Newsgroup: it.comp.reti.cisco
Titolo: Router CISCO come PPTP Client

Buondi!
volevo domandarvi se fosse possibile, e se si, qualche dritta sulla config, 
la possiblità di utilizzare un Cisco 831, o anche un 1721 con WIC1-ENET 
(quindi in entrambi i casi un router con due connessioni ethernet) come PPTP 
client.
mi spiego:
Router perimetrale: 1.1.1.1 wan ip addr
 
172.16.0.14/28
 - dmz side ip
nella subnet /28 metterei un router con sulla eth0 un ip 
172.16.0.11/28
 ad 
esempio, sulla eth1 (LAN) 
192.168.0.1/24
 ad esempio. Questo router dovrebbe 
connettersi ad un server VPN pptp esterno, e far navigare i pc sulla lan 
passando sulla VPN. Se la VPN è down, i pc nella lan non escono.
mi servirebbe però che i client della 
192.168.0.0/24
 uscissero in rete 
tramite una VPN pptp stabilita all'esterno dal loro router.
Si può fare?


Cisco sta togliendo la funzionalità di pptp server dai propri apparati, 
considerandolo giustamente un protocollo insicuro, non credo che si metta a 
supportare il pptp client che sicuramente fino a qualche release fa non 
esisteva, ma non le mie informazioni si fermano a qualche tempo fa.
Ciao,
        Massimo. 

Ciao Tosh.
ti rimando ad una discussione che io aprě un secolo fa, e ora č stata 
ripresa, e vi sono anche link ad esempi di configurazione...... peccato che 
io non riesca.
se vuoi dare un occhiata il titolo del posto č "cisco as pptp client"
comp.dcom.sys.cisco

 comp.dcom.sys.cisco
In effetti sembra si possa fare, tra l'altro c'è giusto un nuovo thread 
sullo stesso ng che discute del tuo stesso problema, magari sei sempre tu 
:-)
Ciao,
        Tosh. 

Ciao si so sono sempre io solo che ltri ci sono riusciti e io sono ancora 
qui che sono in panne
magari mi puoi aiutare tu......

 Hosts Client
la prima osservazione e': perche' non fai fare tutto al router
perimetrale? (immagino che la risposta sia: "perche' non e' mio")
In ogni caso si puo' fare benissimo, io uso un vecchio 827 con un IOS
12.3 - k9 ...ricorda sempre che se vuoi un minimo di crittazione (mppe
in questo caso) devi avere un IOS k9...
Rispetto alla conf che ho messo qui
http://rizzitech.blogspot.com/2008/09/configuring-cisco-adsl-router-acting-as.html
credo che ti basti usare una fastethernet al posto della int atm
poi metti una default route sull'interface dialer che fa il
pptp ...tipo ... ip route 0.0.0.0 0.0.0.0 dialer n   (n=numero
interfaccia)
una configurazione che potrebbe andare bene puo' essere (magari c'e'
qualche errore... questa non l'ho provata.. mentre quella sul blog e'
in "produzione" a casa mia ;-) ):
service internal
!
no ip gratuitous-arps
!
vpdn enable
!
vpdn-group 2
request-dialin
protocol pptp
rotary-group 2
initiate-to ip A.B.C.D !---> A.B.C.D is the ip of my pptp Access
Server
!
!
interface fa0/0
desc Link con DMZ router perimetrale
ip address 172.16.0.x 255.255.255.240
!
interface fa0/1
desc Link verso Clients
ip address 192.168.1.254 255.255.255.0
ip nat inside
!
interface Dialer2
description PPTP-side Dialer
ip address negotiated
ip access-group 102 in
ip nat outside
encapsulation ppp
dialer in-band
dialer idle-timeout 0
dialer string 123
dialer vpdn
dialer-group 2
ppp pfc local forbid
ppp pfc remote reject
ppp encrypt mppe auto
ppp chap hostname your-pptp-username
ppp chap password your-pptp-password
!
ip nat inside source list 110 interface Dialer2 overload
!
ip classless !---> recommended if you will apply static routes
correctly
ip route 0.0.0.0 0.0.0.0 Dialer2   !---> ALL your client traffic is
routed through pptp dialer interface
ip route A.B.C.D 255.255.255.255 fa0/0 !---> A.B.C.D is your pptp
server
!
!
access-list 102 permit !---> Place your PPTP-side permit Here
access-list 102 deny ip any any
!
!---> Acl101: used for PPTP NAT
access-list 110 permit ip any any
!
dialer-list 2 protocol ip permit

