Newsgroup: it.comp.reti.cisco
Titolo: VPN e Soho 97..

Ciao a tutti.
Ragazzi, non riesco a venirne a capo e vi chiedo gentilmente un aiuto.
Devo fare una VPN router<->router.
Lo schema e' il seguente:
LAN 
192.168.1.X --- ROUTER_A ----(INTERNET)---- ROUTER_B --- LAN 192.174.10.X
Entrambi sono dei soho 97.
Questa e' la configurazione di una delle 2 estremita' (L'altra e' speculare,
chiaramente cambia la tabella di nat e gli ip dei router sono invertiti),
ma il tunnel non viene tirato su.
Potreste indicarmi dove sbaglio?
Grazie in anticipo per la disponibilita'.
----------------------------------------------------------
Router#show conf
Using 1923 out of 131072 bytes
!
version 12.3
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Router
!
enable secret 5 $PASSWORD
!
username Router password 7 $PASSWORD
ip subnet-zero
ip name-server 151.99.125.2
ip name-server 151.99.250.6
!
!
no aaa new-model
!
!
!
!
crypto isakmp policy 1
 authentication pre-share
 group 2
 lifetime 28800
crypto isakmp key 0 cisco123 address 81.113.135.210
!
!
crypto ipsec transform-set MARINO ah-md5-hmac esp-des
!
crypto map icgrottaferrata 10 ipsec-isakmp
 set peer $IP_ROUTER_A
 set security-association lifetime seconds 1000
 set transform-set MARINO
 match address 101
!
!
!
!
interface Tunnel0
 ip unnumbered ATM0.1
 tunnel source $IP_ROUTER_A
 tunnel destination $IP_ROUTER_B
 crypto map icgrottaferrata
!
interface Ethernet0
 ip address 192.168.1.1 255.255.255.0 secondary
 ip address $IP_ROUTER_A 255.255.255.248
 ip nat inside
 no ip mroute-cache
 no keepalive
 crypto map icgrottaferrata
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.1 point-to-point
 ip address $IP_PUNTO_PUNTO 255.255.255.252
 ip nat outside
 pvc 8/35
  encapsulation aal5snap
 !
!
ip nat inside source list 10 interface Ethernet0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip route 192.168.1.0 255.255.255.0 Tunnel0
no ip http server
no ip http secure-server
!
access-list 10 permit 192.168.1.0 0.0.0.255
access-list 101 permit gre host $IP_ROUTER_A host $IP_ROUTER_B
access-list 110 permit udp host $IP_ROUTER_B host $IP_ROUTER_A eq isakmp
access-list 110 permit esp host $IP_ROUTER_B host $IP_ROUTER_A
access-list 110 permit ahp host $IP_ROUTER_B host $IP_ROUTER_A
!
line con 0
 exec-timeout 120 0
 no modem enable
 stopbits 1
line aux 0
line vty 0 4
 exec-timeout 120 0
 login local
 length 0
!
scheduler max-task-time 5000
!
end
----------------------------------------------------------
:: Francesco

 Potreste indicarmi dove sbaglio?
Ad esempio qui:
antani> whois 192.174.10.1
OrgName: Motorola Automotive and Electronics Division
OrgID: MAED-1
Address: 1299 E. Algonquin Road
City: Schaumburg
StateProv: IL
PostalCode: 60196
Country: US
NetRange: 192.174.10.0 - 192.174.10.255
CIDR: 
192.174.10.0/24
NetName: AIEG-MOT-3
NetHandle: NET-192-174-10-0-1
Parent: NET-192-0-0-0-0
NetType: Direct Assignment
Comment:
RegDate: 1992-05-27
Updated: 1992-05-27
Risultato: hai usato dal lato del router B un indirizzo pubblico (della 
Motorola, nella fattispecie). Usane uno privato pure lì e, magari, le 
cose funzionano un po' meglio. :-)
Jake
-=-=-
... There are only 10 types of people in this world: those who 
understand binary, and those who don't.

 
Ti ringrazio innanzitutto.
Un chiarimento:
Se il router fa pat quell'indirizzo non dovrebbe essere visibile
dall'esterno...pensi che c'entri lo stesso?
:: Francesco

 access-list 110 permit ahp host $IP_ROUTER_B host $IP_ROUTER_A
lascia stare tutto questo e limitati ad un:
access-list 110 remark traffico da nattare
access-list 110 deny lan_locale lan remota
access-list 110 permit lan_locale any 
!questa e' per il nat overload
access-list 120 remark traffico da criptare
access-list 120 permit lan_locale lan remota
!questa va nella cmap 
un mayhem riposta la cfg dopo le modifiche e dicci cosa dice il debug,
perche' non viene stabilito il tunnel.
se ti serve il gre (ma non credo) rivediamo il tutto.
un mayhem con la tosse
-- 
 Credeva di retrocedere, stava invece avanzando, camminando all'indietro.
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.org
 Key on 
pgp.mit.edu
 ID B88FE057

 
Innanzitutto grazie per la risposta.
Potresti spiegarmi cosa significa mettere l'ip su una loopback?
Ho un adsl multigroup, e l'ha configurata un tecnico della telecom nel modo
in cui hai visto.
Io ho solo (erroneamente) aggiunto i parametri per la VPN, ma non sono
esperto in questo campo.
Sul sito della Cisco non ho trovato esempi di conf per il mio caso specifico
(eppure dovrebbe essere uno dei piu' comuni).
Ti sarei davvero grato se potessi darmi una mano a configurare 'sta
maledetta VPN.
Grazie ancora.
Fra