Problema con una VPN dietro NAT

[bestadyo]

Buon giorno a tutti.

Stiamo cercando di configurare una VPN su un PIX 501. Il PIX si trova dietro il Router del provider (KPNQWEST), quindi dietro NAT del router stesso.
Abbiamo provato con il client VPN di Windows ma non c'è stata alcuna connessione. Gli errori di risposta erano sempre gli stessi: 781, 800, 792.
Abbiamo tentato anche con il VPN Cisco Client 4.6, ma nessun risultato se non un errore 412.

L'interfaccia esterna del PIX ha indirizzo: 10.0.0.2
L'interfaccia interna del PIX ha indirizzo: 192.168.1.1

La configurazione del PIX è la seguente:

Result of firewall command: "show runn"

: Saved
:
PIX Version 6.3(4)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password NBXDfRNE6rz.iSWR encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 192.168.1.32 Tassalar
name 192.168.1.13 Datty3
name 192.168.1.12 Datty2
name 192.168.1.11 Datty1
name 192.168.1.27 Cad7
name 192.168.1.26 Cad6
name 192.168.1.25 Cad5
name 192.168.1.24 Cad4
name 192.168.1.23 Cad3
name 192.168.1.22 Cad2
name 192.168.1.21 Cad1
name 192.168.1.5 Storagebk
name 192.168.1.4 Storage2
name 192.168.1.3 Storage1
name 192.168.1.2 Datty4
name 192.168.1.98 Linux_Stage
name 192.168.1.16 Datty6
name 192.168.1.15 Datty5
name 192.168.1.111 reallinuxbox
object-group network Cad
network-object Cad1 255.255.255.255
network-object Cad2 255.255.255.255
network-object Cad3 255.255.255.255
network-object Cad4 255.255.255.255
network-object Cad5 255.255.255.255
network-object Cad6 255.255.255.255
network-object Cad7 255.255.255.255
object-group network Segreteria
network-object Datty4 255.255.255.255
network-object Datty1 255.255.255.255
network-object Datty2 255.255.255.255
network-object Datty3 255.255.255.255
network-object Datty5 255.255.255.255
network-object Datty6 255.255.255.255
object-group network Server
network-object Storage1 255.255.255.255
network-object Storage2 255.255.255.255
network-object Storagebk 255.255.255.255
object-group network Tecnici
network-object Tassalar 255.255.255.255
network-object Linux_Stage 255.255.255.255
network-object reallinuxbox 255.255.255.255
object-group service Browsing tcp
port-object eq www
port-object eq ftp-data
port-object eq ftp
port-object eq https
object-group service Mail tcp
port-object eq pop3
port-object eq smtp
object-group service Service tcp
port-object eq telnet
port-object eq ssh
object-group service Utility tcp-udp
port-object eq echo
port-object eq domain
access-list inside_outbound_nat0_acl permit ip any 192.168.1.192 255.255.255.224
access-list outside_cryptomap_dyn_20 permit ip any 192.168.1.192 255.255.255.224
pager lines 24
logging on
logging trap notifications
logging host inside Linux_Stage
mtu outside 1500
mtu inside 1500
ip address outside 10.0.0.2 255.0.0.0
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool newpool 192.168.1.200-192.168.1.210
pdm location Datty4 255.255.255.255 inside
pdm location Storage1 255.255.255.255 inside
pdm location Storage2 255.255.255.255 inside
pdm location Storagebk 255.255.255.255 inside
pdm location Datty1 255.255.255.255 inside
pdm location Datty2 255.255.255.255 inside
pdm location Datty3 255.255.255.255 inside
pdm location Datty5 255.255.255.255 inside
pdm location Datty6 255.255.255.255 inside
pdm location Cad1 255.255.255.255 inside
pdm location Cad2 255.255.255.255 inside
pdm location Cad3 255.255.255.255 inside
pdm location Cad4 255.255.255.255 inside
pdm location Cad5 255.255.255.255 inside
pdm location Cad6 255.255.255.255 inside
pdm location Cad7 255.255.255.255 inside
pdm location Tassalar 255.255.255.255 inside
pdm location Linux_Stage 255.255.255.255 inside
pdm location reallinuxbox 255.255.255.255 inside
pdm location 192.168.1.192 255.255.255.224 outside
pdm location 192.168.1.200 255.255.255.254 outside
pdm location 192.168.1.220 255.255.255.254 inside
pdm location 10.0.0.1 255.255.255.255 outside
pdm group Cad inside
pdm group Segreteria inside
pdm group Server inside
pdm group Tecnici inside
pdm logging notifications 512
pdm history enable
arp timeout 14400
global (outside) 1 10.0.0.10-10.0.0.30
global (outside) 1 10.0.0.31
nat (inside) 0 access-list inside_outbound_nat0_acl
nat (inside) 1 192.168.1.0 255.255.255.0 0 0
route outside 0.0.0.0 0.0.0.0 10.0.0.1 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http Tassalar 255.255.255.255 inside
http Linux_Stage 255.255.255.255 inside
http Datty4 255.255.255.255 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
tftp-server inside Linux_Stage ciscopixconf
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-l2tp
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
isakmp enable outside
isakmp nat-traversal 20
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption 3des
isakmp policy 20 hash md5
isakmp policy 20 group 2
isakmp policy 20 lifetime 86400
vpngroup vpn2006 address-pool newpool
vpngroup vpn2006 dns-server 212.216.112.112
vpngroup vpn2006 idle-time 1800
vpngroup vpn2006 password ********
telnet timeout 5
ssh Tassalar 255.255.255.255 inside
ssh Linux_Stage 255.255.255.255 inside
ssh timeout 5
console timeout 0
vpdn enable outside
dhcpd dns 212.*.*.* 212.*.*.*
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
terminal width 80
Cryptochecksum:5c82e20e1df55d67725d9042375f6fa4
: end


