Halp VPN

[cris21]

Salve a tutti, sto cercando di con configurare una vpn tra un pc remoto e una rete che è connessa ad internet tramite router zyxel p-662h-d1 con 8 ip statici, il computer client si collega ad internet tramite modem 56k e soft vpn clien, ho seguito varie istruzioni scaricate qua e la ma nulla di fatto il pc client non si connette, premetto che per fare le varie prove ho disattivato il firewall del ruter, ma devo fare il nat su qualche particolare porta?

C'è qualquno che ne sa qualcosa???

[Harry_Callahan]

è da un anno che va avanti questa storia?
http://www.hwupgrade.it/forum/showthread.php?t=1572094

perchè non hai uppato il thread aperto 2 giorni fa?
http://www.hwupgrade.it/forum/showthread.php?t=1572094

[cris21]

Hai ragione, avevo fatto le stesse domande nel 2007 ma visto che non ero riuscito a farlo funzionare per problemi di tempo avevo accantonato la cosa, è da qualche giorno che nei tempi morti stavo provando a far funzionare sta maledetta vpn; comunque non era mia intensione disturbarti tanto, chiedevo solamente una mano, ma visto che mi sembri abbastanza seccato cercherò al trove, scusami di nuovo per il disturbo arrecato.....
Saluti...

[Harry_Callahan]

Originariamente inviato da cris21

ma visto che mi sembri abbastanza seccato cercherò al trove, scusami di nuovo per il disturbo arrecato.....
Saluti...

non è così, bastava un up sul thread di 2 giorni fa
se tutti facessero così, ci sarebbero mille thread in un mese

[marika43]

Originariamente inviato da cris21

Salve a tutti, sto cercando di con configurare una vpn tra un pc remoto e una rete che è connessa ad internet tramite router zyxel p-662h-d1 con 8 ip statici, il computer client si collega ad internet tramite modem 56k e soft vpn clien, ho seguito varie istruzioni scaricate qua e la ma nulla di fatto il pc client non si connette, premetto che per fare le varie prove ho disattivato il firewall del ruter, ma devo fare il nat su qualche particolare porta?

C'è qualquno che ne sa qualcosa???

quale client ipsec stai usando?

[cris21]

Ciao Marika43 e grazie per la risposta, sto usando Safenet SoftRemote 10.0.0...


P.S. chiedo di nuovo scusa a Harry Callahan ma non scrivo mai nei forum.. quindi faccio un po di macello non sapendo bene come funziona...

[cris21]

Originariamente inviato da marika43

quale client ipsec stai usando?

Ciao Marika43 e grazie per la risposta, sto usando Safenet SoftRemote 10.0.0...


P.S. chiedo di nuovo scusa a Harry Callahan ma non scrivo mai nei forum.. quindi faccio un po di macello non sapendo bene come funziona...

[marika43]

credo che per ricevere un eventuale aiuto dovresti descrivere meglio cosa hai fatto lato server per definire la VPN, come hai configurato il vpn client e quale tipo di errore e/o problema riscontri

[cris21]

Originariamente inviato da marika43

credo che per ricevere un eventuale aiuto dovresti descrivere meglio cosa hai fatto lato server per definire la VPN, come hai configurato il vpn client e quale tipo di errore e/o problema riscontri

Ok sul roter ho configurato una vpn cosi:

Name: Prova
IPSec Key Mode: IKE
Negotiation Mode: Main
Encapsulation Mode: Tunnel
DNS Sever (for IPSec VPN): 0.0.0.0

Local
Local Address Type: Subnet
IP Address start: 192.168.1.0
End/Subnet mask: 255.255.255.0

Remote
Remote Address Type: Single
IP Address start: 0.0.0.0
End/Subnet mask: 0.0.0.0

Address Information
Local ID Type: IP
Content: lasciato vuoto
My IP Address: *.*.*.* (uno dei miei 8 IP assegnati libero)
Peer ID Type: IP
Content: lasciato vuoto
Secure Gateway Address: lasciato vuoto

Security Protocol
VPN Protocol: ESP
Pre-Shared Hey: ********
Encryption Algorithm: DES
Authentication Algorithm: SHA1

Sul client stesi parametri, provando la connessione sui log del roter non vedo niente, invece i log del client mi danno:

1-26: 09:38:15.734 My Connections\Office - Initiating IKE Phase 1 (IP ADDR=x.x.x.x)
1-26: 09:38:15.734 My Connections\Office - SENDING>>>> ISAKMP OAK MM (SA, VID 2x)
1-26: 09:38:31.234 My Connections\Office - message not received! Retransmitting!
1-26: 09:38:31.234 My Connections\Office - SENDING>>>> ISAKMP OAK MM (Retransmission)
1-26: 09:38:46.234 My Connections\Office - message not received! Retransmitting!
1-26: 09:38:46.234 My Connections\Office - SENDING>>>> ISAKMP OAK MM (Retransmission)
1-26: 09:39:01.234 My Connections\Office - message not received! Retransmitting!
1-26: 09:39:01.234 My Connections\Office - SENDING>>>> ISAKMP OAK MM (Retransmission)
1-26: 09:39:16.234 My Connections\Office - Exceeded 3 IKE SA negotiation attempts

[hmetal]

Remote
Remote Address Type: Single
IP Address start: 0.0.0.0
End/Subnet mask: 0.0.0.0

una domanda:

la vpn la stai tirando su tra router-router o tra pc-router (che a occhio e dietro un router anche lui) ?

