Newsgroup: it.comp.reti.cisco
Titolo: client vpn e vpn site-to-site

Ho una rete così strutturata :
sede centrale PIX 520
VPN site-to-site tra sede centrale e tre sedi periferiche
Remote Access VPN tra sede centrale e diversi utenti con VPN client
collegamento tra sede centrale e sedi periferiche frame relay punto
punto private
collegamento a internet solo presso la sede centrale ( le periferie
accedono a internet passando per la VPN con la sede centrale )
Il problema è questo :
Vorrei che i client VPN dal tunnel VPN con la sede centrale possano
accedere anche alle reti periferiche.
Un tunnel tra i client VPN ( internet ) e le sedi non è possibile perché
presso le sedi non c'è una connessione a Internet.
Quale soluzione ??
Ciao
Faxander


Un server proxy nella sede centrale, le sedi periferiche non potranno mai 
navigare direttamente in quanto il pix non consente ai pacchetti di uscire 
dalla stessa interfaccia dalla quale sono entrati, quando si parla di 2 vpn 
l'interfaccia comune è ovviamente l'outside.
Un'altra possibile soluzione potrebbe essere quella di utilizzare 2 pix, uno 
per le vpn ed uno per internet, sempre che tu abbia un ip pubblico d'avanzo.
Questa seconda soluzione non l'ho mai provata ma non vedo problemi.
Ciao,
        Tosh. 

Tosh ha scritto:

Forse non mi sono spiegato bene.
Il PIX 520 nella sede centrale ha 6 int, di cui una verso internet 
(outside) un'altra verso le punto-punto delle sedi remote (che chiamerò 
periferia) e le altre 4 "interne".
Le VPN site-to-site sono tra la int periferia del pix nella sede 
centrale e le outside dei pix nelle sedi remote.
I pacchetti entrano nella int periferia ed escono sulla int outside e 
così le sedi periferiche vanno in internet.
Invece le VPN di accesso remoto verso i client esterni ( in internet ) 
sono tra la int outside ( con ip pubblico ) e appunto i client che sono 
collegati ad internet.
Per semplicità chiamiamo tunnel1 quello delle VPN di accesso remoto e 
tunnel2 quelli tra la sede centrale e le periferie.
I pacchetti dovrebbero passare dal tunnel1 fino alla sede centrale e poi 
per il tunnel2 fino alle sedi periferiche in modo che i client VPN ( in 
internet ) possano comunicare con le lan che sono nelle sedi periferiche.
Ciao
Faxander

 periferia) e le altre 4 "interne".
Un po' piů di luce ce l'abbiamo, non mi č ancora chiara la natura di queste 
vpn site-to-site.
Se sono delle vere vpn debbono essere costruite su degli accessi ad 
internet, quindi dovresti avere un secondo accesso ad internet collegato 
all'interfaccia "periferia" ed un accesso ad internet per ogni sede 
periferica, in questo caso gli utenti "nomadi" si potrebbero collegare 
direttamente alle filiali, ma dici che non si puň fare.
D'altro canto nomini dei collegamenti dedicati frame relay, che non hanno 
nulla a che vedere con vpn, ipsec e affini, sono questi i collegamenti con 
le sedi periferiche?
C'č quindi un router fornito dal carrier che avete collegato direttamente 
all'interfaccia "periferia" del pix?
In ogni caso č meglio che posti la config del pix cosě possiamo darti delle 
indicazioni piů precise.
Ciao,
        Tosh.

 indicazioni più precise.
Se si può farne a meno preferisco. Semplicemente perché è molto lunga e 
andarla a controllare per sostituire tutti gli indirizzi pubblici è una 
cosa che richiede molto tempo. Comunque se ritieni le info insufficienti 
troverò il tempo per farlo, basta che me lo dici.
Grazie e ciao
Faxander

 all'interfaccia "periferia" del pix?
Esattamente



Vediamo se ne possiamo fare a meno.
Non ricordo di essermi mai trovato in una situazione del genere, ma in 
teoria ti dovrebbe bastare lavorare sulle acl che regolano le vpn, in 
particolare le crypto-acl, le acl per lo split tunneling delle vpn remote e 
quell per "l'esenzione" del nat.
Questo sul pix centrale e sugli apparati che terminano le vpn lato sedi 
remote.
Ciao,
        Tosh. 

Tosh ha scritto:

OK chiaro faccio in settimana una prova e ti faccio sapere.
Ciao e grazie.
Faxander


Esatto, sapere se i tuoi consigli sono serviti mi sembra il minimo.
Eventualmente posta solo la parte di config con le acl che le guardiamo 
insieme.
Ciao,
        Tosh.