Newsgroup: it.comp.reti.cisco
Titolo: Tunnel Cisco & Telnet

Salve, 
ho un tunnel IpSec (DES) fra due router cisco 1721 con IOS 12.3.10a.
Nelle due reti private ci sono due server Linux, uno per ciascuna
sede.
Il ping fra le due reti funziona bene, da un server Linux faccio
telnet
sull'altro, riesco a dare qualche comando e poi la sessione si pianta.
Posso comunque fare ancora ping o aprire altre sessioni ma quella già
aperta mi rimane piantata. Lo stesso problema capita per le sessioni
SMTP o quelle POP3.
Ho pensato a qualche errore sulle configurazioni ma le ho rifatte
usando degli accorgimenti diversi ma non è cambiato nulla.
Ho pensato all'MTU ma anche modificando questo valore sulle ethernet
di Linux non è cambiato nulla.
Prima di postare la conf vi viene a mente nulla che io possa guardare?
grazie
Carlo


Innanzi tutto non vedo nulla di male a postare la config.
Prova a fare dei ping con il bit DF non settato e con varie dimensioni dei 
pacchetti fino a 1500 byte e vedi cosa succede.
Ciao,
         Tosh. 

...

Come suggerito da Tosh ho fatto le prove dalle due macchine Linux.
LinuxA: 
ping -M dont -s 18025 LinuxB -c 1
Risposta OK 18025 (18053) 1 pacchetto inviato/ricevuto
ping -M dont -s 18026 LinuxB -c 1
Risposta BAD 18026 (18054) 1 pacchetto inviato/ 0 pacchetti ricevuti.
Poi faccio telnet dalla macchina LinuxA alla LinuxB, faccio "ls -lsa"
su una directory con pochi file e funziona perfettamente mentre se
faccio
"ls -lsa /etc | more" sulla quale ci sono 2508 oggetti, il comando si
pianta e perdo il controllo della sessione. Non riesco nemmeno a fare
Ctrl-C oppure
Ctrl-Z
Però posso tranquillamente aprire un'altra finestra telnet e dare
qualche altro comando prima che si pianti del tutto. Nota bene che gli
stessi comandi dati sul server LinuxB con una sessione proveniente
dall'esterno (quindi non dal tunnel) funziona perfettamente.
Per vedere se ci fossero problemi sulla configurazione del router
inserisco anche quella (così non mi cazziate!)
-----------------------------------------------------------
!
version 12.3
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug uptime
service timestamps log datetime localtime
service password-encryption
!
hostname CiscoA
!
boot-start-marker
boot-end-marker
!
enable password xxxxxx
!
clock timezone GMT+1 1
clock summer-time GMT recurring last Sun Mar 2:00 last Sun Oct 3:00
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
aaa new-model
!
aaa authentication login default local
aaa authentication login NO_AUTHEN none
aaa authentication ppp default local
aaa session-id common
ip subnet-zero
no ip source-route
!
!
ip telnet source-interface FastEthernet0
!
no ip cef
ip inspect max-incomplete low 50
ip inspect max-incomplete high 100
ip inspect dns-timeout 3
ip inspect tcp finwait-time 30
ip inspect name security ftp alert on
ip inspect name security http alert on
ip inspect name security udp alert on
ip inspect name security tcp alert on
ip inspect name security rtsp alert on
ip inspect name security sqlnet alert on
ip inspect name security sip alert on
ip inspect name security skinny alert on
ip audit po max-events 100
no ftp-server write-enable
!
crypto isakmp policy 1
 hash md5
 authentication pre-share
 lifetime 43200
crypto isakmp key xxxxxxxxxxx address CiscoB
!
crypto ipsec security-association lifetime seconds 43200
!
crypto ipsec transform-set mappats esp-des esp-md5-hmac
!
crypto map mappa-cm 16 ipsec-isakmp
 set peer CiscoB
 set transform-set mappats
 match address 116
!
interface FastEthernet0
 description "Rete Locale A"
 ip address IP_Rete_Locale_A 255.255.255.0
 ip access-group 103 out
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 ip inspect security in
 no ip mroute-cache
 speed auto
 full-duplex
 no cdp enable
!
interface Serial0
 no ip address
 encapsulation frame-relay
 no ip mroute-cache
 no fair-queue
!
interface Serial0.1 point-to-point
 description "Interfaccia con Telecom"
 ip address A_Punto_Punto 255.255.255.252 secondary
 ip address A_Public_IP 255.255.255.240
 ip access-group 104 in
 ip nat outside
 no ip mroute-cache
 no arp frame-relay
 no cdp enable
 frame-relay interface-dlci 160 IETF
 crypto map mappa-cm
!
ip nat inside source route-map nonat interface Serial0.1 overload
ip nat inside source static tcp IP_Locale_Linux_A 23 A1_public_IP 23
extendable
ip nat inside source static tcp IP_Locale_Linux_A 22 A1_public_IP 22
extendable
ip nat inside source static tcp IP_Locale_Linux_A 80 A1_public_IP 80
extendable
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0.1
ip route 0.0.0.0 0.0.0.0 Null0 255
no ip http server
no ip http secure-server
!
!
logging LinuxA
access-list 1 permit ....
access-list 1 permit ....
access-list 1 permit ....
access-list 1 permit ....
access-list 103 permit tcp host 192.168.21.16 any eq www
access-list 103 deny   tcp 192.168.21.0 0.0.0.255 any eq www log
access-list 103 permit ip any any
access-list 104 permit tcp any any established
...... tutto ciò che voglio consentire dall'esterno
access-list 104 deny   ip any any log
access-list 105 deny   ip Rete_Locale_A 0.0.0.255 Rete_Locale_B
0.0.0.255
access-list 105 permit ip Rete_Locale_A 0.0.0.255 any
access-list 116 permit ip Rete_Locale_A 0.0.0.255 Rete_Locale_B
0.0.0.255
access-list 116 deny   ip Rete_Locale_A 0.0.0.255 any
no cdp run
!
route-map nonat permit 20
 match ip address 105
!
snmp-server ....
snmp-server ....
snmp-server ....
snmp-server ....
snmp-server ....
!
line con 0
 exec-timeout 30 0
 logging synchronous
line aux 0
line vty 0 4
 access-class 1 in
 exec-timeout 30 0
 password xxxxxxxx
 transport input telnet
!
ntp clock-period 17208917
ntp server 193.204.114.232
end

 ip nat inside source static tcp IP_Locale_Linux_A 23 A1_public_IP 23
Esiste un problema consciuto in ios quando devi far convivere vpn e static 
nat, se provi ad eliminare le static relative ai due linux sui due router 
vedrai che poi funziona.
Ovviamente c'è una soluzione per averli entrambi, la trovi qui:
http://www.cisco.com/en/US/tech/tk583/tk372/technologies_configuration_example09186a0080094634.shtml
Vedi che la config serviva a qualcosa?
Ciao,
        Tosh.