Newsgroup: it.comp.reti.cisco
Titolo: aiuto: VPN access.

Salve a tutti.
Ho configurato un 1721 che gestisce una linea ADSL come VPN server (ipsec).
Ho montato su di un client il Cisco VPN Client (ver. 4.8)
Non ci sono server radius ne certification authority, l'autenticazione è
locale sul router e uso una pre-shared key.
Il router fa un NAT overload, per la navigazione internet.
La connessione funziona, il client mi dice che è avvenuta con successo ed il
"lucchetto giallo" s chiude...
Il client viene configurato con l'indirizzo IP previsto...
Riesco a vedere le SA IPSec da "show crypto ipsec sa"...
... ma NIENTE DI PIU'!
Non riesco a pingare nessuna delle interfacce del router, ne quella esterna
ne quella interna (tantomeno una macchina sulla lan, ovviamente).
Posso immaginare che si tratti di un problema routing... non ci sono rotte
sl router per la subnet che uso per i client VPN, ma come posso aggiungerla
manualmente?
Cosa devo indicare come "gateway" per questa rotta (
192.168.2.0/24
)?
Ho provato ad aggingere una rotta puntando alla interfaccia esterna, ma non
funziona.
Ho configurato la route-map e la crypto-map... ma niente.
Inoltre, ho provato anche ad assegnare ai client VPN degli indirizzi
compatibili con la rete interna (
192.168.1.0/28
) per evitare i problemi di
routing ma... se uso quegli indirizzi la VPN non funziona!
E poi... il router "sommarizza" gli indirizzi alla network... come posso
assegnaer la maschera di subnet ai client VPN?
Posto qui sotto la configurazione del router.
Dove sto sbagliando?
Spero che qualcuno possa darmi una mano a risolvere questo problema.
Grazie a tutti per il vostro prezioso aiuto.
JOSabor
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Dove sto sbagliando?
beh in primis che ... non hai postato la conf del router... :-)
Alex.

Avevo dimenti cato di postasre la configurazione!
Eccola qui sotto...
Grazie a tutti per il vostro aiuto.
JOSabor
====================================================
!
! Last configuration change at 23:48:22 ITA_sol Sun Sep 24 2006 by jo
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname RTR-ADSL
!
boot-start-marker
boot-end-marker
!
enable secret 5 $1$y/JZ$PIfRuKNLw9vWuNN2mBv/Q0
!
username jo privilege 15 secret 5 $1$QHG/$vCeTmLGbdwxLW5U1TxlSZ.
clock timezone ITA(+1) 1
clock summer-time ITA_solare recurring last Sun Mar 2:00 last Sun Oct 2:00
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
aaa new-model
!
!
aaa authentication banner
*******************************************************
* *
* A T T E N Z I O N E *
* *
* XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX. *
* XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX. *
* *
* - Hai al massimo 3 tentativi per autenticarti. - *
*******************************************************
aaa authentication fail-message
* Tentativo fallito, "riprova e controlla"... :-) *
aaa authentication login useraccess local
aaa authorization exec exec-auth local
aaa authorization network net-auth local
aaa session-id common
ip subnet-zero
!
!
ip domain lookup source-interface FastEthernet0
ip domain name 
xxx.yyyyy.it
ip host 
RTR-ADSL.xxx.yyyyy.it
 192.168.1.1
ip host 
josrv.xxx.yyyyy.it
 192.168.1.2
ip host dns ns 
RTR-ADSL.xxx.yyyyy.it
ip name-server 195.130.224.18
ip name-server 195.130.225.129
no ip dhcp conflict logging
ip dhcp excluded-address 192.168.1.1 192.168.1.5
ip dhcp ping packets 1
ip dhcp ping timeout 100
ip dhcp limited-broadcast-address
ip dhcp binding cleanup interval 300
!
ip dhcp pool johome
   network 192.168.1.0 255.255.255.240
   dns-server 192.168.1.1
   netbios-node-type h-node
   default-router 192.168.1.1
   domain-name 
xxx.yyyyy.it
   netbios-name-server 192.168.1.2
!
!
ip cef
ip audit po max-events 100
no ftp-server write-enable
!
!
!
!
!
!
crypto isakmp policy 10
 encr aes 256
 authentication pre-share
 group 2
crypto isakmp keepalive 30 5
!
crypto isakmp client configuration group vpngroup
 key XXXXXXXXXXXXXXX
 dns 192.168.1.1
 domain 
xxx.yyyyy.it
 pool vpnpool
 include-local-lan
!
!
crypto ipsec transform-set vpntrans esp-aes 256 esp-sha-hmac
!
crypto dynamic-map vpn_dyn_map 10
 set transform-set vpntrans
 match address 102
!
!
crypto map vpn_stat_map client authentication list useraccess
crypto map vpn_stat_map isakmp authorization list net-auth
crypto map vpn_stat_map client configuration address respond
crypto map vpn_stat_map 10 ipsec-isakmp dynamic vpn_dyn_map
!
!
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
!
interface FastEthernet0
 ip address 192.168.1.1 255.255.255.240
 ip nat inside
 speed 100
 full-duplex
!
interface Dialer1
 ip address negotiated
 ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp chap hostname 
qwe...@ytrewq.it
 ppp chap password 7 030D581F15002D595A00160B04
 ppp pap sent-username 
qwe...@ytrewq.it
 password 7 08284F5A1A1609020602030A39
 crypto map vpn_stat_map
!
ip local pool vpnpool 192.168.2.1 192.168.2.5
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1 permanent
no ip http server
no ip http secure-server
ip nat inside source static tcp 192.168.1.2 21 interface Dialer1 21
ip nat inside source static tcp 192.168.1.2 20 interface Dialer1 20
ip nat inside source static tcp 192.168.1.2 9999 interface Dialer1 9999
ip nat inside source route-map natmap interface Dialer1 overload
ip nat inside source static tcp 192.168.1.2 4662 interface Dialer1 4662
ip nat inside source static udp 192.168.1.2 4672 interface Dialer1 4672
!
ip dns server
ip dns primary 
xxx.yyyyy.it
 soa 
RTR-ADSL.xxx.yyyyy.it
 
