Newsgroup: it.comp.reti.cisco
Titolo: VPN con due 827

Dopo 1000 tentativi non sono riuscita a fare andare questa VPN.
Questo e' lo IOS di entrambi: c820-k9osy6-mz.122-15.T5.bin
E le conf sono di seguito... AIUTOOOOOOOOOOOOOOOO!!!
Grazie al magico che riuscira'!
!
version 12.2
no parser cache
no service pad
service timestamps debug datetime
service timestamps log datetime
service password-encryption
!
hostname ROUTER1
!
logging queue-limit 100
no logging buffered
no logging rate-limit
enable secret
!
clock timezone GMT 1
ip subnet-zero
no ip domain lookup
!
!
!
!
crypto isakmp policy 1
 encr 3des
 hash md5
 authentication pre-share
 group 2
 lifetime 28800
crypto isakmp key 0123456789 address IP-PUBB-ROUTER2
!
!
crypto ipsec transform-set rptset esp-des esp-md5-hmac
!
crypto map rpt 1 ipsec-isakmp
 set peer IP-PUBB-ROUTER2
 set transform-set rptset
 set pfs group2
 match address 101
!
!
!
!
interface Ethernet0
 ip address 192.168.1.1 255.255.255.0
 ip nat inside
 no keepalive
 hold-queue 32 in
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 pvc 0/32
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip mroute-cache
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp chap hostname LOGIN
 ppp chap password PW
 crypto map rpt
!
ip nat translation timeout 3600
ip nat translation tcp-timeout 3600
ip nat translation udp-timeout 3600
ip nat translation icmp-timeout 3600
ip nat translation max-entries 1000
ip nat inside source route-map nonat interface Dialer0 overload
ip nat inside source static tcp 192.168.2.254 22 interface Dialer0 22
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
ip route 192.168.0.0 255.255.255.0 192.168.1.254
no ip http server
no ip http secure-server
!
!
access-list 100 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 100 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
dialer-list 1 protocol ip permit
!
route-map nonat permit 10
 match ip address 100
!
snmp-server engineID local
snmp-server community public RO 90
snmp-server enable traps tty
!
line con 0
 password
 login
 stopbits 1
line vty 0 4
 access-class 90 in
 password
 login
!
scheduler max-task-time 5000
end
!
version 12.2
no parser cache
no service pad
service timestamps debug datetime
service timestamps log datetime
service password-encryption
!
hostname ROUTER2
!
logging queue-limit 100
no logging buffered
no logging rate-limit
enable secret
!
clock timezone GMT 1
ip subnet-zero
no ip domain lookup
!
!
!
!
crypto isakmp policy 1
 encr 3des
 hash md5
 authentication pre-share
 group 2
 lifetime 28800
crypto isakmp key 0123456789 address IP-PUBB-ROUTER1
!
!
crypto ipsec transform-set rptset esp-des esp-md5-hmac
!
crypto map rpt 1 ipsec-isakmp
 set peer IP-PUBB-ROUTER1
 set transform-set rptset
 set pfs group2
 match address 101
!
!
!
!
interface Ethernet0
 ip address 192.168.2.1 255.255.255.0
 ip nat inside
 no keepalive
 hold-queue 32 in
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 pvc 0/32
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip mroute-cache
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp chap hostname LOGIN
 ppp chap password PW
 crypto map rpt
!
ip nat translation timeout 3600
ip nat translation tcp-timeout 3600
ip nat translation udp-timeout 3600
ip nat translation icmp-timeout 3600
ip nat translation max-entries 1000
ip nat inside source static udp 192.168.2.254 69 interface Dialer0 69
ip nat inside source route-map nonat interface Dialer0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
ip route 192.168.3.0 255.255.255.0 192.168.2.254
no ip http server
no ip http secure-server
!
!
access-list 100 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 100 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
dialer-list 1 protocol ip permit
!
route-map nonat permit 10
 match ip address 100
!
snmp-server engineID local
snmp-server community public RO 90
snmp-server enable traps tty
!
line con 0
 exec-timeout 0 0
 password
 login
 stopbits 1
line vty 0 4
 access-class 90 in
 exec-timeout 0 0
 password
 login
!
scheduler max-task-time 5000
end

  match ip address 100
la route map viene matchata quando fai le prove?
tolte queste prove paranoiche, posterei uno sho cry isak sa ed uno sho cry
ipsec sa.
un mayhem compiaciuto dalla tua precisione :))
-- 
 La mia prima misura anticoncezionale e' stata la preghiera.
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613


