View Full Version : Vpn : verso Lan diversa da quella Aziendale
Buongiorno, ho questo problema, devo predisporre una VPN verso delle apparecchiature aziendali (PLC, inverter, ecc) che sono installati su una propria rete con indirizzi IP 172.16.38.xxx, diversi da quelli della mia rete LAN (192.168.0.xxx).
Premettendo che ho una connettività unica e un solo firewall Zywall Zyxell 35 (ip 192.168.0.254 subnet 255.255.255.0), ho provato a configurare la VPN ma quando provo ad attivarla da firewall mi da sempre errore.
Penso che il problema sia nel fatto che come local Network metto 172.16.38.xxx, che non è la mia rete sulla quale è configurato il firewall..., come si fa a fare in modo che solo tramite tale VPN siano raggiungibili gli indirizzi 172.16.38.xxx, senza poter cambiare le impostazioni di questi apparati di produzione, ma solo agendo sul mio firewall??
La VPN che ho creato è cosi' impostata:
Local network: 172.16.38.1 subnet 255.255.255.0
Remote network (ip privati del fornitore): 192.168.20.1 subnet 255.255.255.0
con i relativi indirizzi IP statici di connessione impostati nel gateway policy.
In attesa dei vs. preziosi consigli, vi ringrazio, come sempre.
zeMMeMMez
22-08-2016, 16:45
...
Grazie per la risposta , prima di tutto.
Chiedo scusa se non sono stato chiaro, provo a semplificare la situazione attuale:
-2 Lan in azienda collegate ai medesimi switch, senza gateway che le fa comunicare tra loro :
Lan1: 192.168.0.xxx subnet 255.255.255.0
Lan2: 172.16.38.xxx subnet 255.255.255.0
Devo creare una VPN in modo che il fornitore possa accedere alla rete Lan2, relativa ai suoi apparecchi.
Come devo configurare il Firewall Zyxell?
Grazie mille.
zeMMeMMez
24-08-2016, 08:50
...
chiccol83
24-08-2016, 22:12
non conosco il firewall zyxel..
ma da esterno se non li hai nattati o su IP pubblici nn entrerai mai da esterno..
se invece vuoi che entri devi fare una vpn tra te e il fornitore dando accesso solo alla rete 172...
non capisco quale sia il tuo scopo di fare la vpn tra le 2 reti
Inviato dal mio SM-G920F utilizzando Tapatalk
zeMMeMMez
25-08-2016, 07:09
...
chiccol83
25-08-2016, 09:07
credo sia questa la richiesta, ed a meno di non voler fare una regola per ogni singolo MAC address (direi a livello di mezzo suicidio) la strada meno devastante mi paiono due switch separati
si ma che apparato ha il fornitore poi,?
ha qualcosa x fare una vpn?
altrimenti metti un apparato su quella rete come getway di tutti gli apparati sotto e su di lui fai vpn nattando quelle porte dall IP esterno..
altra alternativa.. nn riesci ad avere altri io pubblici?
Inviato dal mio SM-G920F utilizzando Tapatalk
Buongiorno e grazie a tutti per le risposte, dalle quali provo a darvi qualche ulteriore indicazione:
- Il fornitore mi dice che puo' accedere alla VPN con qualsiasi client ed è sua espressa richiesta questo metodo di collegamento.
- confermo che a me non interessa che le reti 192 e 172 si vedano
- no problem a isolare la rete 172 su switch distinto, ma non so come gestire 2 LAN sullo Zywall 35, se è fattibile.
- IP statici: ne avrei un'altro relativo alla seconda connettività , ora usata come backup.
Spero che queste info vi aiutano a darmi la giusta strada da seguire.
grazie ancora.
Prova a vedere se sullo Zyxell è possibile configurare un IP alias (172.16.38.x) lato LAN. In questo modo crei il gateway per la seconda rete; se l'end point della VPN è sullo Zyxell, dovrebbe funzionarti tutto.
Si Stepvr, c'è la gestione degli IP ALIAS, quindi imposto come IP alias:
172.16.38.1 subnet 255.255.255.0
Questo non inficia niente sulle impostazioni del firewall esistenti, NAT, VPN (che sono solo relative a indirizzi della rete 192 con subnet 255.255.255.0), vero?
Premesso questo, è comunque necessario che isoli a livello di switch la rete 172 fisica o non importa?
Come devo impostare la VPN a questo punto?
grazie mille.
Una volta impostato l'IP alias, dovresti poter configurare sullo Zyxell più connessioni VPN collegandole a user specifici. La prima connessione (user1) riservata alla rete 192.168.0.x assegnando ai client VPN IP sulla stessa rete; la seconda connesione (user2) riservata al fornitore degli apparati PLC dove assegni al client VPN un indirizzo IP sulla rete 172.16.36.x.
Le regole sul firewall rimangono indipendenti e comunque se l'end point della VPN è lo Zyxell non dovresti aver bisogno di regole particolari essendo implicite nella configurazione della VPN.
