Newsgroup: it.comp.reti.cisco
Titolo: Urgente! VPN con PIx 501

salve, ho un grosso problema che cercherò di descrivere di seguito.
Il mio obbiettivo e permettere l'accesso a un PC collegato ad internet
tramite un modem di vedere i PC della rete Aziendale.
Per fare ciò ho utilizzato sul client il SW VPN client della Cisco e
sulla rete utilizzo(come VPN server) un PIX 501 che fa anche da
firewall.
La connessione avviene correttamente solo che dal client non riesco a
pingare nessun PC della rete a parte l'interfaccia outside del PIX.
Mentre se dall'interno pingo il Client il tutto funziona. Tra l'altro
dopo il primo ping dall'interno verso l'esterno, comincia a funzionare
anche quello dall'esterno verso l'interno.
Potete aiutarmi???????

ci posti la configurazione per poter dargli un'occhiata?
bye
teko

Grazie per l'immediato interessamento, la configurazione è la
seguente:
PIX Version 6.3(4)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password dXKJIo/RtckiT4G9 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
domain-name crio
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 10.2.6.24 db_server
name 10.2.6.23 application_server
name 10.2.0.0 vpn
name 10.2.6.158 prova
access-list inside_outbound_nat0_acl permit ip host application_server
vpn 255.255.255.192
access-list inside_outbound_nat0_acl permit ip host db_server vpn
255.255.255.192
access-list inside_outbound_nat0_acl permit ip host prova vpn
255.255.255.0
access-list outside_cryptomap_dyn_20 permit ip any vpn 255.255.255.192
access-list outside_access_in permit ip vpn 255.255.255.0 any
pager lines 24
mtu outside 1300
mtu inside 1300
ip address outside 10.2.1.253 255.255.255.0
ip address inside 10.2.6.253 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool criovpnip vpn-10.2.0.50
pdm location application_server 255.255.255.255 inside
pdm location db_server 255.255.255.255 inside
pdm location vpn 255.255.255.0 outside
pdm location vpn 255.255.255.192 outside
pdm location prova 255.255.255.255 inside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_outbound_nat0_acl
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) application_server application_server netmask
255.255.255.255 0 0
static (inside,outside) db_server db_server netmask 255.255.255.255 0 0
static (inside,outside) prova prova netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 10.2.1.250 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http 10.2.6.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac
crypto dynamic-map outside_dyn_map 20 match address
outside_cryptomap_dyn_20
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-DES-MD5
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
isakmp enable outside
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption des
isakmp policy 20 hash md5
isakmp policy 20 group 2
isakmp policy 20 lifetime 86400
vpngroup criovpn address-pool criovpnip
vpngroup criovpn default-domain crio
vpngroup criovpn idle-time 1800
vpngroup criovpn password ********
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 10.2.6.254-10.2.6.254 inside
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
terminal width 80
Cryptochecksum:6e3625a31da37cb0cafedd1ded3bcb4c
: end

prova ad aggiungere le seguenti linee:
ip local pool criovpnip vpn-10.2.0.50 mask 255.255.255.0
isakmp nat-traversal 20
access-list tunnel-acl permit ip 10.2.6.0 255.255.255.0 10.2.0.0
255.255.255.0
vpngroup criovpn split-tunnel tunnel-acl
fammi sapere

Funziona!!!!!!!!!!!!!!!!!!!!!
Grazie mille, spero un giorno di ricambiare.
Un'ultima cosa, dato che sono alle prime armi, potresti spiegarmi cosa
fanno le righe che mi hai fatto inserire.
Ciao.

la seconda mi ha risolto una marea di problemi e sinceramente la prendo
cosi' come e' ma dovrebbe far bypassare il nat ai client vpn, mentre le
altre ti creano una acl che passata al client vpn fa' si che tu possa
continuare a navigare pur avendo il tunnel su.
per il fatto che sei alle prime armi hai gia' fatto abbastanza.
bye
teko

 dhcpd auto_config outside
questa non dovrebbe service ad usere il DHCP con PPPoE? ma in questo
caso outside ha un indirizzo statico...
Spero che qualcuno saprà chiarire i miei dubbi
Grazie

Ciao teko,
mi sono accorto che il tutto funziona solo che si può connettere un
solo client VPN alla volta. 
Suggerimenti?

come ti hanno fatto notare, la tua configurazione e' un po' strana.
probabilmente l'ha partorita il web configurator.
quando fai la connessione non ti chiede l'utente? probabilmente no.
aggiungi la riga:
username xxxxxxxxx password yyyyyyy
per ogni utente che hai.
descrivici la tua rete e la funzione che ha il firewall visto che come
l'hai messa non ha l'outside su internet.
bye
teko

