Newsgroup: it.comp.reti.cisco
Titolo: VPN e Fastweb

Qualcuno di voi per caso ha trovato un workaround per far funzionare un  
VPN client connesso ad internet da rete Fastweb ??
la fase uno e due della connessione VPN vanno a buon fine, poi peccato che  
non è possibile nessuna trasmissione di rete
Sareste di grandissimo aiuto
Ciao
Ringhio
P.S. per Don
...sono tornato a vivere in Italia, sono troppo felice !

 un VPN client connesso ad internet da rete Fastweb ??
Se la connessione e' originata da un client su connessione base FASTWEB
residenziale/SOHO con CPE/HAG (hidden/dynamic NAT M-1 della rete FW) e'
sufficiente implementare (anche lato endpoint remoto) il supporto NAT-T
con Transparent Tunneling IPSec over UDP.
Qualora invece lo scenario prevedesse delle varianti, e.g.:
==
- Connessione business FW con router/GAD (e quindi ulteriore NAT/PAT)
- Connessione business FW con firewall (Stonegate o soluzione propria)
- Connessione client tramite wireless allo IAD FASTWEB
==
mi servirebbe qualche info aggiuntiva sulle soluzioni "client/server"
usate per gli endpoint VPN.
 
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST FAQ 2.0 ITGF -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

 non è possibile nessuna trasmissione di rete
devi fare IPSec over UDP o over TCP, lo sto facendo in questo momento.

innanzitutto grazie mille per l'aiuto, la connessione è una residenziale 
in fibra con HAG come CPE.
Sto usando il Cisco VPN Client 4.0.3 settato in Transparent Tunneling con 
Nat su UDP.
Il tunnel viene stabilito correttamente e senza errore ... io poi pero non 
riesco a vedere nulla della rete interna a cui accedo via VPN.
se mi connetto usando ad esempio la connessione dial-up di Tiscali, 
funziona perfettamente.
Ciao e grazie
Ringhio


è esattamente come è settato il Vpn Client 4.0.3
Ma una volta alzato il tunnel non riesco a connettermi a nulla, non c'è 
alcun traffico di rete.
Ciao
Ringhio


 non riesco a vedere nulla della rete interna a cui accedo via VPN.
Una tale situazione puo essere causata da :
==
- Problemi Firewall client/server con pacchetti UDP
- Problemi con impostazioni MTU dell'interfaccia di rete lato client
==
ed e' individuabile dal debug su entrambi gli endpoint dei pacchetti
trasmessi e ricevuti da entrambi gli endpoint VPN. Per quanto riguarda 
le impostazioni di un firewall lato client devi consentire in uscita le
connessioni dalle seguenti porte locali :
==
- UDP 500
- UDP 4500 (NAT-T)
- UDP 62515
==
mentre per quando riguarda il valore di MTU, abbassalo a 1300 o a 576.
Questi sono perlomeno i workaround che ho usato per risolvere problemi
come il tuo su client 3.5.1/3.6/4.0.x dietro a connessioni con NAT M-1
(e quindi anche FASTWEB) ed utilizzo di IPSec/UDP in NAT-T Mode. Da
notare che con l'ultima versione (4.6) non ho riscontrato noie, nemmeno
a livello di MTU usando connessione wireless con WEP/WPA attivo tra
computer e CPE/HAG.
Qualora dovessi avere ancora problemi ti chiederei qualche informazione
aggiuntiva su quanto leggessi in Statistics/Log, in merito anche alle
impostazioni di routing.


 ha  
scritto:

-- 
Creato con il rivoluzionario client e-mail di Opera:  
http://www.opera.com/m2/

> la MTU l'ho settata a 1300, proverò ad abbassarla a 576.
io sto andando con vpnclient 4.6.01.0019 ed ho l'MTU a 1300 sulla scheda 
wireless con WEP.
ma che gateway hai dall'altra parte un 3000, un PIX o un IOS ?
mm


Io ho FW a casa e mi collego verso decine di clienti, con tutti i titpi di 
terminatori (vpn3000, pix, ios), sono passato per tutte le release di client 
(più o meno dalla 3.6 alla 4.6) e non ho mai avuto nessun problema.
Problemi simili mi sono capitati, a prescindere dalle reti di transito, nei 
seguenti casi:
1 - terminatore vpn non configurato per gestire l'encapsulation dell'esp 
(nat-t, ipsec over udp o ipsec over tcp che dir si voglia) e client 
ovviamente dietro rete nattata.
2 - rete client e rete terminatore con la stessa classe di indirizzi
3 - personal firewall sul client configurato male.
In tutti e tre i casi l'isakmp negozia correttamente il tunnel (dando la 
falsa sensazione che tutto funzioni)  ma non passando l'esp, sebbene per 
motivi diversi, ovviamente non va un cacchio.
Nel primo caso puoi verificare nel menù statistics del client che i 
pacchetti siano correttamente incapsulati, il secondo caso è banale, per il 
terzo basta ovviamente provare a disattivare momentaneamente il firewall.
Ciao,
         Tosh.