Newsgroup: it.comp.reti.cisco
Titolo: routing dinamico e VPN

Un saluto a tutti,
avete qualche consiglio riguardo all'utilizzo di protocollo di routing 
(OSPF, EGIRP ecc.) attarverso una VPN. Considerando un caso che mi è 
capitato vedo che non è molto facile (non supportando i pix praticamente 
nessun protocollo di routing). La situazione di fronte alla quale mi 
sono trovato è la seguente:
VPN tra LAN A e LAN B tramite HDSL, le due stesse LAN sono connesse 
anche direttamente tramite CDN, questa la struttura nel dettaglio:
     A1(router della LAN A) -------------------------------------------
             |                                                         |
             | LAN A                                                   |
             |                                                         |
          A2(pix)                                                      |
            ||                                                         |
            || (tunnel DES con B2)                                     |
            ||                                                         |
A3(router connesso a internet)                                        |
            ||                                                         |
            || (tunnel GRE con B3) [ INTERNET ]              CDN tra   |
            ||                                              LAN A e B  |
B3(router connesso a internet)                                        |
            ||                                                         |
            || (tunnel DES con A2)                                     |
            ||                                                         |
          B2(pix)                                                      |
             |                                                         |
             | LAN B                                                   |
             |                                                         |
   B1(router della LAN B) ---------------------------------------------
Ora se volessi usare come connessione principale la CDN ed usare la VPN 
solo per backup non ci sarebbero problemi: basterebbe inserire sui due 
router A1 e B1 (direttamente connessi) una route statica con peso 
amministrativo superiore: se ci fosse un guasto sulla CDN le route 
relative sarebbero invalidate e verrebbe inserita quella per la VPN.
Il problema sorge se voglio utilizzare la VPN come connessione 
principale e la CDN come connessione di backup dato che in questo caso 
non c'è una connessione diretta.
L'unica cosa che mi viene in mente è aggiungere due router (A4 e B4) 
allo schema e usare questi due per l'instradamento verso la VPN e A1 e 
B1 per la CDN. Bisgnerebbe configurare sui router A4 e B4 un protocollo 
come EIGRP che permette di specificare esplicitamente i "neighbours" e 
configurare routing statico tramite la VPN per raggiungere il rispettivo 
negihbour (oppure un tunnel GRE tra i due router).
Il tutto mi sembra un po' complicato (e sono anche incerto sulla 
effettiva realizzabilità). Qualcuno ha qualche commento o consiglio?
Grazie a tutti quelli che avranno avuto la pazienza di leggermi fin qua :-)

col pix puoi usare ospf!


-- 
Using Opera's revolutionary e-mail client: 
http://www.opera.com/m2/

 col pix puoi usare ospf!
non con la versione di pix ios 6.1 che ho io... credo che la feature si 
a stata aggiunta nella 6.3...
Ciao e grazie comunque!


Si ma direi che serve solo per imparare le route da assegnare alle varie 
interfacce e non viene utilizzato per propagare route "tra" interfacce.
E' la solita storia, il pix non è un router, ospf o no.
Ciao,
        Tosh. 


Se ho letto bene il tuo schema e se i router A1/B1 sono i default gateway 
delle rispettive reti ti basta attivare un tunnel gre tra quei due router e 
attivare eigrp o ospf dandogli come "network" le due lan e le due 
punto-punto, quella del tunnel e della cdn.
A questo punto puoi configurare ipsec in transport mode e la selezione del 
link primario la fai tramite il comando bandwidth sulle interfacce.
Ciao,
        Tosh 

Tosh wrote:

si, era pù o meno quello che mi riproponevo di fare.
C'è un piccolo problema (forse): il mio schema non è fatto bene perché in
realtà i due router A1 e B1 e i due rispettivi pix sono sulla stessa LAN:
dovrei fare un tunnel utilizzando come indirizzo source e destination i due
indirizzi di LAN dei router A1 e B1, questo può creare problemi secondo te? 
Non capisco bene dove dici di configurare ipsec in "transport mode"
Grazie mille

C'è un piccolo problema (forse): il mio schema non è fatto bene perché in
realtà i due router A1 e B1 e i due rispettivi pix sono sulla stessa LAN:
dovrei fare un tunnel utilizzando come indirizzo source e destination i due
indirizzi di LAN dei router A1 e B1, questo può creare problemi secondo te?
L'unico possibile problema che vedo è che il traffico sulle interfacce lan 
dei due router raddoppierà, cosa che ti può pesare solo se hai molta banda 
internet e router con interfacce a 10m.
Non capisco bene dove dici di configurare ipsec in "transport mode"
Sul pix, siccome con il gre passeranno in ipsec solo pacchetti provenienti 
da/per i due router, non hai bisogno del tunnel mode, evitandolo riduci la 
dimensione dei pacchetti ipsec e quindi aumenti l'efficienza.
Per attivarlo devi aggiungere "mode transport" alla fine del comando di 
definizione del trasnform set, così:
crypto ipsec transform-set tuoset mode transport
Infine definisci una crypto acl dove permetti solo il traffico da a1 a b1, e 
viceversa sull'altro pix.
Ciao,
        Tosh.