In effetti come hai notato la configurazione l'ho fatta tramite il web
configurator.
La password la chiede. Penso che si capisca dal comando:vpngroup
criovpn password ********.
Cercherò di spiegare come è strutturata la mia rete:
Il VPN client è un PC collegato ad internet tramite modem analogico ed
utilizza il software VPN Client della Cisco(versione 4.6).
In azienda ho un collegamento ADSL con IP statici. Come router utilizzo
un Zyxel 652, di cui non utilizzo la funzionalità di firewall. Tramite
lo Zyxel ho "Nattato" un indirizzo pubblico con quello privato del
PIX(interfaccia outside).
Chiaramente allo Zyxel è collegato direttamente il PIX
sull'interfaccia outside. Mentre l'interfaccia Inside è collegata alla
rete. Chiaramente l'interfaccia Inside è il Gateway dei PC della rete.
Spero di essere stato esaustivo.
Fammi sapere. Ciao.

diciamo che normalmente faccio fare il nat al firewall lasciando il
router direttamente in internet. quindi assegno un ip alla outside, un
ip alla global per il nat ed un ip alla ethernet del router.
la password che dici tu e' quella da dare alla connessione vpn, poi ti
dovrebbe chiedere username e password che sono quelli che ti ho
suggerito.
lo static e' un bel comando che ti permette di nattare un ip pubblico
su uno privato e con la access list associata  ti puoi permettere di
aprire le singole porte ai singoli host o reti.
la configurazione si puo' migliorare, ma il problema degli utenti non
deve esistere.
bye
teko

Addendum
agiungi la linea:
crypto map outside_map client token authentication LOCAL
username utentechevuoi password passwordchevuoi
bye 
teko

Sorry,
le linee giuste sono:
 crypto map outside_map client authentication LOCAL


Ciao,
ho provato i comandi che mi hai suggerito.
A me funziona correttamente chiedendomi utente e Password. Al mio
collega non esce la finestra per inserire l'utente e la password,
quindi non riesce a stabilire la connessione. Suggerimenti?
Ma questo dovrebbe far connettere più utenti contemporaneamente o è
"solo" una ulteriore sicurezza?
Se non ti porta via molto tempo, mi potresti spiegare(magari con un
esempio) come configureresti tu il router e il PIX?
Grazie,
Ciao

 "solo" una ulteriore sicurezza?
Sul PIX non mi esprimo. Sul router in modalità di configurazione globale 
dai:
username giuseppe privilege 15 password 7 <PWD_CHE_VUOI>
username guest password 7 <PWD_CHE_VUOI>
e sulle interfacce VTY:
line vty 0 4
  privilege level 15
  password 7 <PWD_PER_TELNET>
  login local
  transport input telnet ssh
Con il livello 15 l'utente 'giuseppe' va direttamente in privileged mode 
(Router# per intenderci) mentre con il livello 7 l'utente 'guest' se 
vuole andare in privileged mode deve conoscere la password di enable.
Con 'line vty 0 4' indichi che possono essere attive contemporaneamente 
5 sessioni telnet, indipendentemente dal fatto che tu abbia utilizzato 
il comando 'username...'.
La differenza rispetto al telnet liscio è che ti viene chiesto username 
e password (l'autenticazione puo essere fatta anche appoggiandosi ad un 
server esterno).
Ciao
--------
Akira

ciao,
io normalmente configuro il router liscio, cioe' senza nat e con ip
pubblico .
al pix lascio il lavoro del nat ed assegno il secondo ip alla outside
ed il terzo alla global per il nat.
cosi' facendo ho la outside con ip pubblico che mi fa da endpoint della
vpn con altri pix, router o vpn client.
configuro il pix con gli utenti vpn oppure faccio in modo che gli
utenti si autentichino tramite un radius server ( IAS di windows 2k va
benissimo ) ed il gioco e' fatto.
sul sito di cisco trovi molti esempi ma i migliori li trovi cercando su
google.
bye 
teko

ciao avrei bisogno di aiuto mi potresti suggerire come collegare il mio
pix 501 tra il router e la rete Lan io ho una adsl con 5 ip statici
configurazione route senza pix IP pubblico 81.123.57.86
                               IP privato  192.1.1.90
come cambierebbe inserendo un PIN 501 da utilizzare anche per VPN.
grazie donato..
teko ha scritto:


                               IP privato  192.1.1.90
Spero di non far crollare qualche tua profonda convinzione, ma 192.1.1.90
NON è un indirizzo privato: appartiene a questi signori:
BBN Communications BBN-CNETBLK (NET-192-1-0-0-1)
192.1.0.0 - 192.1.255.255
Bolt Beranek and Newman Inc. BBN-WAN (NET-192-1-1-0-1)
192.1.1.0 - 192.1.1.255
# ARIN WHOIS database, last updated 2005-10-28 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.
Gli indirizzi privati, quelli veri, li trovi nella RFC 1918.
Tuo
\/\/owbagger