Newsgroup: it.comp.reti.cisco
Titolo: cisco 1720 e IPsec pass-through

Salve a tutti,
premetto che sono alle prime armi con le macchine Cisco, il router in 
questione non e' mission critical, sto cercando di imparare a 
configurarlo :)
Ho un Cisco 1720 con IOS 12.2 (c1700-y7-mz.122-4.T7.bin) con WIC ISDN 
per la connessione ad Internet di un piccolo ufficio di 3 computer.
Il router fa anche da DHCP e NAT server.
La configurazione e' davvero semplice, minimale, la connessione ad 
Internet funziona bene da tutti i computer.
A quanto sembra il Cisco 1720 non supporta la funzionalita' IPsec 
pass-through, supportata in modo automatico e trasparente da altri 
router ISDN piu' commerciali, come Zyxel, LinkSys, etc.
Su due dei computer (Windows XP e Mac OS X) ho installato il client VPN 
della Nortel (Extranet Access Client) per stabilire connessioni sicure 
verso un gateway IPsec remoto, ma la connessione VPN non viene stabilita 
proprio, va in timeout.
Se mi collego ad Internet direttamente dai computer in questione via TA 
ISDN USB, il client Nortel riesce a stabilire la connessione VPN senza 
problemi, evidentemente perche' il computer ha un indirizzo IP pubblico 
e non e' piu' dietro il router Cisco con un indirizzo IP privato (NAT).
C'e' qualche modo per configurare il Cisco 1720 a far passare il 
traffico IPsec diretto/uscente verso/dal client VPN della Nortel in modo 
trasparente?
E' necessario l'acquisto di una versione dell'IOS piu' recente e/o con 
piu' features di quella che posseggo oppure basta qualche comando di 
configurazione?
***
cisco 1720 (MPC860) processor (revision 0x501) with 15360K/5120K bytes 
of memory.
... cut cut ...
32K bytes of non-volatile configuration memory.
8192K bytes of processor board System flash (Read/Write)
***
Mi sembra di capire che il mio router ha 16MB di memoria DRAM e 8MB di 
memoria flash.
E' sufficiente per l'utilizzo che ne voglio fare ed eventualmente per 
caricare un IOS piu' recente, ad esempio 12.3?
Grazie.

 proprio, va in timeout.
il client vpn che usi support il trasparent nat?
il problema e' sul client, non sul router.
se tu usassi il client vpn cisco o chekpoint (con il relativo vpn
concentrator o VPN1) non avresti questo problema.
un mayhme e lo stomaco pieno (anche i polmoni)
-- 
 Everyone is gay, with someone's else ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 concentrator o VPN1) non avresti questo problema.
Si', il client Nortel supporta il NAT-T (ossia IPsec over UDP) ma 
sfortunatamente il gateway VPN remoto (Nortel Contivity) non lo 
supporta, perche' ha un versione del sistema operativo "vecchia" e 
l'aggiornamento non dipende da me :(
Davvero i router Cisco non supportano in modo trasparente IPsec 
pass-through nemmeno con gli IOS piu' recenti, quando alcuni router piu' 
commerciali e meno costosi lo supportano in modo trasparente?
Grazie.


Chi lo ha detto?
Dalla 12.2(13)T non solo è supportato ma è trasparente, vale a dire che non
devi nemmeno configurarlo esplicitamente.
Ovviamente per averlo nelle distribuzioni ufficiali ci vorrà ancora un po di
tempo.
Ciao,
        Tosh.

 devi nemmeno configurarlo esplicitamente.
ummh temo che tu ti stia riferendo (correggimi se sbaglio) al supporto
NAT-T, che e' altra cosa dal tipo di supporto ipsec pass-t del post
originale.. se la mia mente annebbiata non vaneggia (letto tempo fa'
googlando qua e la x cisco), l'accrocchio (xche' di questo si tratta)
dovrebbe essere dosponibile dalla 12.2.(15)T nella forma 
ip nat service list acl_del_caso IKE 
ip nat service list acl_del_caso ESP 
Saluti ad amici... e non!
p.s.
ginos:  per quel che vale son convinto che dovresti orientarti (e "far
orientare") per una soluzione che "parli" NAT-T.. almeno e'
determininisticamente meno rognoso di quella porcheria di ipsec pass-t
(IIRC una sorta di ESP-SPI redir/proxy) alla zyxel, dlink, etc , almento in
quello che presumo non sia uno scenario home.

