Newsgroup: it.comp.reti.cisco
Titolo: Cisco VPN Client

Salve, il mio schema:
clients -> router -> INTERNET -> router -> server
purtroppo non vi so dire molto su cio' che avviene alla dx di INTERNET,
presuppongo comunque che vi sua un apparato cisco che fa da IPSec
gateway. Per connettermi al server remoto, d'altronde, mi e' stato
fornito un Cisco VPN Client con diverse username/password.
Il problema fondamentale e' che... un client riesce a connettersi alla
rete remota e gli viene assegnato un certo indirizzo ip. Un secondo
utente si connette con un'user/pass diversi, ma in remoto gli viene
assegnato lo stesso ip dell'utente precendete, con la conseguenza che
il primo client viene disconnesso.
Come posso risolvere la questione: anzi, in primis, il problema e'
nostro o dell'amministratore dell'apparato remoto? Ho provato a fare
l'incapsulazione tramite UDP e TCP, ma il problema persiste.
Ogni suggerimento e' benvenuto.

 l'incapsulazione tramite UDP e TCP, ma il problema persiste.
Allora...
Mancano un po' di "notiziole", ma le presumo io credendo di non sbagliare.
Almeno uno dei due router fa NAT overload (=PAT) e questo mi pare un bel
problemino di "NAT-T".
E questi sono quei problemini che ti fanno "Infognare"...
Comunque:
"Se le device sono entrambe capaci di fare NAT-T, questa feature č rilevata
e negoziata automaticamente."
Direi che solo lato server c'č da avere qualche accortezza di
configurazione.
Volendo... provate a suggerire all'amministratore remoto una controllatina
alla configurazione dei "NAT keepalive".
Il client software, se vi č stato fornito dal fornitore del servizio, lo
immagino giŕ configurato.
Ad ogni buon conto, nel tab "Transport" abbiate cura che sia spuntato
"Enable Trasparent Tunneling" e che sia abilitato il conseguente
radio-button "IPSecover UDP (NAT / PAT)".
La autenticazione non credo che sia implicata.
Quanto sopra ipotizando che la mia supposizione sulla presenza del NAT e
della sua configurazione sia "indovinata".
Se non č cosě... prova a fornire qualche dettaglio in piů...
Spero possa essere di aiuto.
Ciao!
JOSabor
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Spero possa essere di aiuto.
Ti ringrazio per l'aiuto. Come ho detto, sono abbastanza ignorante in
materia, in quanto non ho mai lavorato sull'VPN implementato dalla
cisco. (solo openvpn).
A proposito esiste qualche applicativo linux/windows compatibile con il
VPN Cisco? Ho visto che dal sito non e' piu' possibile fare il download
del vpnclient v.4.x e non si riescono a trovare versioni piu' vecchie.
Sapevo del vpnc, che dovrebbe fare IPSec ESP transport mode, ma non
sono riuscito ancora a farlo funzionare.
Grazie ancora!

Il la modalità "transport" piuttosto che "tunnel" non c'entra.
Voi dovete usare il "tunnel".
Usare il "wrapper" UDP è indispensabile se ci sono tra i due endpoint delle
maccine che fanno NAT.
Nella cofigurazione del client, lascia il default (UDP), non imposare il
TCP.
Non hai bisogno di sapere nulla!
Sono cose di cui si deve preoccupare il gestore del "VPN server", ed io
credo (ovviamente ipotizzo "a sensazione") che la configurazione lato server
possa essere lacunosa del NAT Keepalive.
un client è un client... una volta inseriti i parametri necesari, direi che
il problema risiede altrove.
Comunque, se può essere utile ad "uscire dal tunnel"... :) qui sotto ho
trovato un link ad un bel documento sul NAT-T.
http://www.cisco.com/en/US/products/sw/iosswrel/ps1839/products_feature_guide09186a0080110bca.html
Per quanto riguarda i client alternativi al "Cisco VPN Client", non saprei
proprio... io ho sempre usato solo quello.
Mi permetto un suggerimento, forse è applicabile...
Non sarebbe possibile semplicemente un tunnel "site-to-site" tra i due
router visibili su internet?
La sicurezza e la autenticazione "per user" (se indispensabile) potrebbe
essere trasferita atrove, magari a livello più alto.
Se accettabile, questa ipotesi vi semplifica davvero la vita (più che altro
all'amministratore del VPN server, direi).


 all'amministratore del VPN server, direi).
Sarei felice di configurarlo. Noi abbiamo due Cisco, 857 e 827. Non
sono certo Concentrator o PIX, pero' presuppongo che sono in grado di
fare una negoziazione e stabilire un tunnel. Pero' presuppongo che per
fare cio' debba conoscere, almeno le linee guida, di come abbiano
configurato il server remoto, in maniera da fare una configurazione
simmetrica.
Chiedo scusa, ma ho un'altra domanda. Ho notato che una volta che il
client e' connesso al vpn una voce ambigua si aggiunge tra le tabelle
di routing... Ovvero tutto il traffico del tipo
192.168.0.0 mask 255.255.224.0
viene inoltrato sull'interfaccia VPN. Questo "in teoria mi incasina la
lan". Infatti una regola del genere, se non sbaglio, assegna tutto il
segmento di indirizzi che va da 192.168.0.0 a 192.168.32.255
all'interfaccia VPN. Il che dirotterebbe anche le connessioni dal
client agli indirizzi locali, ovvero il mio segmento 192.168.10/24.
Dico in teoria in quanto su windows non succede nulla (credo che l'OS
legga male le tabelle di routing, ovvero rispetta qualche tipo di
ordine cronologico), mentre macchine linux non possono piu' contattare
nanche macchine della stessa LAN fisica. Ma noi abbiamo molti
sviluppatori che usano linux e sopra ci fanno girare macchine virtuali
windows... Quindi niente connessione.

 > Non hai bisogno di sapere nulla!
Dopo aver data un'occhiata veloce all'IPSec NAT Transparency, mi sembra
che oltre a settare
EnableNat=1
ForceKeepAlives=1
nel mio profilo *.pcf, non e' che possa fare molto, dal lato client.
Quindi per ora mi rassegno alla benevolenza dell'amministratore remoto.