Newsgroup: it.comp.reti.cisco
Titolo: vpn client e pix

Ciao,
ho configurato un PIX con 6.2 e vpnclient 4.0 per fare tunnel ipsec con 3des
PIX: ouside interface ha ip pubblico
        inside interface 192.168.0.100
i client prendo IP da un pool cosi composto: 
10.0.0.0/24
il tunnel funziona. da 10.0.0.0 raggiungo QUALSIASI  ip della classe
192.168.0.0/24
 (quella della inside interface del pix).
nella stessa rete 
192.168.0.0/24
 ho un gateway (che raggiungo e ha ip
192.168.0.10)  per una altra rete:
192.168.1.0/24
ebbene:
dal PIX (192.168.0.100) raggiungo questa rete. ovvero c'e la rotta statica:
route inside 192.168.1.0 255.255.255.0 192.168.0.10 1
il PIX  NON  FA NAT nella inside interface
 nat inside 0 0.0.0.0 0.0.0.0
dai client 
10.0.0.0/24
 non raggiungo la rete 
192.168.1.0/24
 e' come se la
rotta statica sopra menzionata
per il pool dei client non fosse utilizzabile...
perche' ?
            grazie mille
                    ciao, ame

 ha scritto nel messaggio
news:bbq0i8$r4$1...@fata.cs.interbusiness.it...


 dovrebbe funzionare, in caso fammi sapere!
scusa avevo dimenticato di scriverlo...la rotta statica per la classe 
10.0.0.0/24
 c'e' sul router (linux box) che routa verso la 
192.168.1.0/24
 . non e' quello il problema.
grazie comunque
ame

 
risolto.mancava:
sysopt ipsec pl-compatible
senza questa direttiva un IP privato assegnato al tunnel IPsec
NON puo' raggiungere nessun IP al di fuori della VPN.
( o meglio delle classi che la costituiscono)
quindi la net 
10.0.0.0/24
 (pool dei client remoti)
era "un capo" del tunnel e la 
192.168.0.0/24
 (tra cui l'IP del PIX 501)
era "l'altro" e infatti tra queste due reti non c'erano problemi.
ma per raggiungere la 
192.168.1.0/24
  o qualsiasi altra rete
interna (raggiungibile attraverso la inside interface) ma fuori della 
VPN ci vuole la direttiva sopra menzionata.
Se poi la outside interface e' su internet (come nel caso mio)
e decidi di far uscire la net 
10.0.0.0/24
 dei client remoti attraverso 
il gw internet della sede centrale, basta aggiungere uno split-tunnel
nella configurazione del vpngroup
grazie comunque
ciao
ame

 ha scritto nel messaggio
news:bbr8dk$cfk$1...@grillo.cs.interbusiness.it...


 di indirizzi 192.168.1.0.
Ciao Tosh,
si sono consapevole di questo rischio. Mi sono accorto infatti  che con
pl-compatible  riesco a creare il tunnel
anche con un client dietro a uno zyxel che natta..devo supporre quindi che
non vengano effettuati
controlli sullo header del pacchetto ma solo sul payload.
Purtroppo pero' non mi funziona come dici tu (e come avevo fatto in origine)
a meno che
nat inside 0 0.0.0.0 0.0.0.0
non sia scorretto (ma la riga sopra non significa che non deve nattare
nulla?)
e che io debba specificare per forza le reti da non nattare una ad una con
una acl ( ma mi pare strano)
se tu vedi la mia precedente di inizio thread c'e' la mia situazione.
grazie mille
ame

 ha scritto nel messaggio
news:bc6jo2$eo$1...@grillo.cs.interbusiness.it...


         Tosh.
Ciao Tosh,
credo che l'errore fosse la mancanza di split-tunnel (verifichero') perche'
mi sembrava di aver letto che fosse applicabile solo all'outside
interface...
cioe', per esempio, di far uscire su internet escludendo tale traffico dal
tunnel.
evidentemente non e' cosi. verifichero' quando avro' a disposizione un altro
PIX
o dovro' effettuare un intervento dallo stesso cliente.
Abbi pazienza :-) e' la prima volta che facevo una cosa del genere con un
PIX
di solito uso freeswan e linux... ma dovendo fare un tunnel ipsec con
portatili w98se ho preferito
la soluzione cisco meno "critica" e molto piu' veloce dal punto di vista
dell'installazione e configurazione software
(e del funzionamento in questo caso).
Grazie mille !
ciao Ame