Newsgroup: it.comp.reti.cisco
Titolo: VPN IPSEC su ISDN

Ciao a tutti.
Ho un problema con alcuni Cisco 801, mi scuso in anticipo del fatto che non
posterò la configurazione, ma non ho il file qui a casa.
Ho configurato 14 801 ISDN per connettersi ad internet ed attraverso quella
andare in VPN (ipsec) verso una sede centrale con un canale ADSL (quindi
sempre attivo).
Tutto funziona, vado in internet, arrivo al server che si trova aldilà del
tunnel ipsec con il portale aziendale.
Il mio problema è che il tunnel ipsec non attiva la linea ISDN.
In pratica sono costretto ad alzare prima una chiamata ad internet di
qualsiasi tipo (anche un solo ping ad un indirizzo inventato fuori
rete-privata) perchè ISDN si connetta e solo allora arrivo al server sulla
rete privata remota.
La mia domanda è se esiste una soluzione "teorica" al problema, se qualcuno
l'ha già avuto, facendo un po' di debug ho scoperto che probabilmente il
tunnel rifiuta di attivarsi proprio a causa del fatto che non ha un
indirizzo ip da cui partire (che viene negoziato alla connessione, non è
statico), l'errore che mi viene segnalato è:
IPSEC (sa_initiate) invalid parameters
Faccio un ipotesi che mi fa tremare le ginocchia, devo mica associare il
tunnel ad un'interfaccia con indirizzo "statico" e quindi creare una
loopback che solo successivamente incanali il traffico sull'interfaccia
dialer?
Non c'è qualche "trucco" che magari con il PBR mi permetta di forzare una
chiamata o un ping verso internet ogni volta che mi parte un tentativo di
"tunnel"?
Certo, per ora ho semplicemente creato un record DNS e accedo alla risorsa
tramite FQDN, così per risolvere l'indirizzo il router mi connette ad
internet ed il tunnel ha la porta aperta, ma è un sistema poco affidabile...
Vi ringrazio in anticipo per le risposte
ciao
    Arvi


Innanzi tutto ricordati di postare le conf sia lato 801 che lato server.
La soluzione mi sembra in effetti abbastanza precaria, non č che ti conviene
lasciare che gli 801 facciano solo la connessione ad internet ed installare
il client Cisco sui pc per le vpn?
Il pacco da 100 licenze costa una fischiata.
Dial-up per dial-up, questa mi sembra una soluzione piů quadrata ed
economica.
Ciao,
        Tosh.

 tunnel ipsec non attiva la linea ISDN. 
cosa hai definito sull'801 come traffico interessante?
un mayhem che nottata dal cliente anche stasera
-- 
 Everyone is gay, with someone else's ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 ha scritto nel messaggio
news:pan.2003.11.24...@mayhem.ru...


 dialer-list 1 protocol ip permit
prova a definirla meglio. del tipo dicendo
permetti esp verso vpn server
permetti ahp vesro vpn server
permetti 500/udp verso vpn server
permetti da mia subnet verso remota
permetti traffico internet.
e poi verifica se ci sono acl matchate o meno.
un deb ip pack det potra' senza dubbio fornirti degli ottimi spunti per
determinare il traffico interessante ed un deb dialer qualcosa (o era ppp
qualcosa?) ancor di piu'.
un mayhem e le eterne compilazioni



Ci provo domani, intanto posto la configurazione del bastardo.
----------------------------------------
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname nome_router
!
enable secret Pass_a
!
ip subnet-zero
no ip source-route
!
isdn switch-type basic-net3
cns event-service server
!
crypto isakmp policy 1
 hash md5
 authentication pre-share
crypto isakmp key Pass_a address Central_addr
!
crypto ipsec transform-set rptset esp-des esp-md5-hmac
!
crypto map rpt 1 ipsec-isakmp
 set peer Central_addr
 set transform-set rptset
 match address 115
!
process-max-time 200
!
interface Ethernet0
 ip address 192.168.107.254 255.255.255.0
 ip access-group 121 in
 no ip directed-broadcast
 no ip proxy-arp
 ip nat inside
 no shutdown
!
interface BRI0
 no ip address
 no ip directed-broadcast
 encapsulation ppp
 dialer pool-member 1
 isdn switch-type basic-net3
 ppp authentication chap pap callin
 no shutdown
!
interface Dialer1
 description ISP
 ip address negotiated
 ip access-group 121 in
 no ip directed-broadcast
 no ip proxy-arp
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip split-horizon
 no ip mroute-cache
 dialer remote-name Cisco1
 dialer idle-timeout 60
 dialer string xxxxxxxxxx class DialClass
 dialer hold-queue 10
 dialer pool 1
 dialer-group 1
 pulse-time 0
 ppp authentication chap pap callin
 ppp chap hostname utente
 ppp chap password pass_int
 ppp pap sent-username utente password pass_int
 crypto map rpt
!
ip nat inside source route-map nonat interface Dialer1 overload
no ip http server
no ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
!
map-class dialer DialClass
access-list 18 permit 192.168.107.0 0.0.0.255
access-list 110 deny   ip 192.168.107.0 0.0.0.255 192.168.12.0 0.0.0.255
access-list 110 permit ip 192.168.107.0 0.0.0.255 any
access-list 115 permit ip 192.168.107.0 0.0.0.255 192.168.12.0 0.0.0.255
access-list 115 deny   ip 192.168.107.0 0.0.0.255 any
access-list 121 permit ip any any time-range TIME
dialer-list 1 protocol ip permit
!
route-map nonat permit 10
 match ip address 110
!
line con 0
 exec-timeout 0 0
 password Pass_a
 login
 transport input none
 stopbits 1
!
line vty 0 4
 password Pass_a
 login
!
time-range TIME
 periodic daily 0:00 to 23:59
!
end