Nulla č mai troppo paranoico quando devi far funzionare una cosa.
Aggiungerei anche un debug crypto isa ed un debug crypto engine.
Poi .....
pvc 0/32
Questo pvc a cosa serve? Non č che crea confusione al router dato che č
"bindato" alla stessa dialer dell'altro?
set pfs group2
Sempre per effetto della paranoia, questo lo puoi togliere per le verifiche
dato che non č indispensabile al funzionamento di ipsec
ip address negotiated
hai controllato che il provider gli assegni l'indirizzo corretto?
Per finire ... mi auguro che quando avrai fatto funzionare la vpn stopperai
anche qualche servizio dannoso (source-route, unreachables, ecc..) ed
attiverai l'ios-fw, visto che ce l'hai.
Ciao,
        Tosh.


 attiverai l'ios-fw, visto che ce l'hai.
di fatto devi ammettere che e' molto piu' pulita e speculare rispetto alle
cfg postate di solito. inoltre io metterei aaa locale oltre a milla acl.
un mayhem alle prese con un maledetto iis ....


Non funzia ancora.... ho queste stranezze:
(come faccio a vedere se le acl e le route-map vengono marchate?)
Nel dubug non mi viene fuori quasi nulla tranne quello di seguito se metto
in shutdown per qualche secondo la ATM0.
*Mar  1 00:04:14: %LINK-3-UPDOWN: Interface Virtual-Access3, changed state
to up
*Mar  1 00:04:14: IPSEC(sa_find_addr): null IP address specified on SADB
lookup
*Mar  1 00:04:14: IPSEC(sa_find_addr): null IP address specified on SADB
lookup
*Mar  1 00:04:14: %DIALER-6-BIND: Interface Vi3 bound to profile Di1
*Mar  1 00:04:14: %LINK-3-UPDOWN: Interface ATM0, changed state to up
*Mar  1 00:04:15: %LINEPROTO-5-UPDOWN: Line protocol on Interface ATM0,
changed state to up
*Mar  1 00:04:25: %LINEPROTO-5-UPDOWN: Line protocol on Interface
Virtual-Access3, changed state to up
#show crypto ipsec sa
interface: Dialer1
    Crypto map tag: rpt, local addr. PUB-IP-ROUTER1
   protected vrf:
   local  ident (addr/mask/prot/port): (
192.168.2.0/255.255.255.0/0/0
)
   remote ident (addr/mask/prot/port): (
192.168.1.0/255.255.255.0/0/0
)
   current_peer: PUB-IP-ROUTER2:500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0
    #pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts not decompressed: 0, #pkts decompress failed: 0
    #send errors 0, #recv errors 0
     local crypto endpt.: PUB-IP-ROUTER1, remote crypto endpt.:
PUB-IP-ROUTER2
     path mtu 1500, media mtu 1500
     current outbound spi: 0
     inbound esp sas:
     inbound ah sas:
     inbound pcp sas:
     outbound esp sas:
     outbound ah sas:
     outbound pcp sas:
(A OCCHIO SEMBRA CHE MANCHI DELLA ROBETTA CHE CI DOVREBBE INVECE ESSERE QUI
DI SEGUITO)
sh crypto isakmp sa
dst             src             state          conn-id slot
STRANISSIMO INVECE:
se aggiungo nella DIALER1 "cdp enable" e poi lo tolgo ecco cosa mi compare:
(Sembra bello... ma mi butta giu' la connessione!!!)
*Mar  1 00:21:42: %LINK-3-UPDOWN: Interface Virtual-Access3, changed state
to down
*Mar  1 00:21:42: %DIALER-6-UNBIND: Interface Vi3 unbound from profile Di1
*Mar  1 00:21:42: IPSEC(adjust_mtu): adjusting media mtu from 1500 to 1500,
  (identity) local= IP-PUBB-ROUTER1, remote= IP-PUBB-ROUTER2,
    local_proxy= 
192.168.2.0/255.255.255.0/0/0
 (type=4),
    remote_proxy= 
192.168.1.0/255.255.255.0/0/0
 (type=4)
*Mar  1 00:21:42: IPSEC(adjust_mtu): adjusting media mtu from 1500 to 1500,
  (identity) local= IP-PUBB-ROUTER1, remote= IP-PUBB-ROUTER2,
    local_proxy= 
192.168.2.0/255.255.255.0/0/0
 (type=4),
    remote_proxy= 
192.168.1.0/255.255.255.0/0/0
 (type=4)
*Mar  1 00:21:42: IPSEC(adjust_mtu): adjusting media mtu from 1500 to 1500,
  (identity) local= IP-PUBB-ROUTER1, remote= IP-PUBB-ROUTER2,
    local_proxy= 
192.168.2.0/255.255.255.0/0/0
 (type=4),
    remote_proxy= 
192.168.1.0/255.255.255.0/0/0
 (type=4)
*Mar  1 00:21:42: IPSEC(sa_find_addr): null IP address specified on SADB
lookup
*Mar  1 00:21:42: ISAKMP: received ke message (3/1)
*Mar  1 00:21:43: %LINEPROTO-5-UPDOWN: Line protocol on Interface
Virtual-Access3, changed state to down
La conf. ora e' cosi':
Current configuration : 2404 bytes