Sulla parte quotata hai 0.0.0.0 oppure li hai messi tu e li c'è un pubblico?

A occhio guardando i log non superi neanche la fase 1 (detta IKE-Initial Key Exchange) perche sembra che il peer remoto non risponda.

Dov'è che nella configurazione indichi il peer remoto (cioè il "server" a cui chiedi di aprire il tunnel)?

ciao

[cris21]

Originariamente inviato da hmetal

una domanda:

la vpn la stai tirando su tra router-router o tra pc-router (che a occhio e dietro un router anche lui) ?

Sulla parte quotata hai 0.0.0.0 oppure li hai messi tu e li c'è un pubblico?

A occhio guardando i log non superi neanche la fase 1 (detta IKE-Initial Key Exchange) perche sembra che il peer remoto non risponda.

Dov'è che nella configurazione indichi il peer remoto (cioè il "server" a cui chiedi di aprire il tunnel)?

ciao

Ciao e grazie per la risposta, allora io la vpn la devo creare tra la rete della mia ditta che si collega ad internet con un roter zyxel p-662h-d1 (configurazione che vedi sopra) e dispondo di 8 ip statici, e il mio pc portatile che si collega ad internet tramite modem 56k o UMTS; gli 0.0.0.0 li ho messi perche il portatile si connette con ip dinamico; dalla tua risposta deduco che va configurato qualcosa anche sul server? cosa che non ho fatto....

[hmetal]

dalla tua risposta deduco che va configurato qualcosa anche sul server? cosa che non ho fatto....

no no, allora.

la voce "ip address start" indica gli ip da assegnare al pc che si sta collegando da remoto. Quando tu apri un tunnel vpn con un firewall/router è praticamente come se attaccassi un cavo fisico sulla tua lan. Con quel parametro indichi al firewall/router che ip assegnare (privato, come se fossi in lan) ai pc cercano di collegarsi in vpn. Ti è chiaro?

Ad esempio:

se la tua rete è la 192.168.1.0/24 e hai occupato da 192.168.1.1 a 192.168.1.100, li inserisci tipo 192.168.1.150 255.255.255.0.
In questo modo i pc che si collegano in vpn avranno assegnato un ip privato della tua lan a partire da quell'ip li.
Spero sia chiaro questa cosa.

Allora direi che sul router, oltre a cambiare quel parametro (ip start address), puo andare bene

Sul pc invece devi configurare i protocolli di encryption in maniera IDENTICA a quella configurata sul router (Esp, Des) e inserisci la stessa presharedkey (okkio alle maiuscole).

L'ip remoto che configuri sul client deve essere l'ip pubblico assegnato al router che sta in lan della tua azienda, cioè uno degli 8 (che poi sono 5) ip pubblici che hai assegnato all'interfaccia wan del tuo router/firewall.

ciao

[cris21]

Originariamente inviato da hmetal

no no, allora.

la voce "ip address start" indica gli ip da assegnare al pc che si sta collegando da remoto. Quando tu apri un tunnel vpn con un firewall/router è praticamente come se attaccassi un cavo fisico sulla tua lan. Con quel parametro indichi al firewall/router che ip assegnare (privato, come se fossi in lan) ai pc cercano di collegarsi in vpn. Ti è chiaro?

Ad esempio:

se la tua rete è la 192.168.1.0/24 e hai occupato da 192.168.1.1 a 192.168.1.100, li inserisci tipo 192.168.1.150 255.255.255.0.
In questo modo i pc che si collegano in vpn avranno assegnato un ip privato della tua lan a partire da quell'ip li.
Spero sia chiaro questa cosa.

Allora direi che sul router, oltre a cambiare quel parametro (ip start address), puo andare bene

Sul pc invece devi configurare i protocolli di encryption in maniera IDENTICA a quella configurata sul router (Esp, Des) e inserisci la stessa presharedkey (okkio alle maiuscole).

L'ip remoto che configuri sul client deve essere l'ip pubblico assegnato al router che sta in lan della tua azienda, cioè uno degli 8 (che poi sono 5) ip pubblici che hai assegnato all'interfaccia wan del tuo router/firewall.

ciao

La voce IP Address start su local dovrebbe essere quella che viene assegnata al pc che si collega ma su remote credo che vada lascita a 0.0.0.0 visto che non è conosciuto?
poi come ip pubblico è quello del punto-punto o è uno dei ip con i quali esco in internet?

