VPN senza utilizzare P-t-P IP ....

[ncister]

Salve a tutti,
Ho due 837 collegati ad altrettante Multigroup di Telecom con IP statico e 8 IP aggiuntivi (di cui 5 usabili + un gateway) che, a differenza del passato, NON sono raggiungibili attraverso l'IP della punto-punto. A quanto pare questa è la nuova tendenza di Telecom cioè, quella di instradare da centrale solo gli IP pubblici aggiuntivi.
A livello di possibilità di effettuare il nat di servizi abbinati agli IP aggiuntivi questo non cambia nulla, mentre per consentire la navigazione ho sostituito le regole relative al nat dinamico come segue:
standard:

Codice: Seleziona tutto

ip nat inside source list 100 interface ATM0.1 overload
....
access-list 100 permit ip 192.168.1.0 0.0.0.255 any

modificata:

Codice: Seleziona tutto

ip nat pool NAV <IP GATEWAY> <IP GATEWAY> netmask 255.255.255.248
....
access-list 100 permit ip 192.168.1.0 0.0.0.255 any

in modo da "uscire" utilizzando l'IP aggiuntivo fornito da Telecom relativo al gateway.
Il tutto funziona perfettamente (le due sedi navigano ed espongono servizi) ma il problema che si introduce è quello delle VPN lan-to-lan e attraverso VPN client.
Infatti, tra le varie possibilità offerte da IOS per creare tunnel vpn, io ho sempre utilizzato le crypto map sia statiche (lan-to-lan) che dinamiche (Vpn client) che tuttavia vengono abbinate necessariamente ad un'interfaccia (nel mio caso, normalmente, la ATM0.1)

Codice: Seleziona tutto

crypto dynamic-map DYNMAP 10
 set transform-set MYSET 
....
interface ATM0.1
 crypto map MYMAP

Ora ho provato ad usare la solita configurazione ma, indicando lato client (VPN client) l'IP del gateway come riferimento per la connessione (quando invece, normalmente, indico l'IP della punto-punto...), sembra non funzionare ....
Non ho provato a creare una VPN tra i due router ma credo che il problema sia lo stesso .... credo cioè che sia necessario utilizzare gli IP della punto-punto ...
Qualcuno può darmi un mano ?
Grazie.

[emanuele.ciani]

puoi mettere un indirizzo ip in una interfaccia virtuale
loopback0
ip address xxx.xxx.xx.xx 255.255.255.248

poi quando fai la crypto map gli dici che deve terminare nella loopback 0

i particolare devi aggiungere i seguenti comandi
crypto map xxxxx local-address loopback0

tutti quì qundi se hai ip Punto a punto bloccato da Telecom utilizza uno degli indirizzi ip che ti hanno assegnato su un0interfaccia virtuale

ricorda che la crypto map va messa sempre sulla atm0.1 point-to-point

Ciao

[ncister]

Ciao Emanuele ....

Alla loopback ci ero nel frattempo arrivato ma ....

Codice: Seleziona tutto

crypto map xxxxx local-address loopback0

... mi mancava !!
l'ho appena aggiunta alla mia configurazione e funziona alla grande !
Mi hai risolto un gran problema.
Grazie 1000 !!