Ciao, vi aggiorno sugli sviluppi: il TUNNEL ora è operativo tra la rete del fornitore e i loro apparati (quindi le gateway VPN Policy devono essere corrette, o sbaglio?):
, ma lui non riesce ad accedere ai suoi apparati (pingando la rete non vede i suoi IP), mentre io vedo regolarmente la sua LAN dell'ufficio.
Da cosa puo' dipendere???
Non abbiamo nessuno dei due fatto alcuna impostazione o regola sui rispettivi firewall.
grazie.
Sicuro dell'IP che viene assegnato al client VPN del fornitore? Dovrebbe trovarsi sulla rete 172.16.36.x senza conflitti.
Sicuro del network mask? Hai assegnato 255.255.255.0 ma essendo una rete 172.16.x.x chiamerebbe un network mask uguale a 255.240.0.0. Dipende da come sono impostati i parametri sugli apparati del fornitore.
Sicuro che il fornitore sia su una rete diversa da 172.16.36.x?
1) come faccio a far verificare con quale IP si presenta il client VPN ?? devo chiedere a lui?
2) la sua rete di apparati è 172.16.38.xxx subnet 255.255.255.0 ed è la stessa che ho configurato nelle policy VPN. Il suo gateway è il 172.16.38.1.
3) il fornitore (se ti è su riferisci alla rete LAN dell'ufficio da cui si collega) è 192.168.5.xxx subnet 255.255.255.0 (che ho cosi' configurato nello VPN GATEWAY POLICY, e visto che il tunnel si crea, dovrebbe essere ok, o sbaglio??
P.s. Evidenzio un dettaglio: la LAN del mio ufficio, quindi il mio gateway (che è poi il firewall stesso) sta su una rete 192.168.0.xxx, non so se questo ti è di aiuto.
P.s. l'IP alias sia che sia attivato che non, non cambia nulla.
Grazie mille per tutto!
L'IP del client lo decidi tu nella configurazione della VPN: un singolo IP se prevedi che non più di un client si può collegare all'end point oppure un pool di IP se i client sono più di uno. Se hai impostato correttamente l'IP alias per la rete 172.16.38.x, la configurazione della VPN sull'end point dovrebbe permetterti di scegliere su quale delle tue reti permettere la connessione: 192.168.0.x o 172.16.38.x.
Nel tuo caso la corretta scelta per il fornitore degli apparati PLC è la rete 172.16.38.x, quindi dovresti assegnare al suo client VPN un IP della rete 172.16.38.x; questo ti permette di non dover impostare magheggi strani tra regole di firewall o di routing.
Concettualmente ricorda che un client VPN entra a far parte della rete remota a cui si collega senza bisogno di altro e non servono policies della rete fisica del fornitore 192.168.5.x. L'unico requisito veramente indispensabile è che il network del client e quello remoto non coincidano.
Questo è quello che ho fatto fin dalla prima configurazione, gli ho abilitato un RANGE di indirizzi della sua rete 172.16.38.x come LOCAL LAN e come REMOTE LAN ho messo tutta la sua subnet 192.168.5.xxx.
IL Tunnel viene stabilito correttamente , ma lui non riesce a vedere gli apparati della sua LAN, mentre io vedo correttamente gli IP della sua rete 192.168.5.xxx .
Dove sto sbagliando??:muro:
zeMMeMMez
29-08-2016, 12:00
...
Aggiornamento, il fornitore ora vede tramite VPN tutti i suoi apparati sulla LAN (con un netscan), ma non puo' accedervi direttamente via software.
Ritiene che il problema è probabilmente relativo al GATEWAY impostato di default sui suoi apparati (172.16.38.1), pertanto mi chiederebbe di fare in modo che il suo getaway esca tramite la VPN ... (cosi' si evita di sistemarlo sui suoi apparati..:mad: )
Cosa devo configurare???
grazie mille.
zeMMeMMez
29-08-2016, 17:18
...
Aggiornamento, il fornitore ora vede tramite VPN tutti i suoi apparati sulla LAN (con un netscan), ma non puo' accedervi direttamente via software.
Ritiene che il problema è probabilmente relativo al GATEWAY impostato di default sui suoi apparati (172.16.38.1), pertanto mi chiederebbe di fare in modo che il suo getaway esca tramite la VPN ... (cosi' si evita di sistemarlo sui suoi apparati..:mad: )
Cosa devo configurare???
grazie mille.
La VPN serve esattamente a quello che chiede il fornitore; il traffico della rete 172.16.38.x viaggia già e solo attraverso il tunnel. Infatti col netscan li vede.
Non serve alcuna route statica ed e' il motivo per cui è stato inserito l'alias sullo Zywall 172.16.38.1.
1) se c'e' la possibilità, esegui un ping dallo Zywall verso la rete 172.16.38.x; deve risponderti
2) essendo lo Zywall più complesso degli altri, controlla che sul firewall non ci sia da inserire una regole di apertura di tutte le porte UDP e TCP (1-65535) per la rete 172.16.38.x; non deve essere fatto alcun NAT
3) la regola della rete remota 192.168.5.x va tolta; nessun traffico può arrivare sulla VPN da quella rete; da remoto può arrivare solo traffico per la 172.16.38.x e, per tua sicurezza, tutto il resto non deve passare.
