vpn ipsec

[invman]

ciao a tutti, avrei bisogno di alcune delucidazioni in merito alle vpn basate su ipsec.

Ho un router Netgear FVS124G che può fare da server vpn ipsec e vorrei sapere se una volta stabilita la connessione con degli host è possibile che gli host remoti siano in grado di comunicare tra loro.
Mi spiego meglio:
http://www.hwupgrade.it/forum/attachment.php?attachmentid=66476&stc=1&d=1225321510

attualmente se uno gli host remoti si connettono tramite VPN riescono a comunicare con gli host che fanno parte della lan 192.168.0.0 (quella dietro al router netgear), tuttavia gli host remoti non riescono a comunicare tra loro.
Esempio: se host remoto 1 e host remoto 2 sono connessi in vpn al router netgear non riescono a comunicare tra di loro, mentre riescono a comunicare con un qualunque host nella lan 192.168.0.0

E' possibile fare in modo che invece possano parlarsi tra loro?
Inoltre ora gli host remoti vengono identificati da un nome host (impostazione FQDN), è possibile secondo i protocolli ipsec identificare gli host remoti tramite un ip privato, ad esempio della stessa lan 192.168.0.0?

grazie in anticipo

[marika43]

gli host che si connettono ad una vpn di fatto sono come dei pc in lan

quale software usi per il vpn client (host) ?

[invman]

uso il client software della netgear (prosafe vpn client).

Attualmente le vpn funzionano egregiamente ma non riesco a raggiungere in alcun modo i client remoti.... è forse dovuto al fatto che gli host non vengono identificati da un ip ma da un nome?

per esempio: se la rete si chiama myvpn, nelle impostazioni del client remote host 1 inserisco nella sezione my identity myvpn1.fvs_remote.com (con fvs_remote.com identifico il dominio) ma se provo a risolvere il nome myvpn1.fvs_remote.com da un qualsiasi host appartenente alla lan e usando come dns lo stesso router netgear non ci riesco.

[marika43]

...
per esempio: se la rete si chiama myvpn, nelle impostazioni del client remote host 1 inserisco nella sezione my identity myvpn1.fvs_remote.com (con fvs_remote.com identifico il dominio)
...
.

prova a sostituire nella configurazione del client1
myvpn1.fvs_remote.com --> myvpn11.fvs_remote.com

e nel client2
myvpn2.fvs_remote.com --> myvpn12.fvs_remote.com

[invman]

ok, proverò...
ma cosa cambia con quella che è la configurazione attuale?

[marika43]

nella sezione di configurazione del vpn client contenuta nel manuale utente del FVS124G

Under ID Type, select 'Domain Name'.
The value entered under Domain Name will be of the form '<name><XY>.fvs_remote.com', where each user must use a different variation on the Domain Name entered here. The <name>
is the policy name used in the FVS124G configuration. In this example, it is 'home'. X and Y
are an arbitrary pair of numbers chosen for each user.
Note: X may not be zero!

[invman]

Ho provato, ma in questo modo non funziona, funziona invece con la vecchia configurazione <policy_name><X>.fvs_remote.com .

Ti riporto i log della configurazione <policy_name><XY>.fvs_remote.com, ossia invmanweb12.fvs_remote2.com (ovviamente sul router ho impostato fvs_remote2.com laddove c'era fvs_remote.com generato dal wizard):

