Vpn zywall 2 plus con due adsl nella stessa lan

[high_speed]

Originariamente inviato da nuovoUtente86

se come penso (mi para che il ping sull' interfaccia wan del firewall funzioni) potrebbe (ma non è detto che sia cosi) bastare aggiungere sul client la rotta
route add 192.168.1.0 mask 255.255.255.0 indirizzo_del_firewall
a patto che il firewall sia in grado di arrivare alla rete 192.168.1.0

non va il ping al 192.168.2.235...... che sarebbe la wan del firewall... e non va il comando

ma il firewall deve essere impostato come router o come bridge??

[nuovoUtente86]

attualmente com' è settato?

[high_speed]

Originariamente inviato da nuovoUtente86

attualmente com' è settato?

come router...

e come isp parameters for internet access nella pagina wan encapsulation ethernet e service type standard

in teoria sevho già in lan un altro router dovrei metterlo come bridge il firewall e impostare come suo ip

192.168.1.235
255.255.255.0
192.168.1.1

cosi lui punterà al router no?

però poi non so se gestisce ancora la vpn

[high_speed]

Cioè in definitiva io ora ho capito più o meno che la vpn va...quello che manca è:


che il client remoto possa accedere al server.
e che abbia come gateway il router 192.168.1.1


le sto provando tutte....

[high_speed]

Ho pensato un'altra cosa... e se al serverino interno alla lan mettessi un'altra sk di rete con ip ad esempio 192.168.1.151 quindi un num in piu rispetto al 192.168.1.150 il suo altro ip e come gateway 192.168.1.235 potrebbe funzionare? cioè poi dal client riuscirei a collegarmi e poi il serverino avrebbe il gateway all'1 per quand occorre... il problema è dire al client che il gateway è il 192.168.1.1


nessuno sa aiutarmi? mi sono letto il manuale del firewall ma non ho trovato nulla..nessuno sa dirmi come muovermi aiutooooo

ho provato a fare una static route sul fw

192.168.10.0 255.255.255.0 su 192.168.1.1

ma non va piu nulla poi


altra idea, sul serverino interno ho ip statico 192.168.1.150 se io mettessi come gateway primario 192.168.1.1 e secondario 192.168.1.235 nelle impostazioni di xp? oppure faccio una route statica dal serverino al 192.168.1.235??
potrebbe funzionare?

cioè poi il server sa che deve uscire sul 192.168.1.1?

[nuovoUtente86]

192.168.10.0 255.255.255.0 su 192.168.1.1

questo tipo di route non ti serve, ed infatti non funziona, perchè il firewall fa da NAT (almeno cosi sembra) quindi fa presentare tutti sulla lan con il proprio Ip.

[high_speed]

Originariamente inviato da nuovoUtente86

questo tipo di route non ti serve, ed infatti non funziona, perchè il firewall fa da NAT (almeno cosi sembra) quindi fa presentare tutti sulla lan con il proprio Ip.

Si la nat sembra farla...non vene nessuno in lan ma se ai pc metto il 192.168.1.235 come gateway va tutto bene!!!

Come mi consigli di procedere? sono due giorni che ci sto sbattendo la testa

Al client non riesco a impostare il 192.168.1.1 come gateway

E al serverino dovrei impostare anche il gateway 192.168.1.235 oltre al 1.1 per poterlo vedere dal client

Perchè cmq ora sto capendo quello che serve, in pratica il pc client remoto si deve collegare al serverino lavorare con un software client server per creare delle schede poi però per certificare queste schede deve farlo attraverso internet ma non la sua locale ma quella che offre il 192.168.1.1


dici che è una cosa fattibile oppure inizio a pensare a qualcosa tipo desktop remoto su di un pc in lan oppure qualcosa tipo hamachi?

cavolo mi sembra cosi vicina la soluzione

[nuovoUtente86]

Non avendo notizie certe sull' implementazione zyxel, per poter essere certo di come funziona avrei bisogno dello sniffing del traffico in 3 punti : client-router, router-wan_firewall e firewall-lan.
Quanto alla questione gateway, è un puro problema di lookup: lo si può raggiungere se si è sulla sua stessa subnet, altrimenti anche settando una route del tipo

192.168.1.1 attraverso qualcosa, vuol dire che il traffico diretto a 192.168.1.1 (e per estensione tutto l' altro traffico che fa match con il gateway) passerà per un router di frontiera, il quale prenderà autonomamente decisioni (logicamente potrebbe uscire per 192.168.1.1, ma anche no). Ecco perchè parlavo del fatto che il firewall deve a quel punto avere una regolare di forward specifica.

[high_speed]

Originariamente inviato da nuovoUtente86

Non avendo notizie certe sull' implementazione zyxel, per poter essere certo di come funziona avrei bisogno dello sniffing del traffico in 3 punti : client-router, router-wan_firewall e firewall-lan.
Quanto alla questione gateway, è un puro problema di lookup: lo si può raggiungere se si è sulla sua stessa subnet, altrimenti anche settando una route del tipo

192.168.1.1 attraverso qualcosa, vuol dire che il traffico diretto a 192.168.1.1 (e per estensione tutto l' altro traffico che fa match con il gateway) passerà per un router di frontiera, il quale prenderà autonomamente decisioni (logicamente potrebbe uscire per 192.168.1.1, ma anche no). Ecco perchè parlavo del fatto che il firewall deve a quel punto avere una regolare di forward specifica.