 dialer-list 2 protocol ip permit
Ora  ho impostato MTU a 1460 (valore consigliato dal responsabile 
dell'accentratore vpn pptp, che non sono io) e sembra funzionare
PERO' ho delle velocità non buone.... se mi collego direttamente da un pc ho 
velocità migliori, ottimizzerò il tcp in seguito.
ORA:
ti posto la config:
attualmente è non ottimizzata, dopo provvederò con tutti i crismi del caso.
Notare che la ACL 102 non esiste, ma essendo impostata sulla dial2, vuole 
dire che in ingresso droppa tutto (non essendo impostata una ACL102 presumo 
sia equivalente ad un deny ip any any ?
version 12.4
service nagle
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
service internal
!
hostname Router
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
clock timezone CET 2
no ip gratuitous-arps
!
!
!
!
ip cef
ip multicast-routing
vpdn enable
!
vpdn-group 2
 request-dialin
  protocol pptp
  rotary-group 2
 initiate-to ip REMOTE_PPTP_SERVER
!
!
!
!
!
!
!
!
!
!
interface Ethernet0
 description LAN - switch 4 port
 ip address 192.168.1.50 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface Ethernet1
 ip address 172.16.0.9 255.255.255.240
 ip virtual-reassembly
 duplex auto
!
interface Ethernet2
 description Switch Port number 4
 no ip address
 shutdown
!
interface FastEthernet1
 duplex auto
 speed auto
!
interface FastEthernet2
 duplex auto
 speed auto
!
interface FastEthernet3
 duplex auto
 speed auto
!
interface FastEthernet4
 duplex auto
 speed auto
!
interface Dialer2
 description PPTP-side Dialer
 ip address negotiated
 ip access-group 102 in
 ip mtu 1460
 ip pim dense-mode
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer in-band
 dialer idle-timeout 0
 dialer string 123
 dialer vpdn
 dialer-group 2
 no cdp enable
 ppp pfc local forbid
 ppp pfc remote reject
 ppp encrypt mppe auto
 ppp chap hostname USERNAME
 ppp chap password 0 PASSWORD
!
ip route 0.0.0.0 0.0.0.0 Dialer2
ip route REMOTE_PPTP_SERVER 255.255.255.255 172.16.0.11
!
no ip http server
no ip http secure-server
!
ip nat inside source list 110 interface Dialer2 overload
!
access-list 110 permit ip any any
dialer-list 2 protocol ip permit
!
!
!
control-plane
!
!
line con 0
 no modem enable
line aux 0
line vty 0 4
 login
!
scheduler max-task-time 5000
sntp server 193.204.114.105
sntp server 192.43.244.18
end