crypto isakmp key 0123456789 address PUB-IP-ROUTER2
!
!
crypto ipsec transform-set rptset esp-des esp-md5-hmac
!
crypto map rpt 1 ipsec-isakmp
 set peer PUB-IP-ROUTER2
 set transform-set rptset
 match address 101
!
!
!
!
interface Ethernet0
 ip address 192.168.2.1 255.255.255.0
 ip nat inside
 no keepalive
 hold-queue 32 in
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 crypto map rpt
 hold-queue 224 in
!
interface Dialer1
 ip address negotiated
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip mroute-cache
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp chap hostname LOGIN
 ppp chap password PW
 crypto map rpt
!
ip nat translation timeout 3600
ip nat translation tcp-timeout 3600
ip nat translation udp-timeout 3600
ip nat translation icmp-timeout 3600
ip nat translation max-entries 1000
ip nat inside source list 100 interface Dialer1 overload
ip nat inside source static udp 192.168.2.254 69 interface Dialer1 69
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
no ip http secure-server
!
!
access-list 100 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 100 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
dialer-list 1 protocol ip permit
!
route-map nonat permit 10
 match ip address 100



Niente da dire, tra l'altro mi sembra giusto aggiungere un mattone alla
volta, soprattutto quando ci sono difficoltà ad incastrare i primi mattoni,
come in questo caso.
Ciao,
        Tosh.


Questo č capitato anche a me e non mi sono mai spiegato il perchč, ma non
credo che possa c'entrare con il tuo problema.
Detto questo non sono rimaste molte altre prove da fare, a dire il vero
rimangono solo quelle della disperazione, dopo di che proverei a sostituire
l'ios:
1 - Verifica il match delle acl
2 - prova a minimizzare ulteriormente le config, della serie togli il nat e
tutto quanto non serve
3 - massima disperazione, io ho sempre usato id multipli di 10 per le
crypto-map, vuoi mai che l'1 non gli piaccia? :-((
4 - disperazione senza rimedio, in teoria la crypto-map andrebbe applicata
solo sulla dialer, prova le varie conbinazioni tra dialer e atm0 :-(((((
Non riesco a farmi venire in mente altro, se non fare una ricerca sul bug
toolkit del cco, che perň non ho tempo di fare in questo momento.
Ciao,
        Tosh.

 come in questo caso.
questo mi ricorda quel che diceva il nonno del mio primo trainer cisco.
un mayhem "meno cose ci sono, meno se ne rompono".


 ha scritto nel messaggio
news:biki2f$a9pdi$1...@ID-167638.news.uni-berlin.de...



Adesso ce lo devi dire, dopo il tempo che ti abbiamo dedicato mi sembra il
minimo .....
A parte il fatto che sciocchezze ne abbiamo fatte tutti e ne continueremo a
fare fino alla pensione ed oltre, ti pare che ci siamo adoperati, piů o meno
bene, per poi prenderti in giro?
Ciao,
        Tosh.


Non so se il nonno del tuo primo trainer Cisco lavorava con i router o con i
mattoni, il mio era contadino e mi ha insegnato le stesse cose.
;-))))))))))))
Ciao,
        Tosh.

 La conf. ora e' cosi':
sembra corretta.
dal router riesci a pingare l'ip dell'altro router?
un mayhem influenzato


 fare fino alla pensione ed oltre, ti pare che ci siamo adoperati, più o


 scollegato dopo poco)
meglio se giochi con i service keepalive, anche perche' se tiene il tunnel
ipsec ma non la connessione 5250 sei spacciata.
un mayhem desideroso da dormire


 mattoni, il mio era contadino e mi ha insegnato le stesse cose.
tuttavia io non avrei molto da insegnare ad uno che mette i mattoni, e
questo mi da molto da pensare.
un mayhem confuso (ma non felice)


 Sicuro?
no?
un mayhem che forse ha capito male qualcosa ....
-- 
 Everyone is gay, with someone's else ass 