Potreste aiutarci a capire dove sta l'errore di fondo?

Grazie.

[mascheroni]

La config del firewall sembra ok
Avete, sul router, rediretto il traffico proveniente dall'esterno, verso l'IP address dell'interfaccia outside del PIX?

(Tutto il traffico IP o solamente le porte e i protocolli IPSEC...)

[bestadyo]

Per prima cosa volevo ringraziarti per la risposta. Speravamo in una risposta più celere, anche perchè il problema non è stato risolto.
Per quello che riguarda il traffico verso interno, ti posso dire che è redirezionato (verso interf. esterna del pix) . Il problema è che noi non possiamo toccare il router (che appartiene al provider KPNQWEST ) per aprire o chiudere le porte, anche se loro hanno detto che non mettono filtri in mezzo.Cmq dal prossimo mese ci sarà soltanto Telecom, quindi sia la parte client sia la parte server saranno Telecom.
Da quello che ho letto su forum, ho visto che dietro i router Pirelli Business la vpn funziona. Abbiamo provato anche a collegare il firewall (cioè la parte server del vpn) ad Alice ed il client a KPNQWEST. Ma non funziona. Invece se colleghiamo il client vpn direttamente alla porta esterna del pix (con ip 10.x.x.x) il pix riconosce il client e il traffico ipsec.
Non sappiamo cosa fare! Proveremo anche con pptp ma non possiamo aprire o chiudere le porte sul router Pirelli: infatti, anche se l'interfaccia grafica del router (a cui si accede tramite http) sembra permettere l'apertura delle porte, in realtà non è concesso. Le porte rimangono cmq chiuse. Abbiamo chiamato il 191 per avere delucidazioni in merito, ma stiamo aspettando ancora una loro risposta da circa una settimana (come al solito dicono "Vi ricontattiamo noi" e poi si perdono). Se la configurazione è corretta (l'abbiamo fatto con il wizard vpn del pdm e abbiamo abilitato in piu il nat-trasversal) allora il problema sta nel router (se così si può chiamare il Pirelli Bussines di Alice, quello con il cerchio blu ). Sono sicuro che in tanti, collegati tramite Alice, hanno riscontrato questo problema con la vpn. Esiste qualche motivo valido per cui questa configurazione non funziona? C'è altro da abilitare o comunque da sapere?

[mascheroni]

Scusa per la lentezza nella risposta, ma mi sono iscritto al forum solo da pochi giorni....
Se connessi direttamente sull'int esterna del PIX la VPN funziona questo naturalmente conferma il fatto che la config è OK.
Il trasparent NAT l'avete giustamente attivato (e questo poteva essere un problema dato che il router fa NAT)

Il fatto che il provider vi abbia detto che non vi sono filtri applicati sul traffico in ingresso, non vuol dire che vi abbiano ruotato il traffico entrante sull'ip esterno del pix.
Potreste anche provare ad attivare ssh sull'int esterna del pix e provare a raggiungerla dall' esterno
per attivarlo è sufficente digitare in console:

ca zeroize rsa
ca generate rsa key 1024
ssh 0.0.0.0 0.0.0.0 outside
ca save all

Se dall'esterno con un client ssh (putty, per esempio che potete scaricare gratuitamente) vi connettete all' IP pubblico sulla porta 22, questo indica che, probabilmente, il traffico è stato rediretto.
In caso contrario il traffico non è stato rediretto

L'unica cosa è quella di richiedere al provider di creare un NAT 1 a 1 tra IP Pubblico e IP interfaccia esterna PIX

Ciao

[mascheroni]

Io solitamente per evitare problemi legati a router e nat sui quali non posso mettere mano, ai miei clienti consiglio sempre di acquistare un pool di IP pubblici (cosa che con Alice Business è possibile)
In questo modo la connettività PIX-ROUTER la mantengo su 2 IP Pubblici e quindi bypasso NAT/PAT del router e termino VPN e i servizi che mi servono direttamente sull'IP pubblico assegnato all'interfaccia esterna del PIX.
Naturalmente il costo dell'abbonamento aumenta ma si evitano problemi con i provider.