Ecco la conf funzionante tunata e configurata
Il server PPTP ha MTU 1460 quindi ho provveduto a impostare MTU 1460 e MSS 
(mtu-40) a 1420
Però ho alcune domande, che ti scrivo sotto:
version 12.4
service nagle
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
service password-encryption
service internal
service sequence-numbers
!
hostname c831
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 3 log
security passwords min-length 6
logging buffered informational
logging console notifications
no logging monitor
enable password 7 PASSWORD
!
no aaa new-model
clock timezone CET 2
no ip source-route
no ip gratuitous-arps
!
!
!
!
ip cef
ip domain name network.local
ip name-server 217.97.32.2
ip name-server 217.97.32.7
ip multicast-routing
ip inspect log drop-pkt
ip inspect max-incomplete low 300
ip inspect max-incomplete high 400
ip inspect one-minute low 500
ip inspect one-minute high 600
ip inspect udp idle-time 15
ip inspect tcp idle-time 1800
ip inspect tcp finwait-time 1
ip inspect tcp synwait-time 15
ip inspect tcp max-incomplete host 300 block-time 0
ip inspect name IN-OUT tcp audit-trail off
ip inspect name IN-OUT udp audit-trail off
ip inspect name IN-OUT dns audit-trail off
vpdn enable
!
vpdn-group 2
 request-dialin
  protocol pptp
  rotary-group 2
 initiate-to ip REMOTE_PPTP_SERVER
!
!
!
!
memory sanity all
!
!
ip tcp selective-ack
ip tcp timestamp
ip tcp window-size 2144
ip tcp synwait-time 10
ip ssh time-out 90
ip ssh version 2
!
!
!
!
interface Ethernet0
 description LAN - switch 4 port
 ip address 192.168.100.254 255.255.255.0
 no ip redirects
 no ip proxy-arp
 ip nat inside
 ip inspect IN-OUT in
 ip virtual-reassembly
 no ip mroute-cache
!
interface Ethernet1
 ip address 172.16.0.9 255.255.255.240
 no ip redirects
 no ip proxy-arp
 ip virtual-reassembly
 no ip mroute-cache

 mtu 1460
 ip address negotiated
 ip access-group 100 in
 no ip redirects
 no ip proxy-arp
 ip pim dense-mode
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 ip tcp adjust-mss 1420
 no ip mroute-cache
 dialer in-band
 dialer idle-timeout 0
 dialer string 123
 dialer vpdn
 dialer-group 2
 no cdp enable
 ppp pfc local forbid
 ppp pfc remote reject
 ppp encrypt mppe auto
 ppp chap hostname USERNAME
 ppp chap password 7 PASS
!
ip route 0.0.0.0 0.0.0.0 Dialer2
ip route REMOTE SERVER255.255.255.255 172.16.0.11
!
no ip http server
no ip http secure-server
!
ip dns server
ip nat translation timeout 3600
ip nat translation tcp-timeout 1200
ip nat translation udp-timeout 100
ip nat translation finrst-timeout 15
ip nat translation syn-timeout 45
ip nat translation icmp-timeout 120
ip nat inside source list 110 interface Dialer2 overload
ip nat inside source static udp 192.168.100.2 4672 interface Dialer2 4672
ip nat inside source static tcp 192.168.100.2 2015 interface Dialer2 2015
ip nat inside source static tcp 192.168.100.2 2014 interface Dialer2 2014
ip nat inside source static tcp 192.168.100.2 2013 interface Dialer2 2013
ip nat inside source static tcp 192.168.100.2 2012 interface Dialer2 2012
ip nat inside source static tcp 192.168.100.2 2011 interface Dialer2 2011
ip nat inside source static tcp 192.168.100.2 2010 interface Dialer2 2010
ip nat inside source static tcp 192.168.100.2 21 interface Dialer2 21
ip nat inside source static tcp 192.168.100.2 20 interface Dialer2 20
ip nat inside source static tcp 192.168.100.2 4662 interface Dialer2 4662
!
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 169.254.0.0 0.0.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 permit udp any eq ntp any eq ntp
access-list 100 permit ip any any fragments
access-list 100 permit icmp any any echo
access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any any time-exceeded
access-list 100 permit icmp any any packet-too-big
access-list 100 permit icmp any any unreachable
access-list 100 permit icmp any any source-quench
access-list 100 deny   icmp any any
access-list 100 permit gre any any
access-list 100 permit 41 any any
access-list 100 permit tcp any any range ftp-data ftp
access-list 100 permit tcp any any range 2010 2015
access-list 100 permit tcp any any eq 22
access-list 100 permit tcp any any eq 4662
access-list 100 permit udp any any eq 4672
access-list 100 deny   ip any any log
access-list 110 permit ip any any
dialer-list 2 protocol ip permit
no cdp run
!
!
!
control-plane
!
banner login ^C
                     You are connected to our Edge Router
        If you are not authorized to access this system, disconnect now.
                       THIS IS FOR AUTHORIZED USE ONLY
          Unauthorized or improper use of this system may result in
    administrative disciplinary action and civil and criminal penalties.
  By continuing to use this system you indicate your awareness of and 
consent
   to these terms and conditions of use. LOG OFF IMMEDIATELY if you do not
                  agree to the conditions stated in this warning.
^C
!
line con 0
 login local
 no modem enable
 transport output telnet
 stopbits 1
line aux 0
 login local
 transport preferred none
 transport output telnet
 stopbits 1
line vty 0 4
 login local
 transport preferred none
 transport input ssh
 transport output all
 flowcontrol software
!
scheduler max-task-time 5000
sntp server 193.204.114.105
sntp server 192.43.244.18
Domanda 1) io non sono MAI e dico MAI riuscito a fare in modo che il router 
risolvesse i nomi, tipo se da CLI scrivo ping 
www.google.it
 lui sta li e non 
reisce a risolvere i nomi
Domanda 2) Se il PPTP server fosse un hostname invece che un ip, in quanto è 
presente un roundrobin, come si potrebbe fare? ho visto che posso mettere 
numerosi "initiate to" IP, ma si collega sempre al primo :(
che ne dici della conf? Faresti ulteriori aggiustamenti?
Ho impostato IP INSPECT in uscita
ho impostto SSH2
ho impostato una bella ACL in entrata
ho tunato il TCP IP (anche attivando i timestamps e tutto RFC1323)
in teoria......... dovrebbe andare bene,
Siamo su un C831 con 12.4(16)K9 completa.
A presto !!!!!!!

