Newsgroup: it.comp.reti.cisco
Titolo: GRE su IPSEC

Salve a tutti,
sto tentando di collegare due sedi con due cisco 2600 usando IPSEC e backup
ISDN. Cercando documentazione sul sito cisco
mi sono reso conto che devo configurare un tunnel GRE e farci andare un
protocollo di routing, poi per fare attivare l'ISDN
creare delle rotte statiche con un "peso" maggiore di quelle dell'EIGRP.
Ho inoltre visto che in molte configurazioni vengo utilizzate delle
interfacce virtuali(loopback) per crearsi il tunnel.
La mia domanda č quale vantaggio ho utilizzando l'interfaccia di loopback
come source e destination del tunnel rispetto ad
utilizzare gli indirizzi pubblici assegnatomi dalla telecom.
Inoltre dove potrei trovare delle configurazioni esplicative che mi aiutino
a raggiungere il mio obiettivo ?
Grazie in anticipo.
Saluti

 utilizzare gli indirizzi pubblici assegnatomi dalla telecom.
Ti rispondo solo a questo xche' e' quello che so per certo, per il resto
lascero che altri piu' competenti intervengano.
Le interfacce loopback hanno la utile caratteristica di rimanere raggiungibili
finche' il router ha almeno una interfaccia up/up. Se usi un IP assegnato ad
una interfaccia fisica e quella va giu, anche se il router ha un'altra
interfaccia con cui poter essere raggiunto quell'IP sara' unreachable quindi il
tunnel va giu'. Se invece usi una loopback quell'IP sara' sempre raggiungibile
finche il router ha almeno una interfaccia UP/UP per cui il tunnel rimane su
anche se il router comunica con una interfaccia diversa. 
Capirai che cio' e' in effetti lo scopo di una configurazione con ISDN backup.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 anche se il router comunica con una interfaccia diversa. 
Scusate se mi inserisco ma su questo avrei una domanda:
se ho un router 1701 (interfaccia adsl con isdn di backup) posso ottenere
il vantaggio della loopback illustrato sopra da Fabio  anche quando ho un
tunnell ipsec tunnel mode (senza gre)? Io volevo usare la loopback con un
IP pubblico come source-address nella crypto map e poi applicare la crypto
map sia all'interfaccia ADSL  sia a quella ISDN e configurare una route
statica con peso maggiore sulla ISDN. Configurando cosi' i miei due router
che fanno da end-point avro' il back-up si isdn senza che cada il tunnell
ipsec, ppure per far funzionare la ISDN come backup e non far andare giu'
il tunnel devo per forza usare IP+GRE+routing dinamico?
grazie in anticipo per la risposta
bebe
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


Le loopback le puoi anche evitare, visto che se non funzionano le interfacce
pubbliche non te ne fai di niente di un paio di loopback "always on".
Potresti essere costretto ad usarle nel caso di certi contratti telecom dove
non puoi fare traffico dalla punto-punto ma solo dagli indirizzi assegnati.
Ciao,
         Tosh.


Io opto per quest'ultima soluzione, anche se ammetto di non aver capito
molto su quello che vorresti fare.
Ciao,
        Tosh.

Tosh ha scritto:

Probabilmente non mi sono saputo spiegare, ci riprovo :-)
Ho due sedi, entrambe con collegamento ISDN alla rete telefonica e ADSL
con 8 ip statici piu' il solito punto-punto nazionle non utilizabile
direttamente (quindi poiche' faccio NAT la loopback la devo usare
comunque). In entrambe le sedi ho router 1701 (wic adsl + porta isdn).
Ho una vpn lan-to-lan tra le due sedi, configurata con IPSec in tunnel
mode (senza gre), ogni peer fa uscire il pacchetto esterno del tunnel con
IP mittente pari a quello della sua loopback e ip destinatario pari alla
loopback dell'altro peer.
Ora vorrei  sfruttare la connettivita' ISDN che ho, in modo da poter avere
una "vpn di backup" sulla ISDN e modificare al minimo la configurazione.
Ho pensato di fare cosi'su entrambi i router:
1) configuro opportunamente le ISDN in modo che i due router si possano
chiamare
2) configuro per il traffico lan-to-lan una route statica a peso maggiore
rispetto a quella attraverso la adsl
3) applico la crypto map gia' applicata all'interfaccia adsl anche alla
isdn
la domanda e': se il routerA perde la connettivita' ADSL e inizia a
parlare al routerB attraverso la ISDN il tunnel andra' giu'? L'indirizzo
IP mittente dei pacchetti che raggiungono il routerB sarebbero sempre
quelli della loopback di A, quindi direi di no ma non sono sicuro, e non
hoancora potuto far la prova diretta, quindi chiedo a voi.
C'e' inoltre una soluz piu' pulita a questo problema, secondo te?


 rispetto a quella attraverso la adsl
oggi sono incapace a scrivere, scusate.
leggi: configuro una nuova route statica che usa la ISDN per il traffico
lan-to-lan e do' a questa route statica un peso maggiore rispetto a quella
che fa girare tutto sulla adsl (che e' ip route 0.0.0.0 0.0.0.0 atm0.1) 


 
Il problema rimane il routing, infatti se metti la default 0.0.0.0 sulla 
ATM0.1 e la route per la LAN privata remota sulla ISDN con peso più alto 
quest'ultima si attiva subito e tutto il traffico LAN-to-LAN girerebbe 
dalla ISDN in chiaro perchè gli l'IP pubblico della loopback viene 
comunque instradato dalla default sull'ATM0.1.
Potresti mettere due default una sull'ATM0.1 ed una sulla ISDN con peso 
più alto, ma in questo caso mancherebbe l'automatismo e cmq i due router 
si comporterebbero in modo indipendente.
Mi spiego meglio; perchè il routing commuti sulla route di backup 
occorre che la route primaria sparisca dalla tabella di routing di ogni 
router e con delle statiche, in mancanza di un protocollo di routing, 
questo succederebbe solo se va giù l'interfaccia fisica o il protocollo ATM.
In alcuni casi potrebbe anche succedere ma è improbabile che succeda 
contemporaneamente su entrambi i router, l'unica cosa da fare sarebbe 
gestire la cosa in modo manuale disattivando l'interfaccia ATM su 
entrambi i router.
Solo con un protocollo di routing che verifica lo stato della 
connettività Internet 'end to end', i due router/peer IPSec possono 
accorgersi di un problema e switchare sul link di backup. I protocolli 
di routing, tipicamente s'indirizzano con dei multicast IP e non 
riescono ad attraversare un tunnel IPSec, quindi dovresti utilizzare un 
ulteriore incapsulamento come il GRE, a sua volta trasportato dal tunnel 
IPSec, su cui attivare il routing per il solo LAN-to-LAN.
In questa configurazione non credo convenga cifrare anche il traffico 
sul link di backup, a meno che non sia internet anche quello. Con un 
protollo di routing con buona convergenza, cioè rapido come EIGRP o 
OSPF, i tempi di switching del routing + l'attivazione del link ISDN si 
aggirano sui 5 - 10 secondi e per molte applicazioni TCP questo non 
dovrebbe creare grossi problemi.
ciao
Andrea