[bestadyo]

Venerdì è arrivato il tecnico di alice perchè abbiamo lasciato KPNQWEST e abbiamo presso solo alice, ma la rete non funzionava. Il motivo: i cambiamenti che noi abbiamo cercato di fare sull'interfaccia grafica del router alice non avevano nessun effetto.Come ho detto anche prima , quell'interfaccia è finta (oppure temporanea), praticamente l'effetto dei cambiamenti che fai durano soltanto fino all riavvio del router. In questo caso se stai riavviando il router o togli la scheda e la rimetti di nuovo, il router funzionerà con le impostazioni di default . Impostazioni che gli possono cambiare soltanto quelli di telecom. Perciò se ti serve un'altra classe di indirizzi interni devi parlare con loro. Con l'interfaccia grafica non fai niente.
Con ssh pensavo anche io di fare una prova e lo farò.
Per quello che riguarda il pool di indirizzi ip pubblici da prendere da telecom, penso che sia la cosa migliore da fare, solo ti prego di spiegarmi meglio cosa devo fare. Da quello che abbiamo capito prendiamo (diciamo 2) inidrizzi pubblici da telcom, l'interfaccia esterna del pix avrà uno dei due ip, e l'atro lo possiamo usare per esempio, per una dmz. Cmq, in questo modo il client vpn si può collegare diretamente all'interfaccia esterna del pix . Solo che volevo sapere cosa devo cambiare in questo caso nella conf di pix. Beh , prima l'indirizzo d'interfacia esterna, ma dopo? Penso che dovrei indirizzare il traffico normale sulla interfaccia interna del router invece il traficco vpn uscira direttamente fuori...!?
Un'altra cosa : come hai visto nella config il firewall facevano nat con un pool d'indirizzi e, nel caso questi finissero, faceva pat con un altro indirizzo. Da quando usciamo con alice, a parte il fatto che abbiamo dovuto cambiare l'arp timeout come abbiamo visto su questo forum, la rete interna esce fuori solo se il firewall fa pat (global outside 1 interface) . Con la vechhia conf non esce piu. Io proverò di nuovo, ma non so perche fa così. Potrebbe essere il doppio nat (del computer e del firewall), il problema? Dobbiamo disablitare uno fra quei due?. Cmq con il nuovo pat usciamo solo che ho paura di avere problemi con diversi servizi...

Ti ringrazio per le risposte e aspetto, se puoi aiutarmi, ulteriori novità.

[mascheroni]

Una domanda....
Hai qualche necessità per utilizzare un pool di ip per fare NAT?
Essendo IP privati e non pubblici fossi in te non utilizzerei un pool ma solo un singolo IP (se hai necessità che alcune macchine vengano viste dal router con un IP differente, puoi creare diversi nat e associarli a diversi global
per esempio

nat (inside) 2 192.168.1.10 255.255.255.255
global (outside) 2 10.0.0.10

In questo caso la macchina interna .10 verrà nattata nell'indirizzo 10.0.0.10

Questa soluzione solitamente viene utilizzata se hai più di 1 router in uscita e vuoi instradare con delle route map del traffico in uscita da una linea e altro traffico dall' altra... ma non penso sia il vostro caso.

Potresti usare un pool nel momento in cui hai n mila macchine dietro il PIX. N mila traslazioni contemporanee potrebbero saturare il numero max di entry nella nat table del firewall (ma sinceramente se avete un 501 non penso sia il vostro caso)

Consiglio quindi di Impostare un global unico con un singolo IP


Tornando a noi...
Telecom solitamente fornisce una classe /29 (per intenderci 255.255.255.248) di IP pubblici (sono un totale di 6 IP pubblici utili)
Uno va assegnato all'interfaccia ethernet del router (sul quale devi disattivare il NAT)
E uno sull'interfaccia esterna del PIX (riavvia entrambi i dispositivi dopo la modifica per azzerare le tabelle arp).

Dovrai poi modificare la stringa relativa al default gateway del PIX

route outside 0.0.0.0 0.0.0.0 x.x.x.x (dove x.x.x.x sarà l'IP pubblico che avrai precedentemente assegnato all'ethernet del tuo router)

Ne avrai poi a disposizione altri 4 che potrai utilizzare per altri servizi
Tieni presente che il PIX 501 NON ha DMZ
Per poter far vedere delle macchine (o servizi) all'esterno devi creare delle ACL sul PIX da applicare sull'interfaccia esterna (da dove arriva la richiesta di accesso, quindi) e creare le rispettive statiche tra la macchina interna e l'ip pubblico che deciderai di assegnarle.

Scusa se sono stato un po' prolisso ma spero di essere stato esaustivo
Ciao

[bestadyo]

Non riesco a connettermi con ssh dal esterno; il traffico non è stato rediretto(penso!? - errore: "network refused" con putty). Hai avuto ragione.Domani vedrò cosa succede e cosa c'è da fare. Acquistare un pool di IP pubblici sembra(è) la soluzione giusta. Ci sentiamo...grazie!
Ciao!

[mascheroni]

Nessun problema.
Auguri con il tuo provider!