 A presto !!!!!!!
si dovrebbe andare bene, tieni presente che come sicurezza, l'mppe e'
un po' una fetecchia, ma in mancanza di meglio... (d'altronde e' Micro
$oft... ;-)))) )
Tieni d'occhio la cpu quando e' sotto carico, un bel "sh proc cpu " ti
dira' se l'831 e' sufficiente o se hai bisogno di qualcosa in +,
dipende tanto da quanti client/sessioni hai....
buon divertimento!
Marco

Ciao
ora sono in fuga e non ho tempo per risponderti con calma.
Restiamo in contatto, ti ho la mia mail è
admin [chiocciola] spadhausen punto com
Domani ti rispondo per bene sul ng !
ciao buona serata 

 A presto !!!!!!!
Marco ha scritto:
si dovrebbe andare bene, tieni presente che come sicurezza, l'mppe e'
un po' una fetecchia, ma in mancanza di meglio... (d'altronde e' Micro
$oft... ;-)))) )
Amen... non posso farci niente :) confido nel fatto MPPE e cifratura 128bit 
+ MSCHAPv2 per l'auth....
la password � lunga e complessa...
Marco scrive:
Tieni d'occhio la cpu quando e' sotto carico, un bel "sh proc cpu " ti
dira' se l'831 e' sufficiente o se hai bisogno di qualcosa in +,
dipende tanto da quanti client/sessioni hai....
Allora, secondo me l'831 � un po a corto di cpu per i miei gusti.... 
andrebbe bene per fare vpn 3DES in quanto ha l'accelleratore hardware...ma 
la mppe � software, quindi......
Se mi fai avere la tua mail privata, ti faccio avere i grafici (snmp) che ho 
fatto, e se sovrapponiamo cpu + download, vedo che all'85% di cpu scarica 
sui 2mbit... infatti oltre non riesco ad andare e non riesco a sfruttare la 
4mbit che ho (shdsl simmetrica). Se sostituisco il C831 con un 2611 direi 
che come CPU ne recupero un po'.
Secondo il DOC "routerperformance.pdf" di cisco:
C830 - PPS su CEF/Fast switch: 8500 - mbps 4,35
C261x (non XM)  pps 15000 - mbps 7,68
Addirittura un C3620 (che ho con 32F/64D) pps 20000-40000 - mbps 10-20
Che ne pensi? Di 2610 (+nm1e o nm1fe) e 2611 ne ho tanti, cosi ho un 
appliance 2600 dual eth.
buon divertimento!
Marco