[es] - Cisco VPN veza sa Checkpoint-om

pereubu
admin, Pancevo

Član broj: 194051
Poruke: 104
*.static.isp.telekom.rs.

+1 Profil

^{04.06.2009. u 13:03 - pre 181 meseci}

Imam konekciju Cisca 2801 sa CheckPoint firewall-om gde su:

Udaljena tunnel endpoint adresa: 201.56.128.73
Moja tunnel endpoint adresa: 62.100.68.170
Moj encryption domain (adrese rutovane u taj tunel): Host 62.100.68.171
Udaljen encryption domain (to su adrese iz njegovog tunnel endpoint): 201.56.129.192/27
...

Dozvoljena konektivnost:

Source: 62.10068.171
Destination: 201.56.129.239 (translacija ka adresi 10.156.80.131)
Destinacija: ICMP Echo request, TCP 22 (ssh), TCP 9314)’’

Ja imam Cisco koji ima sledece:
...
crypto map CRYPTO 20 ipsec-isakmp
set peer 201.56.128.73
set transform-set TELCOM
set pfs group2
match address 108
...
Crypto mapa access liste ima samo jednu instrukciju i ta je:
...
access-list 108 permit ip host 62.10068.171 201.56.129.192 0.0.0.63 (crypto map acl list)

Javna adresa mog komunikacijskog servera je 62.100.68.171. Sada ovo radi ali ima jedan nedostatak,a tsaj je da mi je javna adresa na internetu.
Zbog toga dodajem u moj ruter sledecu komandu, kojom natujem, ovu javnu adresu u privatnu.

ip nat inside source static 192.168.0.24 62.100.68.171

gde je 192.168.0.24 privatna adresa mog akomunikacijskog servera. Naravno skinem i javnu adresu sa servera.

E sada moja aplikacioni server ne radi iako ima njegov sa ako unesem komandu sh crypto isakmp sa. Ali sistem ne radi kao da je u pitanju to da se ne generise
"interesting traffic". Mislim da je to usled usled toga sto sam promenio crypto mapu?

Sada pokusavam i da shvatim kako radi Nat za VPN konekciju, i da li trebam da menjam crypto map acl listu? Po meni a nije mi bas najasniji taj link kada se obavlja nat a kada se obavlja natovanje?

http://www.cisco.com/en/US/tec...ech_note09186a0080133ddd.shtml

Da li sam propustio nesto sustinski? I da li treba da menjam crypto map acl-istu?

_{[Ovu poruku je menjao pereubu dana 05.06.2009. u 10:11 GMT+1]}

_{[Ovu poruku je menjao pereubu dana 05.06.2009. u 14:32 GMT+1]}

Odgovor na temu

sudyxor
BGD

Član broj: 3535
Poruke: 126
*.datanet.yu.

+8 Profil

Re: Cisco VPN veza sa Checkpoint-om

^{05.06.2009. u 13:04 - pre 181 meseci}

Proveri da li imaš rutu (statičku) na Checkpoint fw-u, jer sada do njega dolazi adresa (kad se dekriptuje) sa 192.168.0.24, pa možda ne zna gde da je izrutira (imaš sa, ali ne i saobraćaj). Takodje, da nisi negde promašio adrese/maske (192.168.0.24 i 192.168.100.24 ?)

Justice for Calimero and cracker for Poly

Odgovor na temu

pereubu
admin, Pancevo

Član broj: 194051
Poruke: 104
*.static.isp.telekom.rs.

+1 Profil

Re: Cisco VPN veza sa Checkpoint-om

^{05.06.2009. u 14:11 - pre 181 meseci}

U vezi adresa pokusavam da se kamufliram, pa se pojavilo i 100 i 0. Sada sam to promenio.

Nisam bas u velikoj komunikaciji sa drugom stranom ali onakaze:

" Because we use private addresses in the range 10/8 for internal use, and these addresses frequently are in conflict with the internally used network addresses of our partners, we usually offer an exclusive range of addresses, namely public addresses somewhere around 201.56.129.* as destination addresses at our end. These addresses are never used for other purpose than for NAT inside of VPN tunnels. In addition these addresses are also not overlapping with the networks, where the tunnel endpoint addresses itself reside.

For you that simply means, that your systems ALWAYS talk to 201.56.129.* addresses at my end. It is my responsibility to translate such addresses to the internal addresses of our systems behind.

So never use e.g. the 10.236.60.101, but always the official address 201.56.129.239.

On the other hand, whenever an internal system at your side talks to 212.200.129.239, you have to ensure, that the source address is replaced with 212.200.68.171, so that my system can properly route back the packets to my VPN firewall and into the proper VPN tunnel.

There is only one tricky point at your end: As the tunnel endpoint address is identical to the encrypted destination address, your device must properly handle this situation."

Ono sto vidim sa sh ip nat translation mislim da je izlazna source adresa bas ta javna adresa.

Zapravo znam i pokusavam da budem suguran da su izlazna i ulazna putanja iste, i tu mozda ima mnogo uticaja cache itd.

Zapravo, vi kazete da je nat u redu, i ako su izlazna i ulazna putanja iste, i ako ja posle nata adresa javna adresa predstavljena kao source (input to output) onda je sve ok. Barem po:

http://www.cisco.com/en/US/tec...ech_note09186a0080133ddd.shtml

Mislim da ruter pretvara tu source adresu u javnu, barem sto se tice statickog nata samog Cisco rutera.

Odgovor na temu