La configurazione è standard come quelle degli esempi sul sito zyxel cioè nulla di particolare con preshared key ho aperto le porte sul fw per la vpn e basta tutto qui dhcp off.

non saprei come farti avere le configurazioni...cioè intendi che devo nella nat nelle port forw. indicare che deve mandare determinate porte al 192.168.1.1?

non riesco aseguirti con la teoria mi servirebbe qualche esempio


per assurdo per ora mi basterebbe anche solo far raggiungere al client il serverino per poter almeno lavorare senza certificare...ma come fare allora con una sk di rete aggiuntiva o con una route?
se con la route mi faresti un esempio?
ma poi questa route non influisce con il resto della rete e coni l suo gateway 192.168.1.1?

[high_speed]

Potrebbe andar bene questa route statica?

route add 192.168.1.150 mask 255.255.255.0 192.168.1.235

per poter far vedere al seriverino il firewall? a me basta questo perche ieri provando a mettere il gateway 192.168.1.235 al serve sono riuscito a collegarmi dal client remoto

[Spectrum7glr]

magari ho capito male ma questa è la classica situazione che si risolve con un reverse SSH tunnel...visto poi che hai anche un altro accesso ad internet (è proprio una seconda linea giusto?) puoi anche eliminare il problema di dover avere accesibile dall'esterno il pc da cui vuoi avere accesso al servizio nella lan. certo, il tunnell ssh è la vpn dei poveri però è piuttosto semplice da mettere in piedi e, posto che lo scambio di chiavi sia fatto in sicurezza (e non c'è necessità di farlo altrimenti visto che una chiavetta usb non è un problema) è anche sicuro.

qui trovi qualche "hint" su ciò che puoi fare: http://www.marksanborn.net/howto/byp...se-ssh-tunnel/...cercando in rete trovi decine di link.

[nuovoUtente86]

Originariamente inviato da high_speed

Potrebbe andar bene questa route statica?

route add 192.168.1.150 mask 255.255.255.0 192.168.1.235

per poter far vedere al seriverino il firewall? a me basta questo perche ieri provando a mettere il gateway 192.168.1.235 al serve sono riuscito a collegarmi dal client remoto

questo lo dovrebbe fare già il firewall operando da proxy-arp, in ogni caso si può forzare con una route del genere

route add 192.168.1.150 mask 255.255.255.255 192.168.1.235

p.s. attenzione a come ho settato la maschera

[high_speed]

Originariamente inviato da nuovoUtente86

questo lo dovrebbe fare già il firewall operando da proxy-arp, in ogni caso si può forzare con una route del genere

route add 192.168.1.150 mask 255.255.255.255 192.168.1.235

p.s. attenzione a come ho settato la maschera

beh la mia maschera è 255.255.255.0 nella lan..... devo mettere 255.255.255.0 oppure 255.255.255.255 ??

eh invece non lo fa perche finchè non metto al pc come gateway il 192.168.1.235 ovvero l'indirizzo del firewall lui non lo vede...

ho provato a mettere il firewall come bridge anche come prova ma non si apre piu il tunnel poi... ora non ho la possibilità di andare in ufficio per rimodificare il tutto.. ma non penso ci siano problemi per la navigazione con l'altro router giusto? cioè al massimo per ora non posso solo aprire il tunnel io giusto?

[high_speed]

Originariamente inviato da Spectrum7glr

magari ho capito male ma questa è la classica situazione che si risolve con un reverse SSH tunnel...visto poi che hai anche un altro accesso ad internet (è proprio una seconda linea giusto?) puoi anche eliminare il problema di dover avere accesibile dall'esterno il pc da cui vuoi avere accesso al servizio nella lan. certo, il tunnell ssh è la vpn dei poveri però è piuttosto semplice da mettere in piedi e, posto che lo scambio di chiavi sia fatto in sicurezza (e non c'è necessità di farlo altrimenti visto che una chiavetta usb non è un problema) è anche sicuro.

qui trovi qualche "hint" su ciò che puoi fare: http://www.marksanborn.net/howto/byp...se-ssh-tunnel/...cercando in rete trovi decine di link.

Si si è una seconda linea alice adsl business metre la prima è una linea bloccata, in pratica io voglio collegarmi con un tunnel vpn attraverso la alice adsl avviare il mio software client server dal cient remoto al server in lan e poi con il client remoto devo poter uscire in internet attraverso il router bloccato in lan...

[nuovoUtente86]

Originariamente inviato da high_speed

beh la mia maschera è 255.255.255.0 nella lan..... devo mettere 255.255.255.0 oppure 255.255.255.255 ??

eh invece non lo fa perche finchè non metto al pc come gateway il 192.168.1.235 ovvero l'indirizzo del firewall lui non lo vede...

ho provato a mettere il firewall come bridge anche come prova ma non si apre piu il tunnel poi... ora non ho la possibilità di andare in ufficio per rimodificare il tutto.. ma non penso ci siano problemi per la navigazione con l'altro router giusto? cioè al massimo per ora non posso solo aprire il tunnel io giusto?

