Newsgroup: it.comp.reti.cisco
Titolo: ip tunneling !

Salve,
avrei questa esigenza: ho configurato un firewall proxy su
Linux(squid+iptables) a cui è connessa una linea adsl per poter accedere ad
internet con netmeeting....se configuro i client della lan con default
gateway il proxy-firewall funziona tutto...ma io avrei poi l'esigenza di
connettermi al proxy tramite "dei salti di router"...dove gira ospf rip
ecc....quindi il problema è che se da remoto accedo al proxy, non posso
sfruttare le peculiarità del protocollo h323 proprio perchè non mi connetto
direttamente a lui...pensavo che forse la soluzione poteva essere un
tunneling tra il cisco remoto e il firewall-proxy...secondo voi è
fattibile?...dove trovo doc al riguardo?...c'è magari qualcuno che già ha
provato ?
Grazie in anticipo per eventuali tips!
Alessandro

 provato ?
beh, hai diverse possibilità, dipende da che tunnel vuoi fare e dall'ios
che monta il cisco....
la strada più semplice e realizzare un tunnel GRE, cisco lo supporta
su tutte le versioni, e si fa con pochi comandi....
linux pure, l'unico svantaggio è che il tunnel passa i dati in chiaro
e non li cripta, se ti interessa anche la security puoi tirare su un
tunnel IPSEC...
se opti per GRE ecco la conf:
lato cisco:
pippo(conf)# interface tunnel1
pippo(conf-if)#tunnel source (indirizzo pubblico locale del router)
pippo(conf-if)#tunnel destination (indirizzo pubblico del firewall linux)
pippo(conf-if)#tunnel mode gre (oppure puoi provare con ipip)
pippo(conf-if)#ip address 192.168.0.1 netmask 255.255.255.0
lato linux
[root@pippo]$ insmod ipip
[root@pippo]$ ip tunnel add tunl1 mode gre (oppure ipip) local (ind.
pubblico firewall) remote (ind. router)
[root@pippo]$ ifconfig tunl1 192.168.0.2 pointopoint 192.168.0.1
ecco fatto...
ora dovresti avere un tunnel tra il cisco e il fw con due interfaccie
virtuali (gli estremi del tunnel) sugli ip 192.168.0.1 e 192.168.0.2, ora
basta sistemare le regole di firewall per far passare il traffico e
utilizzare un po' di routing per instradare correttamente i pacchetti verso
le reti remote.
se hai altre domande chiedi pure
Ciauz
p.s. quando fai le prove, togli qualsiasi regola di firewall prima di
incasinarti inutilmente ;-)


Ciao, intanto grazie per la risposta....in effetti ho già provato e
funge....
Però ho forse trovato una soluzione migliore!..per due motivi!
1) Connettendomi con salti di router, il mio tunneling si perde..per il
fatto che esso viene applicato solo all'ultimo router..facendo prove e
abilitando il tunneling se mi connetto direttamente al cisco come gateway
funge(he he he)...ma provando a fare dei salti ovviamente non và, per il
motivo di cui sopra
2) Ho attivato il NAT su Linux e patchato il tutto per il protocollo
h323....così facendo il tunneling si perde per colpa del NAT
Soluzione: Ho attivato una VPN sul proxy-firewall, in questo modo la vpn mi
"imbusta" il tutto dalla sorgente e lo "sbusta" al proxy, fregandosene di
NAT e robe varie....ora, creando la VPN su Linux tutto ok, ma avrei qualche
problema a crearla sul cisco (e si che sono pure certificato!)....vorrei
usare quest'ultimo in quanto sicuramente offre prestazioni migliori....ma
non ricordo una mazza riguardo VPN...mi basterebbe qualche link sul sito
oceanico della CISCO
Grazie ancora per l'interessamento!
Ale
P.S.: Se ti piace Linux e il routing, non puoi non provare
Zebra....riamarrai stupefatto...sembra di essere nel IOS del CISCO!

 Zebra....riamarrai stupefatto...sembra di essere nel IOS del CISCO!
lo conosco ma mai utilizzato, mai avuto tempo per fare prove...


Ho fatto una ricerca in rete ed ho trovato POPTOP...un specie di VPN-Server
che gira sotto Linux e che permette a client winzoz di connettersi
direttamente alla VPN!...mi sembra forse la soluzione migliore in quanto
dalla doc che ho trovato finora, si parla di cpn COMUNQUE tra Gateway, e
questo mi comporterebbe la configurazione di xgateway in giro per
l'Italia...invece così avrei un server dove si potrebbero collegare
direttamente i client! Che ne pensi? Sai se è possibile creare un VPN server
simile  sotto CISCO...a anche sotto Linux con metodi...diciamo Normali?
Ciao
Alessandro

 simile  sotto CISCO...a anche sotto Linux con metodi...diciamo Normali?
Beh, si, sotto linux puoi creare un VPN server, utilizzando più protocolli,
pptp per gli utenti mobili che si connettono dall'esterno alla lan, e per le
sedi staccate IPIP, GRE o IPSEC, puoi anche far girare tutto in un unica
macchina. Forse non capisco cosa intendi per metodi "normali"...
Sotto cisco puoi fare altrettato, spendendo esponenzialmente di più,
ottenendo gli stessi risultati... con cisco dovresti usare un VPN
concentrator...