Newsgroup: it.comp.reti.cisco
Titolo: PIX e VPN (port translation)

Ho un Pix sul quale ci sono già alcune vpm funzionanti (una site to site e una
dial-in) ma quando cerco di attivare una connessione da un client interno verso
un server esterno il firewall mi dà:
"portmap translation creation failed for protocol 50 src inside:
indirizzoIP dst outside altroindirizzpIP"
Altre connessioni Vpn invece continuano a funzionare egregiamente.
Non capisco veramente dove sia la questione.
Ogni aiuto è prezioso! ;)
g.

 indirizzoIP dst outside altroindirizzpIP"
Per l'attivazione del tunnel da parte della rete interna, devi configurare
il PIX come client IPSec.
Le linee-guida per la configurazione le trovi all'indirizzo:
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/prod_configuration_examples_list.html
Buon lavoro
--
Francesco

 wrote in message
news:550Vd.984135$35.36...@news4.tin.it...
|
| Per l'attivazione del tunnel da parte della rete interna, devi configurare
| il PIX come client IPSec.
| Le linee-guida per la configurazione le trovi all'indirizzo:
|
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/prod_configuration_examples_list.html
|
| Buon lavoro
| --
| Francesco
|
Purtroppo è una connessione verso un host particolare che non va, non tutte.
Questa è la cosa curiosa.

 Ogni aiuto è prezioso! ;)
Spero che il mio lo sia.

 Spero che il mio lo sia.
Grazie comunque!

 altro cliente tutto funziona. Mah...
Non vorrei dire una sciocchezza ma mi sembra di capire che 50 è il protocollo (infatti a me nel messaggio di errore 
indicava specificamente protocol _tcp_) e dovrebbe corrispondere a ipsec ed esp.v Quante VPN hai in piedi?
Alex.

 wrote in message
news:YOVVd.61340$QG6.1...@twister2.libero.it...
|
| Non vorrei dire una sciocchezza ma mi sembra di capire che 50 è il protocollo
(infatti a me nel messaggio di errore
| indicava specificamente protocol _tcp_) e dovrebbe corrispondere a ipsec ed
esp.v Quante VPN hai in piedi?
|
Una firewal to firewall (permanente) ed una da client al mio pix. Entrambe ok.

protocol 50, si.


Prova a postare la configurazione del PIX senza le informazioni confidenziali.
Inoltre il fatto che tu abbia 2 VPN non vuol dire nulla. Se in entrambi i casi il tuo PIX funge da 
server (e nel caso del client è il PIX il server) non deve fare port-translation. Inoltre prima di 
attivare un indirizzo globale sulle interfacce dove terminano i tunnel io avevo attive 4-5 VPN.
Posta la configurazione...
Alex.

 
ciao,
il problema è che il protocollo 50, cioè ESP, con cui il VPN client 
incapsula, tipicamente non è in grado di attraversare un dispositivo che 
fa PAT, come nel tuo caso.
Probabilmente le altre sessioni VPN client che funzionano attivano 
meccanismi come il NAT-T, pensate proprio per scavalcare il PAT.
Se com'è probabile il problema è questo, potresti risolverlo in questi modi:
- se puoi lavorare sul VPN Server a cui ti colleghi e se è supportato, 
dovresti cercare di attivare il NAT-T o tecniche similari. Oppure,
- se hai IP pubblici a disposizione, ne potresti NATTARE uno in modo 
statico 1:1  sul tuo client con il comando 'static'.
Per il PIX esiste anche un fixup specifico per risolvere questo 
problema, 'fixup protocol esp-ike', disabilitato per default. Però nel 
tuo caso non è utilizzabile in quanto incompatibile con i processi di 
ISAKMP interni, già utilizzati per terminare le VPN sul tuo PIX.
ciao
Assice

"Assice" <ass...@TOGLIperlaRISPOSTA.inwind.it.invalid> wrote in message
news:qfjWd.63356$QG6.1...@twister2.libero.it...
|
| il problema è che il protocollo 50, cioè ESP, con cui il VPN client
| incapsula, tipicamente non è in grado di attraversare un dispositivo che
| fa PAT, come nel tuo caso.
| Probabilmente le altre sessioni VPN client che funzionano attivano
| meccanismi come il NAT-T, pensate proprio per scavalcare il PAT.
| Se com'è probabile il problema è questo, potresti risolverlo in questi modi:
|
| - se puoi lavorare sul VPN Server a cui ti colleghi e se è supportato,
| dovresti cercare di attivare il NAT-T o tecniche similari. Oppure,
|
| - se hai IP pubblici a disposizione, ne potresti NATTARE uno in modo
| statico 1:1  sul tuo client con il comando 'static'.
|
| Per il PIX esiste anche un fixup specifico per risolvere questo
| problema, 'fixup protocol esp-ike', disabilitato per default. Però nel
| tuo caso non è utilizzabile in quanto incompatibile con i processi di
| ISAKMP interni, già utilizzati per terminare le VPN sul tuo PIX.
|
| ciao
| Assice
Alla fine penso che la questione sia proprio come da te descritta, nei prossimi
giorni cercherò di chiarire con l'admin del firewall a cui devo collegarmi o,
alla peggio, creo una static.
Grazie,
g.