255.255.255.255 perchè deve prendere solo quell' Ip e non tutti quelli della rete. Ovviamente in bridge non può funzionare, perchè diventa trasparente il firewall.

[nuovoUtente86]

Originariamente inviato da high_speed

beh la mia maschera è 255.255.255.0 nella lan..... devo mettere 255.255.255.0 oppure 255.255.255.255 ??

eh invece non lo fa perche finchè non metto al pc come gateway il 192.168.1.235 ovvero l'indirizzo del firewall lui non lo vede...

ho provato a mettere il firewall come bridge anche come prova ma non si apre piu il tunnel poi... ora non ho la possibilità di andare in ufficio per rimodificare il tutto.. ma non penso ci siano problemi per la navigazione con l'altro router giusto? cioè al massimo per ora non posso solo aprire il tunnel io giusto?

255.255.255.255 perchp deve prendere solo quell' ip e non tutti quelli della rete.
Ovviamente settato in bridge non può funzionare, perchè il firewall diventa trasparente.

[high_speed]

Ok ok beh domani andrò e lo rimetterò!!! comunque ora sto valutando anche un'altra cosa, potrei mettere una route ad pc in ufficio che mi punta al 192.168.1.235 e poi da casa mi collegherei in desktop remoto cosi da evitare salti di rete con conseguente perdita di dati tra client e server, penso che facendo cosi sia la cosa più sicura e veloce, potrei benissimo farlo con quei sw in rete di desktop remoto ma penso che passare attraverso un tunnel vpn sia molto più sicuro cosa ne pensi?

[Spectrum7glr]

Originariamente inviato da high_speed

Si si è una seconda linea alice adsl business metre la prima è una linea bloccata, in pratica io voglio collegarmi con un tunnel vpn attraverso la alice adsl avviare il mio software client server dal cient remoto al server in lan e poi con il client remoto devo poter uscire in internet attraverso il router bloccato in lan...

allora se hai un mulettino anche da 30E in grado di far girare una debian minimale (anche live da USB con avvio da CD) o una distro linux magari meno ostica ma altrettanto parca di richieste (tipo puppylinux) puoi seguire la strada che ti ho indicato andando di reverse ssh tunnel.

praticamente devi avere un server SSH in esecuzione sul mulettino dietro la linea su cui hai pieno controllo (ovviamente serve un port forwarding e l'abbonamento gratuito ad un servizio di dyndns: ma qui da quello che capisco sei libero di farlo) e quindi con putty o similari creare due tunnell:
1)dal server cui vuoi avere accesso crei un tunnell di tipo reverse andando a "remotare" sul mulettino la porta cui vuoi avere accesso da fuori rete
2)dal client che usi per connetterti crei un tunnell locale e di fatto metti la porta reamotata al punto uno in ascolto su una porta locale del tuo client

vuoi remotare e proteggere l'accesso RDP e collegarti col remote desktop di windows in un tunnell criptato? benissimo fai l'operazione sulla porta 3389...vuoi VNC? lo fai sulla 5900...vuoi un server web? lo fai sulla 80 etc etc.

la connessione è criptata e sicura...se poi le chiavi le scambi tra i sistemi prima di creare il tunnel (usando una chiavetta usb) sei anche tranquillo ad inziare la connessione anche da reti su cui non hai controllo diretto (es. da un internet cafè o da una area wifi pubblica). Poi, con 2 righe modificate sul demone sshd, hai anche il vantaggio indiretto di avere a disposizione un server proxy socks personale per bypassare qualsiasi blocco imposto alla navigazione quando ti trovi a navigare da reti che hanno una politica di accesso a siti piuttosto restrittiva.

Ti asssicuro che è più difficile a dirsi che a farsi: di fatto sul mulettino devi solo essere in grado di installare il server SSH (una volta installato praticamente dovrebbe funzionare già out of the box) mentre sul server a cui vuoi avere accesso e sul client che utilizzi per connetterti bastano 2 click su un tool grafico come putty. E' come avere un servizio hanamichi o go to my pc fai da te...con in più la possibilità di remotare qualsiasi porta ti venga in mente.

[high_speed]

Grazie per le info!! beh questa è una cosa che proverò a casa di sicuro...però diciamo che li hanno poco spazio e verrebbe un po poco pratico come lavoro, penso che proverò l'ultima cosa con due route e se poi ho problemi resterò con il desktop remoto perchè poi ho notato perdite di dati se il client si scollega al server e quindi un collegamento diretto mi sembra rischioso, per questo visto che ho già la vpn pronta la utilizzerei come tunne per il desktop remoto!!!

[high_speed]

Una domanda, ho cercato e letto qualcosa in rete su questa static route, ma in poche parole a cosa serve? cioè io non ho ancora avuto modo di testare le modifiche però tipo se al server in lan metto come gateway il 192.168.1.1 e static route 192.168.1.235 cosa succede che continua a uscire con l'1 ma vede anche il 235? non capisco...