Newsgroup: it.comp.reti.cisco
Titolo: Prestazioni VPN

Ciao a tutti, è la prima volta che posto e vorrrei un'informazione.
Per un mio cliente ho messo su una VPN (come da progetto altrui) con un
router Cisco 2650XM al centro in ADSL (ip statici) ed un po' di 801 ISDN
(questi con ip dinamico) alle periferie.
Ho creato dei tunnel ipsec criptati, che funzionano, in quanto riesco, ad
esempio, a vedere il disco condiviso di una macchina da una rete all'altra.
Il problema sono le prestazioni ignobili della VPN, una pagina web condivisa
dalla sede centrale, se messa in pubblico con un indirizzo 81.X.X.X (cioè
con NAT statico) si carica in un paio di secondi, se invece accedo tramite
tunnel sono così lento da andare in time-out (oltre i 3 minuti).
Volevo sapere se qualcuno di voi ha mai avuto esperienze simili e quindi ha
idea se ho sbagliato qualcosa io, oppure gli 801 sono semplicemente troppo
lenti per sostenere davvero un tunnel ipsec oltre alla navigazione "libera".
Essendo a casa riesco ad accedere solo alla configurazione del router
centrale, che vi allego, la domanda comunque è generica, vorrei solo sapere
se il problema possono essere i router (8 Mega di RAM, 8 di Flash) oppure
devo cercare altrove.
Dimenticavo, le prove sono disastrose abilitando una sola sede remota di
prova, non oso immaginare se ce ne dovesse essere più di una...
Ringrazio in anticipo chi sarà così gentile da rispondermi.
ciao
    Roberto
Using 2294 out of 29688 bytes
!
version 12.2
service config
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
no service dhcp
!
hostname ciro
!
enable password PASSZ
!
ip subnet-zero
!
!
!
ip audit notify log
ip audit po max-events 100
!
crypto isakmp policy 1
 hash md5
 authentication pre-share
crypto isakmp key PASSZ address 0.0.0.0 0.0.0.0
!
!
crypto ipsec transform-set rtpset esp-des esp-md5-hmac
!
crypto dynamic-map rtpmap 10
 set transform-set rtpset
 match address 115
!
!
crypto map rtptrans 10 ipsec-isakmp dynamic rtpmap
!
!
!
voice call carrier capacity active
!
!
!
!
!
!
!
!
!
mta receive maximum-recipients 0
!
!
!
!
interface ATM0/0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 bundle-enable
 dsl operating-mode auto
 no fair-queue
 hold-queue 224 in
!
interface ATM0/0.1 point-to-point
 ip address 81.Y.Y.182 255.255.255.0 secondary
 ip address 81.X.X.132 255.255.255.248
 ip access-group 102 out
 ip nat outside
 pvc 8/35
  protocol ip 81.Y.Y.181 broadcast
  encapsulation aal5snap
!
 crypto map rtptrans
!
interface FastEthernet0/0
 ip address 192.168.12.254 255.255.255.0
 ip access-group 101 out
 ip nat inside
 duplex auto
 speed auto
!
router rip
 version 2
 passive-interface ATM0/0.1
 network 192.168.12.0
 no auto-summary
!
ip nat pool cisconat 81.X.X.129 81.X.X.131 netmask 255.255.255.248
ip nat inside source route-map nonat pool cisconat overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0/0.1
no ip http server
!
!
access-list 1 permit 192.168.12.0 0.0.0.255
access-list 101 permit ip any any
access-list 102 permit ip any any
access-list 115 permit ip 192.168.12.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 115 deny   ip 192.168.12.0 0.0.0.255 any
access-list 120 deny   ip 192.168.12.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 120 permit ip 192.168.12.0 0.0.0.255 any
!
route-map nonat permit 10
 match ip address 120
!
call rsvp-sync
!
!
mgcp profile default
!
dial-peer cor custom
!
!
!
!
!
line con 0
 exec-timeout 0 0
 password PASSZ
 login
line aux 0
line vty 0 4
 password PASSZ
 login
!
!
end

 password PASSZ
Prima di tutto spero che PASSZ non siano le tue password (non ho visto
service password encryption e non hai enable secret). Se lo sono
cambiale immediatamente (specialmente crypto isakmp key, visto che
autorizzi tutti gli IP)
Poi io ho un 803 con 12/8 che si connette ad un PIX 515 e non supera
mai il 30% di CPU anche con un file transfer a 64 kbps e io uso 3des,
tu usi il des per cui gli 800 non sono un problema. Verifica comunque
l'uso di memoria e di CPU da entrambi i lati. Sappi comunque che il
processore del 2650 non ce la fara' a supportore una DSL che fa
traffico in IPSEC senza il VPN module .....
Considerato quanto costa il VPN module ed il PIX 501 forse ti conviene
comprare un PIX (501 o 505) e terminare la VPN sul firewall e ottieni
anche un discreto miglioramento della sicurezza al tuo hub centrale.
Ciao
Fabio 

Ti ringrazio per la preoccupazione, ma ovviamente prima di spedire la
configurazione ho cambiato le password e gli indirizzi IP.
Ho trovato un bel po' di posti dove rilevare le prestazioni, mi sapresti
dire quale comando secondo te è "affidabile"
per questa misurazione?
Se non è l'800 il problema, però, non capisco proprio dove andare a sbattere
la testa, anche se in effetti me lo aspettavo, visto che Cisco mette in giro
esempi in cui ci sono molti 801 che fanno quel lavoro...
Non hai idea di dove potrei andare a guardare per capire cos'è che non va?
Cosa metteresti sotto debug, l'ATM, l'ipsec?
Ti ringrazio
    Roberto
"Fabio Sardone" <fabiosardone@tin[dot]it.invalid> ha scritto nel messaggio
news:9aimvu0o1ut42ki54...@4ax.com...



No solo l'usao della CPU come sopra. Tieni presente che ipsec a DSL
speed non e' supportato senza VPN module.
Ciao
Fabio