ad...@yyyyyy.it
 21600
300 7776000 86400
ip dns primary 1.168.192.in-addr.arpa soa 
RTR-ADSL.xxx.yyyyy.it
ad...@yyyyyy.it
 21600 300 7776000 84600
!
!
access-list 101 deny ip 192.168.1.0 0.0.0.15 192.168.2.0 0.0.0.255
access-list 101 permit ip 192.168.1.0 0.0.0.15 any
access-list 102 permit ip 192.168.1.0 0.0.0.15 192.168.2.0 0.0.0.255
!
route-map natmap permit 1
 match ip address 101
!
!
control-plane
!
!
line con 0
line aux 0
line vty 0 4
 authorization exec exec-auth
 login authentication useraccess
line vty 5 15
 authorization exec exec-auth
 login authentication useraccess
!
ntp clock-period 17180009
ntp server 193.204.114.105
!
end
================================================================


  match address 102
Prova ad inserire "reverse-route" e a togliere "match address 102" (penso che non sia strettamente necessario)
Ciao Alex.

Due notizie, una buona ed una cattiva.
Comincio con la buona: HAI RAGIONE.
Indubbiamente, è l'unico modo per dare al router la nuova rotta,
"dinamicamente".
Dovevo inserire la rotta per la conessione VPN e la cosa è assolutamente
prevista, indispensabile, con tanto di comando apposito... grazie.
La cattiva:NON FUNZIONA.
Stesso comportamento.
La conessione avviene ma non pinga.. non va da nessuna parte... "sta lì".
Eppure... qui sotto un copia ed incolla di "show ip route" (dopo la tua
modifica):
 
213.205.24.0/32
 is subnetted, 1 subnets
C 213.205.24.20 is directly connected, Dialer1
 
217.133.96.0/32
 is subnetted, 1 subnets
C 217.133.96.126 is directly connected, Dialer1
 
192.168.1.0/28
 is subnetted, 1 subnets
C 192.168.1.0 is directly connected, FastEthernet0
 
192.168.2.0/32
 is subnetted, 1 subnets
S 192.168.2.1 [1/0] via 151.30.77.234
S* 
0.0.0.0/0
 is directly connected, Dialer1
E qui mi sono insospettito parecchio.
Io ho un indirizzo IP statico esterno: 217.133.96.126
Alla mia interfaccia interna ho assegnato: 192.168.1.1
Ai client VPN assgno 
192.168.2.0/24
, nella fattispecie: 192.168.2.1
Prescindo da elementi che mi risultano strani e che probabilmente noterai tu
stesso (cosa è 213.205.24.20, pure sulla mia interfaccia dialer?).
Ne discuterò con Tiscali, il mio provider.
Se non sbaglio, e spero proprio di si, il routing per la conessione VPN,
192.168.2.1... c'è ed è corretto.
Quindi.. come mail il roputer non riesce a pingare il client VPN (e
viceversa)?
Ho pensato ad una limitazione del traffico ICMP... ma con telnet, ftp e http
è lo stesso....
A questo punto il sospetto è forte... vuoi vedere che "l'amico Tiscali"
impedisce le VPN?
A me pare strano, perchè la connessione avviene correttamente.
Riterrei possibile impedire la creazione dinamica del tunnel... ma una volta
che questo è creato, il relativo traffico dovrebbe essere trasparente per il
provider...
Spero che mi possiate dare una mano.
Grazie,
JOSabor


 provider...
Piu' che trasparente, CRIPTATO.
Ci posti un route print del pc connesso in vpn ? (se e' un linux route e
basta).
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFGFveuuxRXtjsR9sRAsIrAKDAOH8eu2FYHpm8urH2gYA3LRf1LgCfUcAE
kFs5DhTblt+KqzJqgcyLUKA=
=/C4M
-----END PGP SIGNATURE-----

