Newsgroup: it.comp.reti.cisco
Titolo: VPN... sempre VPN.... :-( (lunghetto)

Non mi sparate... so di essere ripetitivo.. ma continuo a non riuscire ad
accedere ad una vpn fatta con un pix 501 da un pc dietro ad un router.
Qualche tempo fa avevo scambiato due battute con mayhem (da ringraziare
eternamente per il lavoro incredibile che fa su questo ng) il quale, con i
suoi super tecnicismi, mi spiego' qualcosa in merito alle varie modalita' di
criptaggio e di autenticazione.
Purtroppo subito dopo il suo ultimo post sono dovuto partire per le ferie e
non sono riuscito piu' a seguire la cosa.
Visto che, ovviamente, il problema non e' ancora risolto, vorrei provare a
riprendere il discorso (pazienza di mayhem permettendo).
In breve schematizzo la configurazione :
(LAN1) ---> ROUTER NETGEAR DG834 ---> INTERNET ----> 827H ----> PIX501 ---->
(LAN2)
Obbiettivo : da un pc della lan1, raggiungere i pc della lan2 passando
attraverso la vpn.
Premesso che la vpn funziona perfettamente se ci si collega utilizzando un
modem, il problema si presenta quando si tenta di accedere attraverso il
router adsl.
Il client riesce a fare l'autenticazione, il pix assegna l'ip al client, ma
poi non si muove piu' niente.
Niente ping, niente risorse di rete... niente di niente !
Prima di tutto vorrei capire se il problema e' dovuto a questioni hardware
(che so... router non adeguato o altre cose) oppure e' limitato ad un
problema di configurazione degli apparati.
Visto che non sono un esperto, vorrei capire innanzitutto la "teoria
generale" che si cela dietro alla realizzazione di questa tipologia di rete.
Cosa serve per farla funzionare, quali sono i protocolli corretti,
configurazioni necessarie (route statiche o che altro)... etc.etc.
Credo di non essere l'unico che ha questo tipo di problema, sarebbe bello
poter arrivare insieme allo sbrogliamento di questa matassa
ingarbugliatissima (almeno per me).
Ringraziando in anticipo tutti coloro che avranno la pazienza di affrontare
questo argomento, colgo l'occasione per augurare a tutti il buon anno ,
anche se in ritardo. :-)
Actarus
P.S.
Ma non esiste una bella faq su questo argomento magari con esempi di
configurazione "pre-confezionati" ?

 configurazione "pre-confezionati" ?
Hai provato a leggere le configurazioni su questa pagina alla sezione "PIX
to XYZ" ?
http://www.cisco.com/pcgi-bin/Support/browse/psp_view.pl?p=Internetworking:IPSec&s=Implementation_and_Configuration
~mm

 ingarbugliatissima (almeno per me).
Guarda anche gli altri post che hanno link interessanti.
Comunque la ragione teorica per cui non funziona e' perche' quando si fa NAT il
pacchetto viene alterato per cui l'AH (autentication header) risulta non valido
ed il pacchetto scartato .....
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 ed il pacchetto scartato .....
Questo lo avevo intuito.
Quello che non mi spiego, e' se proprio non c'e' alcun modo per potersi
connettere ad una vpn passando attraverso un router/firewall che natta ???
Mi sembra proprio una cosa impossibile a credersi.
Continuero' la mia ricerca.... speriamo bene.
CIao

"marco misitano" <q356107atmisitanodotcom> ha scritto nel messaggio
news:1074244718.792463@sj-nntpcache-5...

Grazie per la segnalazione.
Purtroppo non ho capito qual'e' , dei tanti, il capitolo che dovrei
guardare.
Puoi aiutarmi ad identificarlo ?
Grazie
Ciao

 Mi sembra proprio una cosa impossibile a credersi.
So che sembra impossibile ma e' cosi'. D'altronde il NAT modifica il
pacchetto e quindi giustamente IPSec si arrabbia. La soluz e' quella di
fare in modo che i dispositivi ai margini del tunnel IPSec siano gli
stessi che fanno NAT, in pratica in casi come questi devi avere IPSec sui
router e non sul firewall! Solo di recente alcune grosse aziende (Cisco,
Microsoft e altri) hanno tirato fuori una implementazione di IPSec
"modificata" (spiegato in parole povere) che si chiama NAT-T (= NAT
traversal) che supporta l'attraversamento del NAT, pero' credo ci sia
qualche problema di interoperabilita' tra case diverse (ma non ho dettagli
meggiori).
bebe 
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 pacchetto e quindi giustamente IPSec si arrabbia.  --- cut---
Domanda.... :
Il problema continuerebbe a sussistere anche nel caso in cui si creassero
delle route statiche tra l'ip privato del pc ed il relativo ip pubblico
internet ?
Ciao

 Mi sembra proprio una cosa impossibile a credersi.
il client vpn della cisco con un vpn concentrator o il client checkpoint
con vpn-1
incapsulano ipsec in tcp.
altrimenti fai solo esp, senza ah, o ah lo applichi solo al payload.
nat modifica solo gli header del pacchetto.
un mayhem che adora l'estathe
-- 
 Per il monte di venere non occorre essere alpinisti. Vallik
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 internet ?
in questo caso dovresti dire di non nattare quel traffico.
traffico che passerebbe in chiaro su internet, e violerebbe anche delle
rfc, per cui su una rete con delle acl corrette non arriverebbe a
destinazione.
di fatto su molti network funziona.
un mayhem e per riparmiare un po' di migliaia di euro


 nat modifica solo gli header del pacchetto.
:-(   .... troppo complicato per me..... inizio a scoraggiarmi parecchio.
Ciao e grazie
P.S.
Ma questi problemi esistono anche se ci si vuole collegare alle vpn fatte
con windows server ?

 con windows server ?
se sei dietro ad firewall nattante (es pix) si.
un mayhem che odio queste regexp
