VPN CISCO con Autenticazione IAS

[simo_pessotto]

Buongiorno a tutti,
sono nuovo del forum ed inizio subito con il postare un problemino che mi sta facendo uscire pazzo :
Ho un PIX 515 con un'interface inside ed una DMZ.
Sull'inside ho configurato una Vpn RA con autenticazione tramite IAS sul dominio che chiamerò INTERNO...e fino a qui non ci sono difficoltà :

aaa-server INTERNO protocol radius
aaa-server INTERNO (inside) host 10.1.x.x
key abcdefghilmno
group-policy vpnINTERNO internal
group-policy vpnINTERNO attributes
dns-server value 10.1.x.x
vpn-idle-timeout 30
default-domain value INTERNO.it
tunnel-group vpnINTERNO type remote-access
tunnel-group vpnINTERNO general-attributes
address-pool NWINTERNO
authentication-server-group (outside) INTERNO
default-group-policy vpnINTERNO
tunnel-group vpnINTERNO ipsec-attributes
pre-shared-key *
ip local pool NWINTERNO 192.168.100.1-192.168.100.254

Ora vorrei configurare un secondo Server IAS sull'interfaccia DMZ con un dominio a parte che chiamerò EXTRARETE e configurare quindi un secondo gruppo di regole sul firewall in modo che riconosca dove mandare le richieste LDAP per l'autenticazione tramite Cisco VPN Client.

Come posso fare per creare questa seconda tipologia di regole? Soprattutto è fattibile quello che vorrei fare?

Grazie a tutti e aspetto le vostre considerazioni

[zot]

Forse non ho capito bene quello che vuoi fare...ma basta configurare un altro gruppo Radius ed un altro tunnell-group a cui associare il nuovo gruppo Radius.

[simo_pessotto]

Innanzitutto grazie della risposta.
Conta che ho già provato ad impostare un secondo gruppo radius con secondo tunnel group, ma senza buon esito.
Sembra che non gli piaccia l'idea di autenticarsi su due Active Directory differenti su due domini differenti.
Non so come bypassare il problema.

Ciao

[zot]

Innanzitutto grazie della risposta.
Conta che ho già provato ad impostare un secondo gruppo radius con secondo tunnel group, ma senza buon esito.
Sembra che non gli piaccia l'idea di autenticarsi su due Active Directory differenti su due domini differenti.
Non so come bypassare il problema.

Ciao

Mahh dubito che il cisco si stia a preoccupare di quale active directory sia il Radius a cui si collega.... controlla bene i tunnel-group ""VPNGROUP" general-attributes e le interfacce residenti i Radius...Prova a dare la stessa chiave ai vari Server Radus.

[simo_pessotto]

Anche io ho pensato che non gliene potesse fregare nulla di che Active Directory usasse, ma il problema c'è...
Ora provo con la stessa chiave Radius...

Grazie

Ciao

Simone Angeloni
CCSP
CCNA

[zot]

Facci sapere che c'interessa!!