 devi nemmeno configurarlo esplicitamente.
Sono riuscito a far passare il traffico IPsec dal router al client in 
NAT con i seguenti comandi:
ip nat inside source static udp 192.168.0.33 500 interface Dialer 1 500 
ip nat inside source static esp 192.168.0.33 interface Dialer 1
La connessione VPN funziona bene, pero' sfortunamente funziona soltanto 
per il client in questione (192.168.0.33) e, se cambia indirizzo IP (i 
client prendono l'indirizzo IP dal router Cisco via DHCP), devo 
riconfigurare esplicitamente il router.
Quindi con l'IOS 12.2(13)T dovrebbe funzionare tutto in automatico?
Dove posso trovare maggiori info a proposito?
Posso anche avere piu' client in NAT dietro il router con diverse 
connessioni VPN a gateway IPsec remoti?
Indicativamente quanto costa e dove posso comprare tale versione 
dell'IOS per il mio router?
Grazie mille.


Forse sono leggermente andato fuori argomento, vediamo di fare un po' di
chiarezza.
Se vuoi usare un client ipsec standard sotto un router che fa nat,
rigorosamente utilizzando esp come protocollo di encapsulation, devi avere
un router con ios 12.2(13)T o superiore, questi sono 2 documenti dove se ne
parla:
http://www.cisco.com/en/US/products/sw/iosswrel/ps1839/products_feature_guide09186a0080110c03.html
http://www.cisco.com/en/US/products/sw/iosswrel/ps1839/products_feature_guide09186a00801541de.html
Se invece vuoi usare il client cisco con nat transparency, devi avere come
server dall'altra parte un router cisco con ios ipsec/3des 12.2(13)T o
superiore, il router locale non deve avere particolari requisiti, questo è
il documento che ne parla:
http://www.cisco.com/en/US/products/sw/iosswrel/ps1839/products_feature_guide09186a0080110bca.html
Nei due documenti trovi tutti i riferimenti che ti servono, in quest'altro
trovi un po' di teoria:
http://www.cisco.com/en/US/about/ac123/ac147/ac174/ac182/about_cisco_ipj_archive_article09186a00800c83ec.html
La differenza tra i due sistemi è spiegata molto bene nei documenti che ho
allegato, è chiaro che il secondo sistema è da preferire, ma non è sempre
applicabile dal momento che è nato per collegare dei client ad una rete, non
per creare tunnel permanenti tra due server o due reti.
Ciao,
        Tosh.

         Tosh.
Grazie.


Non ho mai avuto il piacere di mettere in pratica le configurazioni che ti
ho girato, quando mi toccherà tale incombenza me ne andrò alla ricerca di
documenti come quelli che ti ho girato e mi metterò a fare delle prove, cosa
che ti consiglio di fare.
Trattandosi di cisco non ho dubbi che il tutto funzioni, ma occorre perdere
un po del proprio tempo e metterci un briciolo di sale.
Uno dei documenti ha in fondo degli esempi di configurazione che dovrebbero
aiutarti molto.
Ciao,
        Tosh.

 con supporta NAT-T (il client che ho lo supporta).
bah.. imho se come dici resteranno pochi client e la necessita' di utilizzo
dela VPN e' sporadica allora puoi gestirti con la soluzione del passt-t,
altrimenti io batterei alla porta di chi gestisce il concentrator e gli
ricorderei che il mondo va avanti e chi resta indietro e' fottuto.. se non
altro potresti ottenere di attivare un tunnel gw-gw e ti dimentichi di sta
storiella del pass-t.
Saluti