Newsgroup: it.comp.reti.cisco
Titolo: 827 VPN usando L2TP con winXP

Dopo aver smanettato con vpnclient (con un po di pastarossa, silicone e fil
di ferro funziona), dopo aver provato anche PPTP (funziona bene, ci
mancherebbe, sono 3 righe di config) mi ritrovo a fracassarmi con L2TP tra
un client winXP e il cisco 827.
Considerato che non ho ip publico ne su client winxp ne su cisco, mi devo
affidare alla magia.
L'ip pubblico del cisco è associato ad un dyndns, per cui sempre
raggiungibile ma non posso fare filtri statici sul winXP ne acl sul cisco.
La phase1 va ok, la phase2 invece mi da un:
02:10:30: IPSEC(validate_proposal_request): proposal part #1,
  (key eng. msg.) INBOUND local= 80.116.177.31, remote= 192.168.1.11,
    local_proxy= 
80.116.177.31/255.255.255.255/17/1701
 (type=1),
    remote_proxy= 
192.168.1.11/255.255.255.255/17/1701
 (type=1),
    protocol= ESP, transform= esp-3des esp-md5-hmac ,
    lifedur= 0s and 0kb,
    spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x4
02:10:30: IPSEC(kei_proxy): head = miomap, map->ivrf = , kei->ivrf =
02:10:30: IPSEC(kei_proxy): head = miomap, map->ivrf = , kei->ivrf =
02:10:30: IPSEC(validate_transform_proposal): invalid transform proposal
flags -
- 0x4
Cos'è sto flags=0x4? a cosa fa riferimento? su google non ho trovato il mio
errore preciso.
Ho provato a mettere sia lato XP sia lato cisco un transformset con des e
md5, des e sha, 3des e sha ma cosi mi dice sempre 02:10:30:
IPSEC(validate_transform_proposal): transform proposal not supported
Problemi di filtri protezione ip di XP e acl di cisco non ce ne dovrebbero
essere (come invece sito microsoft dice causa di possibili errori), perchè
sul cisco mi viene creata automaticamente una acl dinamica visibile con show
crypto map, sono 2 acl speculari che permettono udp tra cisco e winXP. Lato
winXP vengono creati automaticamente 2 filtri esattamente uguali a quelli
del cisco (l'ho visto con MMC e snapin monitor di protezione ip).
Se qualcuno avesse un'idea di cosa sia sto flags=0x4 mi sarebbe di aiuto
davvero, oppure non so, ho cappellato alla grande la config??
Grazie a chiunque abbia la pazienza di dare un'occhiata a tutta questa
paccata di roba:)
username ********* password 7 ***************
aaa new-model
!
!
aaa authentication login default line
aaa authentication ppp default local
aaa authorization network default if-authenticated
aaa session-id common
!
vpdn enable
!
vpdn-group 1
! Default L2TP VPDN group
 accept-dialin
  protocol l2tp
  virtual-template 1
 l2tp security crypto-profile ipsecprofile1
 no l2tp tunnel authentication
 ip mtu adjust
!
!
!
!
crypto isakmp policy 4
 encr 3des
 hash md5
 authentication pre-share
 group 2
crypto isakmp key ********* address 0.0.0.0 0.0.0.0
!
!
crypto ipsec transform-set miotrans esp-3des esp-md5-hmac
 mode transport
!
crypto map miomap 4 ipsec-isakmp profile ipsecprofile1
 set transform-set miotrans
 set pfs group2
!
!
!
interface Ethernet0
 ip address 192.168.1.254 255.255.255.0
 ip nat inside
 no ip mroute-cache
 hold-queue 100 out
!
interface Virtual-Template1
 ip unnumbered Dialer1
 ip mroute-cache
 peer default ip address pool ppp-pool
 ppp encrypt mppe auto required
 ppp authentication ms-chap ms-chap-v2
 crypto map miomap
!
interface ATM0
 no ip address
 no ip mroute-cache
 atm vc-per-vp 64
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode ansi-dmt
 hold-queue 224 in
!
interface Dialer1
 ip address negotiated
 ip nat outside
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp authentication pap callin
 ppp pap sent-username ********** password 7 ***********
!
ip local pool ppp-pool 192.168.5.10 192.168.5.20
ip nat inside source list 102 interface Dialer1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
no ip http secure-server
!
!
access-list 23 permit 192.168.1.0 0.0.0.255
access-list 102 deny   ip 192.168.1.0 0.0.0.255 192.168.5.0 0.0.0.255
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
access-list 102 deny   ip any any
dialer-list 1 protocol ip permit
!
radius-server authorization permit missing Service-Type

 un client winXP e il cisco 827.
ciao...  io ho ancora le mani impastate e ingrassate... ma nn mi funziona:
cisco 827 con ip pubblico dinamico.. vorrei configurarlo per fare da server
vpn da client proveniente da internet con ip dinamico anch'esso: hai qualche
suggerimento?
grz!