[hmetal]

La voce IP Address start su local dovrebbe essere quella che viene assegnata al pc che si collega ma su remote credo che vada lascita a 0.0.0.0 visto che non è conosciuto?

No, nel senso che tu devi dichiarare sul router le reti sulle quali poi verrà attivata la vpn (per motivi di routing). La local definisci la rete locale, sulla remote definisci che ip (che devono essere sulla stessa rete - o meglio questo non è del tutto vero ma prendila cosi per ora) verranno assegnati ai client quando si collegaranno in vpn.

Quello che forse non ti è chiaro è che un pc collegato in vpn, a prescindere che sia a 1 metro o a 1 milione di km, dovrà avere un ip della rete privata. Di fatto avrai 2 ip sul tuo pc:
- 1 pubblico sull'interfaccia wan (dinamico, dipende se ti colleghi col 56k o in umts)
- 1 privato, assegnato dal router remoto in vpn. Tu in rete lan ti presenterai con il privato assegnato, e tutto il resto per quanto ti riguarda (passaggio da pubblico a privato) è gestito automaticamente dalle rispettive parti e per te (e il tuo pc a livello applicazione) è completamente trasparente.

Per quanto riguarda il pubblico essendo una mobile vpn e non una site-to-site/branch office, a te interessa solo l'ip del router che gestisce la vpn che devi inserire nel client vpn.

Se mi dici dove scaricare il file con il client vpn e mi dai un ip pubblico falso tipo 80.80.80.80 (tanto per capire dove mettere il valore) ti configuro io e posto le schermate.

La parte server (cioè router) a okkio mi pare a posto.

ciao

[cris21]

Originariamente inviato da hmetal

No, nel senso che tu devi dichiarare sul router le reti sulle quali poi verrà attivata la vpn (per motivi di routing). La local definisci la rete locale, sulla remote definisci che ip (che devono essere sulla stessa rete - o meglio questo non è del tutto vero ma prendila cosi per ora) verranno assegnati ai client quando si collegaranno in vpn.

Quello che forse non ti è chiaro è che un pc collegato in vpn, a prescindere che sia a 1 metro o a 1 milione di km, dovrà avere un ip della rete privata. Di fatto avrai 2 ip sul tuo pc:
- 1 pubblico sull'interfaccia wan (dinamico, dipende se ti colleghi col 56k o in umts)
- 1 privato, assegnato dal router remoto in vpn. Tu in rete lan ti presenterai con il privato assegnato, e tutto il resto per quanto ti riguarda (passaggio da pubblico a privato) è gestito automaticamente dalle rispettive parti e per te (e il tuo pc a livello applicazione) è completamente trasparente.

Per quanto riguarda il pubblico essendo una mobile vpn e non una site-to-site/branch office, a te interessa solo l'ip del router che gestisce la vpn che devi inserire nel client vpn.

Se mi dici dove scaricare il file con il client vpn e mi dai un ip pubblico falso tipo 80.80.80.80 (tanto per capire dove mettere il valore) ti configuro io e posto le schermate.

La parte server (cioè router) a okkio mi pare a posto.

ciao

ok fino a qui ci sono, non riesco pero a capire quale indirizzo usare, allora ti spiego io ko:
-un IP del punto punto tipo *.*.*.254 -- 255.255.255.252 che è l'indirizzo messo lato wan del ruter
-una serie di IP statiti tipo *.*.*.57 -- 255.255.255.248 il *.*.*.57 è messo lato lan e ha un alias 192.168.1.1 che è il mio gateway interno

detto ciò che indirizzo devo dare alla VPN, poi è normale che sui log del router non vedo niente? sulla maschera di impostazione vpn lato router ci sono due spunte in alto una è nat traversal e l'altra è keep alive vanno spuntate?

P.S: non so dove farti scaricare il soft io lo tirato giu dal mulo

[hmetal]

-una serie di IP statiti tipo *.*.*.57 -- 255.255.255.248 il *.*.*.57 è messo lato lan e ha un alias 192.168.1.1 che è il mio gateway interno

se lato wan è il 57, allora sul pc devi mettere come server o come ip remoto o quello che è il 57 finale.

detto ciò che indirizzo devo dare alla VPN, poi è normale che sui log del router non vedo niente? sulla maschera di impostazione vpn lato router ci sono due spunte in alto una è nat traversal e l'altra è keep alive vanno spuntate?

- è normale perche a lui le richieste non arrivano proprio.
- la nat traversal nella maggior parte dei casi non serve per cui non abilitarla (è un po complesso spiegare a cosa serve...)
- I keep alive li puoi sia impostare sia no, fai conto che ogni tot secondi ti scade il tunnel e i keep alive ti mantengono up il tunnel anche se non fai traffico. Per cui vedi te.

ciao

[cris21]

Ti posso postare il software da qualche parte per vedere le maschere?

[hmetal]

famo prima in msn

[email protected]

oppure se vuoi proseguire sul forum posta le immagini usando i relativi tasti.