ipsec + nat-t
Tasslehoff Burrfoot
collegarmi alla rete di un cliente.
Purtroppo il cliente in questione non transige e non c'ￜ verso di
convincerlo della bontￜ di OpenVPN (che ￜ tanto comodo via tcp con
certificati... sigh...).
Il cliente ha giￜ una appliance vpn posta in DMZ con assegnato ip
pubblico sull'interfaccia esposta a web, lato mio invece la situazione ￜ
piￜ complessa.
La rete sta dietro un firewall iptables connesso su una interfaccia alla
rete interna (di cui ￜ il gateway per il web), l'altra interfaccia ￜ
connessa ad un router Cisco serie 17xx fornito dal provider (Fastweb)
sul quale non abbiamo alcun accesso ne possibilitￜ di controllo.
La connessione che abbiamo con Fastweb comprende un ip statico, che perￜ
non ￜ assegnato all'interfaccia fisica del nostro firewall, ma ￜ
assegnato a chissￜ quale router perso nel marasma della infrastruttura
Fastweb, in sostanza siamo dietro NAT.
Il server VPN che dovrei implementare si trova dentro la nostra lan
aziendale, se dovessi esporre qualche servizio tramite nat questo
verrebbe sostanzialmente nattato due volte, una sul nostro firewall e
una di default da Fastweb per essere esposto con il nostro ip pubblico.
Per capirci meglio ho fatto un piccolo schemino che potete trovare qui
--> http://www.pctunerup.com/up//results/_200910/20091017010059_vpn.png
Ora, da quanto ne so per far passare una VPN Ipsec via NAT si deve
piangere un po' a causa del protocollo ESP, ho letto qua e la che ￜ cmq
possibile tramite nat traversal.
Il problema ￜ farlo nel modo piￜ semplice e indolore.
Qualcuno sa se ￜ possibile implementare questa vpn usando Zeroshell o
simili e si ￜ trovato in situazioni simili?
Grazie :)
--
Tasslehoff Burrfoot
http://tasslehoff.burrfoot.it
------------------------
public PGP key block at
http://gioco.net/pgpkeys
------------------------
Ho visto oscuri universi spalancarsi
Dove neri pianeti ruotano senza meta...
Dove ruotano nell'orrore invisibile,
Privi di consapevolezza, splendore o nome...
Tasslehoff Burrfoot
aziendale ￜ ovviamente la 192.168.200.0/24 (non 192.168.0.0/24).
A scanso di equivoci ;)
Chino
> Ora, da quanto ne so per far passare una VPN Ipsec via NAT si deve
> piangere un po' a causa del protocollo ESP, ho letto qua e la che � cmq
> possibile tramite nat traversal.
> Il problema � farlo nel modo pi� semplice e indolore.
>
> Qualcuno sa se � possibile implementare questa vpn usando Zeroshell o
> simili e si � trovato in situazioni simili?
>
> Grazie :)
>
> --
Non ho capito bene qual � il problema: come hai detto tu stesso ti basta
permettere il NAT-T su OpenVPN.
Non conosco il software, ma credo si tratti di una piccola modifica al file
di configurazione, non c'� da fare granch�.
Stefano S.
> Non ho capito bene qual è il problema: come hai detto tu stesso ti basta
> permettere il NAT-T su OpenVPN.
openvpn non usa ipsec, quindi è praticamente immune ai problemi che hanno
introdotto l'uso del nat-t
ciao