Newsgroup: it.comp.reti.cisco
Titolo: VPN e int Loopback

Allora ora vi illustro lo scenario
una sede con una ADSL MultigroupMega ed un'altra con una Smart 5 da 640
Nel router della sede che chiamerò A ho configurato una interfaccia di
loopback perchè, come gia parlato qua nel newsgroup, l'indirizzo del punto
punto è filtrato dal router.
Una volta configurato la vpn magicamente.....non va nulla :(
ecco la mia configurazione dei due punti
crypto isakmp policy 1
 encr 3des
 hash md5
 authentication pre-share
 group 2
crypto isakmp key 0 PASS address xxxxxxxxxxx -> indirizzo del router B (con
la smart)
!
!
crypto ipsec transform-set VPN-A esp-3des esp-md5-hmac
!
crypto map VPN-A 10 ipsec-isakmp
 set peer xxxxxxxxxxx -> indirizzo del router B
 set transform-set VPN-A
 match address 150
!
interface Loopback0
 ip address xxxxxxxxxxxxxxx 255.255.255.248 IP PUBBLICO DEL POOL ASSEGNATO
 ip access-group 111 in
 ip nat outside
 ip tcp adjust-mss 1400
 crypto map VPN-A
!
ip route 192.168.2.0 255.255.255.0 ATM0.1 LAN REMOTA
access-list 102 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 niente
NAT per la VPN
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
access-list 150 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ACL
per la VPN
ecco, nell'altro router la configurazione è speculare..
Come mai secondo voi non funziona?
Ho sbagliato qualcosa nell'interfaccia di loopback.
Ah, ovviamente nelle ACL ho messo le righe per far avvenire il collegamento
VPN.
access-list 111 permit esp any any
access-list 111 permit udp any any eq isakmp
Grazie per l'attenzione.
--
Marco Ciacci

 ecco la mia configurazione dei due punti
mancano troppi elementi della configurazione per dire il perche' non 
funzioni.
prima di tutto devi specificare che la crypto map la vuoi fare con 
l'interfaccia di loopback.
ES:
	crypto map NOMEMAPPA local-address Loopback 1
poi non vedo la route-map che decide se nattare oppure no
ES:
	route-map nonat permit 10
  	match ip address 102
la 102, a naso, e' l'access list che fa al caso tuo
CONSIGLIO:
ma perche' vuoi farti del male ?
ricorda
MAI e poi MAI mettere access-list di filtro
finche' non sei sicuro che tutto funzioni.
perche' complicarsi la vita ? TIRA via quel
  ip access-group 111 in
dalla loopback.
insomma posta la configurazione completa di almeno uno dei due router.
ricorda inoltre di verificare che l'isakmp e le crypto map dei due 
router utilizzino le stesse politiche.
in particolare fai un:
	show crypto  isakmp policy
sui due router e verifica che siano uguali
se la fase di IKE va a buon fine e ancora non funziona, controlla le map

arx wrote:

ecco la configurazione completa di uno dei router, l'altro è speculare (a
parte la loopback)
Current configuration : 4592 bytes
!
version 12.3
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname xxxxxxxx
!
no logging buffered
enable secret xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
username xxxxxxxxxxx password xxxxxxxxxxxxxxxxxxxx
no aaa new-model
ip subnet-zero
ip domain name xxxxxxxx
ip name-server 151.99.125.2
ip inspect name myfw cuseeme timeout 3600
ip inspect name myfw ftp timeout 3600
ip inspect name myfw rcmd timeout 3600
ip inspect name myfw realaudio timeout 3600
ip inspect name myfw smtp timeout 3600
ip inspect name myfw tftp timeout 30
ip inspect name myfw udp timeout 15
ip inspect name myfw tcp timeout 3600
ip inspect name myfw h323 timeout 3600
ip audit notify log
ip audit po max-events 100
ip ssh source-interface Loopback0
no ftp-server write-enable
crypto isakmp policy 1
 encr 3des
 hash md5
 authentication pre-share
 group 2
crypto isakmp key 0 xxxxxxxxxx address xxxxxxxxxxxxxxxx
!
!
crypto ipsec transform-set VPN-A esp-3des esp-md5-hmac
!
crypto map VPN-A local-address Loopback0
crypto map VPN-A 10 ipsec-isakmp
 set peer xxxxxxxxxxxxxxxxxxxx
 set transform-set VPN-A
 match address 150
!
interface Loopback0
 ip address xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
 ip nat outside
 ip inspect myfw out
 ip tcp adjust-mss 1400
 crypto map VPN-A
!
interface Ethernet0
 ip address 192.168.1.111 255.255.255.0
 ip access-group 122 out
 ip nat inside
 no ip mroute-cache
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.1 point-to-point
 bandwidth 1280
 ip address xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
 ip nat outside
 ip inspect myfw out
 ip tcp adjust-mss 1400
 pvc 8/35
  encapsulation aal5snap
 !
!
...
ip nat inside source list 102 interface Loopback0 overload
!
ip classless
ip route 0.0.0.0 0.0.0.0 xxxxxxxxxxxxxxxxxx
ip route xxxxxxxxxxxxxxxxxxxxx 255.255.255.248 ATM0.1
ip route 151.99.0.0 255.255.0.0 ATM0.1
ip route 192.168.2.0 255.255.255.0 ATM0.1
!
access-list 102 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
access-list 111 permit tcp any any eq telnet
access-list 111 permit icmp any any administratively-prohibited
access-list 111 permit icmp any any echo
access-list 111 permit icmp any any echo-reply
access-list 111 permit icmp any any packet-too-big
access-list 111 permit icmp any any time-exceeded
access-list 111 permit icmp any any traceroute
access-list 111 permit icmp any any unreachable
access-list 111 permit udp any eq bootps any eq bootpc
access-list 111 permit udp any eq bootps any eq bootps
access-list 111 permit udp any eq domain any
access-list 111 permit esp any any
access-list 111 permit udp any any eq isakmp
access-list 111 permit udp any any eq 10000
access-list 111 permit tcp any any eq 1723
access-list 111 permit tcp any any eq 139
access-list 111 permit udp any any eq netbios-ns
access-list 111 permit udp any any eq netbios-dgm
access-list 111 permit gre any any
access-list 111 permit tcp any any eq 3389
access-list 111 permit tcp any any eq 5900
access-list 111 permit tcp any any eq 5901
access-list 111 permit tcp any any eq 5902
access-list 111 permit tcp any any eq 5903
access-list 111 permit tcp any any eq 5904
access-list 111 permit tcp any any eq 5905
access-list 111 permit tcp any any eq 5906
access-list 111 deny   ip any any
access-list 122 deny   tcp any any eq telnet
access-list 122 permit ip any any
access-list 150 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
....
ecco qua
--
Marco Ciacci

 ha scritto nel messaggio
news:cbidoa$fj6$1...@news.ngi.it...

Come diceva arx ti manca
ES:
"route-map nonat permit 10
  match ip address 102
la 102, a naso, e' l'access list che fa al caso tuo"
serve a specificare che il nat non deve essere eseguito nel tunnel...
ciao Beppe

 ciao Beppe
--
Marco Ciacci

Ho comunque risolto in una maniera consigliata dalla cisco :-)
Ho creato un tunnel GRE fra i due router e poi applicato ipsec in modo
transport e tutto funziona perfettamente...
--
Marco Ciacci

 
route-map in questo caso fa la stessa cosa di quest'ultima riga e
quindi non serve in questa circostanza.