Newsgroup: it.comp.reti.cisco
Titolo: Doppia vpn mi blocca la prima e non va la seconda!

Ciao a tutti.
Ho seguito le istruzioni del sito cisco per configurare un collegamento vpn
dinamico tra il mio router c827-4v (ip statico) e un client vpn 4.0.
Premesso che il router PRIMA di queste aggiunte forniva correttamente un
tunnel vpn 3des ipsec con un altro c827-4v con ip statico mi chiedo come sia
possibile avere due vpn in contemporanea. Spiego il mio dilemma: prima,
nell'interfaccia che deve fare la vpn,  avevo un comando del tipo
crypto map nome-mappa
dove avevo definito ovviamente la nome-mappa con i vari comandi.
Quando h oaggiunto l'altra policy isakmp con tutti i suoi parametri ho messo
anche un bel crypto map nome-nuova-mappa
Ovviamente (da quel poco che sto studiando) e' normale che ci sia una sola
crypto map definita su una interfaccia...sta di fatto che quando pensvo di
aggiungere la cryto map nuova...ho perso la vecchia e di conseguenza il
tunnel statico e' andato a farsi benedire.
Visto che sto facendo delle prove non 'e grave averlo perso...poi lo
recupero in qualche modo.
Pero' mi aspetterei almeno che funzionasse il collegamento appena
configurato...e invece il client vpn non riceve nessuna risposta.
E questo non so come risolverlo.
Nel dubbio posto la parte di configurazione che dovrebbe fare andare sta
benedetta vpn dinamica.
PS La vpn dinamica che vorrei dovrebbe dare un collegamento a un qualsiasi
client (ip dinamico) verso il router con ip statico.
Grazie a tutti nel caso!
Ecco la config (ho omesso alcuni pezzi inutili per risolvere il problema!):
!
version 12.2
service password-encryption
!
hostname xxxxxxxxxxxxxxxxx
!
aaa new-model
!
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
enable secret 5 xxxxxxxxxxxxxxxxxxxxx
!
username xxxxxxxxxxxx secret 5 xxxxxxxxxxxxxxxxxxxxxx
ip subnet-zero
no ip source-route
ip icmp rate-limit unreachable 1000
ip dhcp excluded-address 172.16.0.73
!
ip dhcp pool CLIENT
import all
network 172.16.0.0 255.255.255.0
default-router 172.16.0.73
lease 0 2
!
ip inspect name fwconf tcp
ip inspect name fwconf http
ip inspect name fwconf smtp
ip ssh time-out 120
ip ssh authentication-retries 3
!
!
!
!
! policy per vpn dinamica
crypto isakmp policy 1
encr 3des
authentication pre-share
!
!policy per VPN statica punto-punto
crypto isakmp policy 3
encr 3des
authentication pre-share
group 2
crypto isakmp key xxxxxxxxxxxxxxx address ip-secondo-router 255.255.255.0
!
crypto isakmp client configuration group vpn1
key xxxxxxxxxxxx
pool ippool
!
!
crypto ipsec transform-set vpn-test esp-3des esp-sha-hmac
crypto ipsec transform-set myset esp-3des esp-sha-hmac
!
crypto dynamic-map dynmap 10
set transform-set myset
!
!
crypto map static-map local-address Dialer0
crypto map static-map 1 ipsec-isakmp
set peer ip-pubblico-secondo-router
set transform-set vpn-test
match address vpn-static1
!
crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap client configuration address respond
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
!
!
!
!
interface Tunnel0
ip unnumbered Dialer0
no keepalive
tunnel source Dialer0
tunnel destination ip-pubblico-secondo-router
crypto map static-map
!
interface Ethernet0
ip address 172.16.0.73 255.255.255.0
ip helper-address 172.16.0.115
no ip redirects
no ip proxy-arp
ip nat inside
no cdp enable
hold-queue 100 out
!
interface ATM0
no ip address
no atm ilmi-keepalive
pvc 8/35
encapsulation aal5mux ppp dialer
dialer pool-member 1
!
dsl operating-mode auto
!
interface Dialer0
ip address negotiated
ip access-group 120 in
ip nat outside
ip inspect fwconf in
encapsulation ppp
dialer pool 1
ppp chap hostname xxxxxxxxxxxx
ppp chap password 7 xxxxxxxxxxxxxxxxxxxx
ppp pap sent-username xxxxxxxxxxx password 7 xxxxxxxxxxxx
crypto map clientmap
!
!********************
!l'ultimo comando era crypto map static-map quando la vpn punto punto
andava...ma come faccio a fare due dverse vpn sulla stessa interfaccia?
!********************
!
ip local pool ippool 172.16.0.240 172.16.0.250
ip nat inside source list 23 interface Dialer0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
ip route 172.16.2.0 255.255.255.0 Tunnel0
no ip http server
ip pim bidir-enable
!
!
ip access-list extended vpn-static1
permit gre host ip-pubblico-primo-router host ip-pubblico-secondo-router
!
access-list 23 permit ip-pubbico-secondo-router
access-list 23 permit 172.16.0.0 0.0.0.255
access-list 120 permit esp host ip-pubbico-secondo-router host
ip-pubbico-primo-router
access-list 120 permit udp host ip-pubbico-secondo-router eq isakmp host
ip-pubbico-primo-router eq isakmp
access-list 120 permit ip any host ip-pubbico-primo-router
call rsvp-sync
!
line con 0
exec-timeout 120 0
stopbits 1
line vty 0 4
exec-timeout 120 0
password 7 xxxxxxxxxxxxxxxxxxxxxxxxx
length 25
!
scheduler max-task-time 5000
end

Ragazzi...nessuno ha qualche idea?!?
Non riesco proprio a far andare la vpn dinamica....qualcuno vede a occhio se
ho fato qualche errore nella config postata?
Grazie mille nel caso!
Emanuele

Ok, forse sto esagerando e forse nessuno risponde perche' nessuno ha qualche
idea ma...
...nessuno ha mai provato a gestire un cisco 827 (o un router a caso) per
fargli fare contemporaneamente una vpn punto punto (tra due ip statici) e
una vpn dinamica (per far accettare ad uno dei due router eventuali
connessioni da ip dinamici)??
Dopo questo messaggio non chiedo piu'...evidentemente non avete nulla da
suggerire!
Ciao a tutti e grazie comunque!
Emanuele
PS ovviamente il doc che mi e' stato consigliato e' stato letto e applicato
m acon scarsi risultati come scritto nel primo messaggio con la config
postata!