11-01: 15:25:30.406 My Connections\invmanweb - Attempting to resolve Hostname (invmanweb.no-ip.org)
11-01: 15:25:31.156
11-01: 15:25:31.156 My Connections\invmanweb - Initiating IKE Phase 1 (Hostname=<mio hostname no-ip.org>) (IP ADDR=<mio indirizzo ip>)
11-01: 15:25:31.468 My Connections\invmanweb - SENDING>>>> ISAKMP OAK AG (SA, KE, NON, ID, VID 6x)
11-01: 15:25:34.531 My Connections\invmanweb - RECEIVED<<< ISAKMP OAK AG (SA, KE, NON, ID, HASH, VID, NAT-D 2x, VID 2x)
11-01: 15:25:34.531 My Connections\invmanweb - Peer is NAT-T draft-02 capable
11-01: 15:25:34.531 My Connections\invmanweb - NAT is detected for Client and Peer
11-01: 15:25:34.531 My Connections\invmanweb - Floating to IKE non-500 port
11-01: 15:25:34.531 My Connections\invmanweb - Peer supports Dead Peer Detection Version 1.0
11-01: 15:25:34.531 My Connections\invmanweb - Dead Peer Detection enabled
11-01: 15:25:34.781 My Connections\invmanweb - Using cached address. (Hostname=<mio hostname no-ip.org>) (IP ADDR=<mio indirizzo ip>)
11-01: 15:25:34.781 My Connections\invmanweb - SENDING>>>> ISAKMP OAK AG *(HASH, NAT-D 2x, NOTIFY:STATUS_REPLAY_STATUS, NOTIFY:STATUS_INITIAL_CONTACT)
11-01: 15:25:34.781 My Connections\invmanweb - Established IKE SA
11-01: 15:25:34.781 MY COOKIE 1b fa 58 18 19 ed 55 c4
11-01: 15:25:34.781 HIS COOKIE ab 33 78 f8 3 f2 33 7b
11-01: 15:25:34.828
11-01: 15:25:34.828 My Connections\invmanweb - Initiating IKE Phase 2 with Client IDs (message id: BE32479C)
11-01: 15:25:34.828 My Connections\invmanweb - Initiator = IP ADDR=192.168.1.3, prot = 0 port = 0
11-01: 15:25:34.828 My Connections\invmanweb - Responder = IP SUBNET/MASK=192.168.0.0/255.255.255.0, prot = 0 port = 0
11-01: 15:25:34.828 My Connections\invmanweb - SENDING>>>> ISAKMP OAK QM *(HASH, SA, NON, ID 2x)
11-01: 15:25:50.468 My Connections\invmanweb - QM re-keying timed out. Retry count: 1
11-01: 15:25:50.468 My Connections\invmanweb - SENDING>>>> ISAKMP OAK QM *(Retransmission)
11-01: 15:26:05.468 My Connections\invmanweb - QM re-keying timed out. Retry count: 2
11-01: 15:26:05.468 My Connections\invmanweb - SENDING>>>> ISAKMP OAK QM *(Retransmission)
11-01: 15:26:20.468 My Connections\invmanweb - QM re-keying timed out. Retry count: 3
11-01: 15:26:20.468 My Connections\invmanweb - SENDING>>>> ISAKMP OAK QM *(Retransmission)
11-01: 15:26:35.468 My Connections\invmanweb - Exceeded 3 re-keying attempts (message id: BE32479C)
11-01: 15:26:35.468 My Connections\invmanweb - Disconnecting IKE SA negotiation
11-01: 15:26:35.484 My Connections\invmanweb - Deleting IKE SA (IP ADDR=<mio indirizzo ip>)
11-01: 15:26:35.484 MY COOKIE 1b fa 58 18 19 ed 55 c4
11-01: 15:26:35.484 HIS COOKIE ab 33 78 f8 3 f2 33 7b
11-01: 15:26:35.484 My Connections\invmanweb - SENDING>>>> ISAKMP OAK INFO *(HASH, DEL)

[marika43]

Ho provato, ma in questo modo non funziona, funziona invece con la vecchia configurazione <policy_name><X>.fvs_remote.com .



Era solo un tentativo di fare proprio quello che riportava il manuale:
"X and Y are an arbitrary pair of numbers chosen for each user "

se devi solo condividere/trasferire dei files tra 2 host puoi provare ad usare un server ftp....

[invman]

non si tratta solo di file (per quello infatti ho già pronto il server ftp :) )
ma proprio di connettività, ad esempio gaming online con collegamento diretto.
In pratica mi serve qualcosa simile ad hamaci ma che funzioni meglio tra utenti fastweb e non, in quanto ho 2 abbonamenti uno fastweb e uno tiscali.
(sottolineo che non intendo diventare provider di servizi strani per utenti fastweb :stordita: )