 Piu' che trasparente, CRIPTATO.
Si... quindi non si puň leggere il contenuto del pacchetto.
Quello che non č "criptato" perň, č il fatto stesso che il pacchetto sia
criptato, credo.
Credo sia quindi possibile discriminare il traffico in base alla codifica.
Una ACL potrebbe droppare tutti i pacchetti criptati e lascaire passare
quelli non criptati.
Anche se non sarebbe semplice... credo, visto che HTTPS e SSH devono
"girare" tranquillamente.
Vabbe, ma sto "fantasticando"...
Segue il "route print".
Il PC e solo connesso a "Libero" con il modem, non ha altre connessioni
attive.
L'indirizzo IP Internet del PC č:151.6.136.251
L'indirizzo IP del client VPN č: 192.168.2.2
L'indirizzo IP Internet del router č: 217.133.96.126
GRAZIE infinite per il vostro aiuto.
JOSabor
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
C:\Documents and Settings\Administrator\desktop>route print
===========================================================================
Interface List
0x1 ........................... MS TCP Loopback interface
0x10003 ...00 c0 9f 49 42 64 ...... Realtek RTL8139/810x Family Fast
Ethernet NIC
0x20004 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
0x20005 ...00 05 9a 3c 78 00 ...... Cisco Systems VPN Adapter
===========================================================================
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
          0.0.0.0 0.0.0.0 151.30.80.48 151.30.80.48 1
          0.0.0.0 0.0.0.0 192.168.2.2 192.168.2.2 1
        127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
    151.6.136.251 255.255.255.255 151.30.80.48 151.30.80.48 1
    151.6.136.251 255.255.255.255 192.168.2.2 192.168.2.2 50
     151.30.80.48 255.255.255.255 127.0.0.1 127.0.0.1 50
   151.30.255.255 255.255.255.255 151.30.80.48 151.30.80.48 50
      192.168.2.0 255.255.255.0 192.168.2.2 192.168.2.2 50
      192.168.2.2 255.255.255.255 127.0.0.1 127.0.0.1 50
    192.168.2.255 255.255.255.255 192.168.2.2 192.168.2.2 50
   217.133.96.126 255.255.255.255 151.30.80.48 151.30.80.48 1
        224.0.0.0 240.0.0.0 192.168.2.2 192.168.2.2 50
        224.0.0.0 240.0.0.0 151.30.80.48 151.30.80.48 1
  255.255.255.255 255.255.255.255 151.30.80.48 151.30.80.48 1
  255.255.255.255 255.255.255.255 192.168.2.2 10003 1
  255.255.255.255 255.255.255.255 192.168.2.2 192.168.2.2 1
Default Gateway: 192.168.2.2
===========================================================================
Persistent Routes:
  None
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++


 quelli non criptati.
Si ma il problema e' che il traffico ipsec se lo blocchi non riesci a
creare proprio il tunnel quindi c'e' poco da dire a proposito.
Mah da quanto leggo non ci sono problemi, la tabella di routing del pc
e' corretta per usare la connessione in vpn...
Non mi hai risposto sulla questione del firewall sul client...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFGY10uuxRXtjsR9sRAjchAJ0YGTbuaGh1KhkTxBUvpL+SU0O/1wCgr46Y
6py2/QHtBcpaY75qVzmzVuA=
=4i8B
-----END PGP SIGNATURE-----


--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 JOSabor
A questo punto dovresti andare di debug sulla parte vpn,
e vedere se nei messaggi risulta qualcosa di anomalo
durante una connessione vpn e con dei ping od altro...
Riprendo dal sito Cisco:
# debug crypto isakmp —Displays errors during Phase 1.
# debug crypto ipsec —Displays errors during Phase 2.
# debug crypto engine —Displays information from the crypto engine.
# debug ip your routing protocol —Displays information about routing
transactions of your routing protocol.
# clear crypto connection connection -id [slot | rsm | vip]— Terminates
an encrypted session currently in progress. Encrypted sessions normally
terminate when the session times out. Use the show crypto cisco
connections command to see the connection-id value.
# clear crypto isakmp —Clears the Phase 1 security associations.
# clear crypto sa —Clears the Phase 2 security associations.
Metti il buffer del log un po' alto con il comando "logging buffered".
Se trovi qualcosa di anomalo nei log, probabilmente e' la causa del
problema.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFGaBAuuxRXtjsR9sRAkkWAKC6K9//iPjisYzAL8xc+KkMUcwT0gCgxhv7
EZyzwAQZj7nqFzuIOcQXP7Q=
=VP5r
-----END PGP SIGNATURE-----


--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

Adesso la VPN pare che funzioni.
Grazie infinite!
JOSabor