 ha scritto nel messaggio
news:r%nYa.38321$sj6.8...@tornado.fastwebnet.it...


 Da win2k fai connessione guidata VPN, poi entri in proprietą, metti PPTP,

grazie! sto provando ma:
marge(config)#aaa session-id common
                    ^
% Invalid input detected at '^' marker.
ho presente il wizard vpn win2k (mi collego regolarmente) ma come login e
passwd cosa metto?
grazie

 Da win2k fai connessione guidata VPN, poi entri in proprietą, metti PPTP,

inoltre ecco un altro error:
ppp encrypt mppe auto required
                                   ^
% Invalid input detected at '^' marker.
marge(config-if)# ppp authentication ms-chap ms-chap-v2
AAA: Warning, authentication list "ms-chap-v2" is not defined for PPP.

ecco la conf....
version 12.1
no service single-slot-reload-enable
no service pad
service timestamps debug datetime
service timestamps log datetime
service password-encryption
!
hostname marge
!
logging buffered 4096 debugging
logging rate-limit console 10 except errors
aaa new-model
aaa authentication login default line
aaa authentication ppp default local
aaa authorization network default if-authenticated
enable secret 5 xxxxxxxxxxxxxxxxxxxxxx
enable password 7 xxxxxxxxxxxxxxxxxxxxxxxx
!
username cisco password 7 xxxxxxxxxxxxxxxxx
clock timezone MET 2
ip subnet-zero
ip icmp redirect host
no ip finger
ip name-server 195.130.225.119
ip name-server 195.130.224.18
ip dhcp excluded-address 192.168.0.1 192.168.0.100
ip dhcp excluded-address 192.168.0.250 192.168.0.254
!
ip dhcp pool dhcppool
   import all
   network 192.168.0.0 255.255.255.0
   default-router 192.168.0.254
   dns-server 195.130.225.119 195.130.224.18
   domain-name xxxxxxxxx
   netbios-name-server 192.168.0.1
!
ip inspect name Firewall tcp
ip inspect name Firewall http
ip inspect name Firewall ftp
ip inspect name Firewall udp
ip inspect name Firewall tftp
ip inspect name Firewall h323
no ip dhcp-client network-discovery
vpdn enable
no vpdn logging local
no vpdn logging remote
no vpdn logging user
!
vpdn-group 1
! Default L2TP VPDN group
! Default PPTP VPDN group
 accept-dialin
  protocol any
  virtual-template 1
!
call rsvp-sync
!
!
!
!
!
!
!
!
!
translation-rule 1
 Rule 0 ..% 847852477349##
!
!
interface Ethernet0
 ip address 192.168.0.254 255.255.255.0
 ip access-group 102 in
 ip inspect Firewall in
 ip nat inside
 no cdp enable
 hold-queue 100 out
!
interface Virtual-Template1
 ip unnumbered Dialer1
 ip mroute-cache
 peer default ip address pool ppp-pool
 ppp authentication ms-chap ms-chap-v2

 > Da win2k fai connessione guidata VPN, poi entri in proprietà, metti


 ha scritto nel messaggio
news:B5eYa.43706$cl3.1...@news2.tin.it...


 wrote in message
news:bguaf6$i4v$1...@lacerta.tiscalinet.it...


 wrote in message
news:bguaf6$i4v$1...@lacerta.tiscalinet.it...


 wrote in message
news:B5eYa.43706$cl3.1...@news2.tin.it...


 ha scritto nel messaggio
news:bguaf6$i4v$1...@lacerta.tiscalinet.it...


 ha scritto nel messaggio
news:9CBYa.51043$cl3.1...@news2.tin.it...


 ha scritto nel messaggio
news:oiMYa.232690$Ny5.6...@twister2.libero.it...