La VPN serve esattamente a quello che chiede il fornitore; il traffico della rete 172.16.38.x viaggia già e solo attraverso il tunnel. Infatti col netscan li vede.
Non serve alcuna route statica ed e' il motivo per cui è stato inserito l'alias sullo Zywall 172.16.38.1.
A seguito di questa informazione, ho un dubbio che non abbia inserito male L'alias , io l'ho impostato cosi':
IP ADDRESS: 172.16.38.0
Subnet mask: 255.255.255.0
RIP Direction= NONE
RIP VERSION= RIP 1
va bene, o devo solo farlo sul singolo indirizzo 172.16.38.1 ??
zeMMeMMez
30-08-2016, 10:20
...
grazie zeMMeMMez, come dovrebbe essere quindi?
zeMMeMMez
30-08-2016, 14:19
...
Ciao, Premettendo che nel mio modello (vecchio Zywall 35) le porte LAN non sono impostabili separatamente, l'unica cosa per gestire 2 sottoreti diverse, come consigliato da Stepvr, è apparentemente tramite gli IP ALIAS che ho impostato come indicato, forse erroneamente?
Dato che il Tunnel VPN è attivo e funzionante, non capisco cosa dovrei fare in pratica per attuare la tua soluzione (quella con LAN SINGOLA quindi)..
grazie per l'aiuto
zeMMeMMez
30-08-2016, 16:57
...
Corretto il suggerimento di zeMMeMMez. L'IP alias deve essere 172.16.38.1 e la mask deve essere identica a quella impostata sugli apparati PLC.
Ora capisco perché non si i instradava il traffico, lo davo per già impostato dai post precedenti.
Grazie mille, adesso in effetti vedo regolarmente il router, per cui immagino che tutto funzioni (adesso contatto il fornitore e lo faccio verificare)..
Il problemino è che ora lui vede tutta la mia rete dell'ufficio, cosa che voglio evitare.
Che tipo di regola è corretto impostare sul firewall, una LAN to LAN con source tutta la subnet 172.16.38.xxx e destinazione 192.168.x.xxx (la mia lan uffici) dove seleziono tutte le porte e metto REJECT ?
O in altro modo??
Grazie, saluti.
zeMMeMMez
31-08-2016, 08:47
...
Ciao, il fornitore è riuscito a fare la verifica , ma purtroppo non funziona ancora.
mi sono trovato sui log del firewall questo alert:
No. Time Source IP Destination IP Note
1|2016-09-01 16:53:42 |192.168.5.190 |172.16.38.121 |ATTACK
ip spoofing - WAN ICMP (V to L, Echo)
End of Alert
Immagino sia un alert BLOCCANTE, anche se sono i Range che ho impostato nelle policy della VPN.
Come posso abilitare questo , mediante regole del firewall??
"V to L , echo", significa VPN to LAN??
Scusa, personalmente ho sempre fatto riferimento alla tipologia di VPN HOST to LAN. Francamente non riesco a capire perché stai creando col tuo fornitore di apparati PLC una tipologia di VPN LAN to LAN che si usa per connettere filiali o uffici remoti dell'azienda. Così facendo metti a repenaglio la sicurezza dela tua rete.
Se si tratta solo di assitenza remota è sufficiente costruire una VPN HOST to LAN; per fare questo basta che il fornitore configuri un qualsiasi PC per costruire la VPN e a quel punto hai risolto tutti i tuoi problemi senza dover diventare matto per bloccare traffico indesiderato.
Ok,concordo con il tuo consigli e su questo penso di poter intervenire e vincolare il fornitore a questo tipo di accesso PC to LAN, in tal caso, come devo cambiare la mia configurazione attuale della VPN ?
Grazie, saluti.
Non credo che tu debba modificare qualcosa.
Quando il tuo fornitore aprirà la VPN, il suo PC prenderà un IP della rete 172.16.38.x e si troverà direttamente in rete con i suoi apparati; non potrà generare traffico verso la tua rete aziendale (192.168.0.x) e non ci sarà neppure traffico della rete del fornitore (192.168.5.x). In ogni caso qualche regola di protezione sul firewall la metterei in base ai log di sicurezza dello Zywall che è meglio tener attivi fin quando non sei sicuro che tutto lavori a dovere.
L'accesso alla mia rete è iniziato dopo l'utilizzo dell'IP ALIAS.
E ora le policy VPN sono configurate come di seguito:
Remote LAN: 192.168.5.xxx subnet:255.255.255.0
Local Lan: range IP 172.16.38.20 - 172.16.38.200
il gateway suoi loro apparati è sempre il 172.16.38.1, che è l'indirizzo IP ALIAS che ho impostato sul mio zyxell.
Devo dire al fornitore che deve cambiare qualche sua configurazione??
Remote LAN: 192.168.5.xxx subnet:255.255.255.0
Vado a memoria che è una vita che non uso gli Zywall:
Remote LAN: subnet address - 0.0.0.0 subnet:0.0.0.0
vBulletin® v3.6.4, Copyright ©2000-2026, Jelsoft Enterprises Ltd.