Newsgroup: it.comp.reti.cisco
Titolo: Vpn 1721 hdsl

Ho provato a fare un tunnel VPN fra due router cisco 1721 con IOS 12.3
naturalmente non funzionanti.
I due router si connettono a Interbusiness HDSL.
Non ho configurazioni particolari due reti private 192.168.100.x e
192.168.99.x nattate, con uno dei sei indirizzi disponibili.
le configurazioni che ho fatto per provare i tunnell sono senza CBAC.
Allego una delle due configurazioni ( il secondo router è configurato
specularmente) 
pippo#sh run
Building configuration...
Current configuration : 4721 bytes
!
version 12.3
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
service password-encryption!
hostname Router a
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 3 log
security passwords min-length 6
logging buffered 52000 debugging
enable secret  xxxxxxxxx
!
username 
no aaa new-model
ip subnet-zero
no ip source-route
!
!
ip domain name 
interbusiness.it
ip name-server 151.99.125.2
!
no ip bootp server
crypto isakmp policy 10 
   Authentication pre-share
crypto isakmp key cisco address ( un indirizzio pubblico dell'altro router
Y) 
--------------potrebbe essere questo l'errore ---------------
crypto ipsec transform-set pippo esp-des esp-md5-hmac
crypto map VPN1 10 ipsec-isakmp
  set peer ( sempre quel indirizzo pubblico dell'altro router Y) 
  set transform-set pippo
  match address 101
!
!
interface Loopback0
 ip address ( indirizzi assegnati da interbusiness) 
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 no ip mroute-cache
!
!
interface FastEthernet0
 ip address 192.168.100.253 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 speed auto
 no cdp enable
!
interface Serial0
 bandwidth 1024
 no ip address
 encapsulation frame-relay
 no fair-queue
 frame-relay lmi-type cisco
!
interface Serial0.1 point-to-point
 ip address (punto a punto nazionale) 
 ip verify unicast reverse-path
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 no cdp enable
 crypto map vpnmacro  ( -----------------se lo metto qui sull'altro router
----------------vedo arrivare la chiamata IKE con l'indirizzo del punto a
punto--
 frame-relay interface-dlci 465 IETF   
!
!
ip nat inside source list 133 interface Loopback0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0.1
Access-list 133 deny ip 192.168.100.0 0.0.0.255 192.168.99.0 0.0.0.255
access-list 133 permit ip 192.168.100.0 0.0.0.255 any
access-list 101 permit ip 192.168.100.0 0.0.0.255 192.168.99.0 0.0.0.255

l'ipsec non dovrebbe presentare problemi.
io ho avuto problemi in presenza di cifratura des o 3des con i comandi
no ip redirects
 no ip unreachables
sulle interfacce del router.
percui prova a toglierli.
ciao
On Mon, 17 Nov 2003 20:15:22 +0000 (UTC), 
ma...@arterelax.com
 (Manu)
wrote:


Grazie per la risposta, ho trovato il problema, in questa lunga notte.
Scrivo come ho risolto magari può essere di aiuto ad altri.
Ho scoperto che telecom ha negato il passaggio ipsec nel punto a punto,
per aggirare l'ostacolo ho modificato il source address del crypto map
sulla loopback
crypto map VPN1 local-address loopback 0 


 crypto map VPN1 local-address loopback 0
ho letto ora il tuo post.
il problema e' esattamente quello da te individuato.
ma in realta' telecom vieta tutto il traffico da/per le point2point, non
solo ipsec.
hai risolto nel modo migliore ;P
un mayhem e gli arzigogoli
-- 
 Everyone is gay, with someone else's ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 hai risolto nel modo migliore ;P
Scusate se mi intrometto, ma non ho capito che ostacoli "crea" telecom con
ipsec.
Io la vpn l'ho fatta su rete telecom, tra hdsl e adsl e non ho dovuto
configurare interfacce di loopback.
Grazie
Rocco

 configurare interfacce di loopback.
forse perche' hai sulla eth0 un ip pubblico ed hai configurato la cmap per
utilizzare l'ip della eth.
le hdsl non permettono di generare/ricevere traffico sull'ip poin2point
(quello della seriale).
un mayhem che riuscira' a farlo funzionare. maledizione.



Ciao,
sinceramente non ho ip pubblico sulla ethernet!
La mia situazione di rete è la seguente:
- 1721 su adsl telecom con 1 ip pubblico
- 837 su adsl telecom con 1 ip pubblico
- 1721 su hdsl telecom con 1 ip pubblico
La vpn tra le tre sedi funziona correttamente.
Essere a conoscenza di eventuali problemi di questo tipo mi interessa,
perchè non vorrei scoprire in altre circostanze che non mi funziona un
caspio!
Grazie
Rocco

 1721 su hdsl telecom con 1 ip pubblico
a. quanto tempo fa la hai acquistata ? (le prime permettevano tutto).
b. 1 solo ip? e' la prima che sento.
un mayhem e lka fame che inizia ad arrivare



l'hdsl è stata acquistata più di un anno fa.
Però ora che ci penso avevano sbagliato a fare il contratto per cui ricordo
che dovemmo chiamare telecom perchè c'erano dei problemi (non dovevamo
ancora fare la vpn).
In effetti per un'altro contratto hdsl per Milano erano compresi 8 ip
pubblici, ma sinceramente non mi sono mai chiesto perchè un contratto avesse
un pool di ip pubblici ed un'altro no (i contratti non li ho fatti io)!
E così mi confermi che in pratica con interbusiness e linee hdsl una vpn non
funzia perchè è filtrata?
Ma la configurazione dell'interfaccia di loopback a cosa servirebbe?
------------
interface Loopback0
 ip address ( indirizzi assegnati da interbusiness)
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 no ip mroute-cache
------------
Grazie
Rocco

 Ma la configurazione dell'interfaccia di loopback a cosa servirebbe?
a generare/ricevere traffico da/per un ip non filtrato (uno del pool.
un mayhem che sta per svenire dalla fame



Quindi se mi dovesse accadere configuro l'interfaccia di loopback con uno
degli ip pubblici assegnati dal telecom cosi:
interface Loopback0
 ip address ( ip pubblico telecom)
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 no ip mroute-cache
poi Manu indicava : crypto map VPN1 local-address loopback 0
ma associo la mappa sotto l'interfaccia di loopback?
Ma quindi sotto l'interfaccia seriale non associo più la crypto map?
Comunque grazie ancora per i suggerimenti.
Rocco

 l'interfaccia seriale non associo più la crypto map?
la associ alla int fisicamente attraversata dai pacchetti.
quindi la serial va benissimo.
un mayhem sazio ed in dirittura di arrivo
