ha funzionato.
Compare regolarmente la finestra di verifica della password (quindi il
server viene contattato) ma poi si inchioda.
Avete qualche idea su come risolvere il mio problema ?
Grazie
. Vi riassumo cosa ho fat

 punto-punto.
ipsec usa 3 cose:
500/udp (isakmp)
esp (encryption)
ah (firma)
se usi ah firmi il pacchetto, header inclusi, e quindi il nat non fa piu'
verificare l'hash.
se hai modo di inoltrare la 500/udp e di fare solo esp (che cmq deve
essere inoltrato al client) allora funziona tutto.
nel dettaglio, parlando di cisco, il transform set ah-sha esp-3des non
funziona, mentre un esp-3des esp-sha-hmac si: il secondo parametro fa
quello che farebbe ah, ma lo fa solo sul payload del pacchetto. anche se
gli header cambiano la firma resta verificata.
un mayhem e le spiegazioni sommarie
-- 
 Everyone is gay, with someone else's ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 un mayhem e le spiegazioni sommarie
Come sempre, sei stato sin troppo tecnico. Per quanto sommarie, le tue
spiegazioni sono (per me) abbastanza criptiche se non  addirittura
incomprensibili (ovviamente la colpa e' solo mia).
Io molto semplicemente, volevo capire due cose :
1) Con gli apparecchi che ho a disposizione, si puo' fare questa connessione
verso una vpn da un client "nattato" ?
2) Quel tentativo di configurazione che ho fatto, e' idoneo per aggirare il
problema ? Se si, perche' non funziona ?
Come sempre, mi appello alla tua cortesia e preparazione per avere un
riscontro.
Grazie

 il problema ? Se si, perche' non funziona ?
se lo avessi letto potrei dirtelo.
un mayhem insegnali a pescare (che ad affogare sei bravo da solo)


 se lo avessi letto potrei dirtelo.
Non hai visto il mio primo post ? (05/12/2003 - h. 14.06).
Oppure ti serve vedere tutta la configurazione completa ?
Ciao

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Actarus wrote:
|
| Ho verificato che il pc uscisse con l'ip pubblico quindi ho provato a
| connettermi alla vpn ma, questa volta, non ha funzionato.
|
| Compare regolarmente la finestra di verifica della password (quindi il
| server viene contattato) ma poi si inchioda.
|
| Avete qualche idea su come risolvere il mio problema ?
penso proprio che sia il mio stesso problema.
Ovvero PIX506e con VPN client Cisco che cerca tramite il NAT di fastweb di
collegarsi al PIX.. e ci riesce,ma poi rimane isolato.
Se effettivamente, come dice il buon mayem, la firma dell'header del
pacchetto con ah non potrà mai far comunicare corretamente la VPN, allora
provo se è possibile sul PIX utilizzare esp-des esp-sha-hmac
per la VPN, penso che sul client non vada cambiato nulla...?
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (MingW32)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/Uvj0ACgkQge9HW8clXxfFMQCcDJAXhK77waVoAJ9cXYEj239S
agEAmwdNqlIbIa72FrFZrSTCM+GlOYNY
=/g95
-----END PGP SIGNATURE-----

 ha scritto nel messaggio
news:br2ep7$3rp$1...@lacerta.tiscalinet.it...


 ha scritto nel messaggio
news:bqpvam$s2k$1...@grillo.cs.interbusiness.it...
