Stampare da Remoto

[abbio90]

Bene ragazzi...ora ho mezzora e stavo iniziando ad impostare il tutto....sono arrivato su local address e remote address..

Su local adress devo impostare un'ip libero della mia rete interna??? e su remote???

[radiation74]

Sarebbe meglio che usi una subnet diversa. 

In local address metti l'ip che vuoi sia usato come gateway per i client VPN e in remote l'indirizzo che deve prendere il client. Così facendo devi specificare un IP univoco per ogni client e non concedere contemporaneità. 

Altrimenti puoi assegnare un nuovo pool di DHCP da usare per le VPN.

 

in questo caso (per chi mi conosce sto quasi per dire una bestemmia) potrebbe essere utile abilitare la VPN da quick-set in modo che tutti i parametri vengano creati automaticamente.

 

N.B. Se non hai grossa esperienza Consiglio vivissimo di fare un backup della configurazione prima di apportare modifiche! 

[Darlington]

Quote

Sono completamente d'accordo con te Darlington, ad eccezione della legge Pisanu  che a mio avviso era in buona parte corretta

 

La virtù sta sempre nel mezzo: non è tanto giusto fare reti aperte e zero tracciamenti, ma non è neanche giusto doversi registrare come internet provider se possiedi una pizzeria, chiedere i documenti, fotocopiarli, tenere le fotocopie, far firmare 6 moduli di cui 2 solo per la privacy, assegnare una "single login" con password registrata in un server che mantiene le credenziali e il log di tutte le attività per almeno cinque anni... al tuo cliente che è venuto lì per mangiare una pizza e ti chiede di collegarsi alla tua wifi perché vuole vedersi qualche video di gattini su youtube mentre aspetta che la sua pizza esca dal forno !

 

Capisci che nessuno si prende un simile onere solo per fornire un servizio accessorio ad un cliente, anche perché oltre alla pesante burocrazia implica costi non da poco (devi mettere su una infrastruttura, e dato che o fai l'esercente o fai il sysadmin, dovrai anche pagare un contratto di manutenzione in modo che qualcuno la tenga efficiente).

 

Infatti quando è stata abolita e sostituita con qualcosa di un pò più snello e "sensato", gli esercizi pubblici hanno iniziato a fornire wi-fi. Intanto però si sono accumulati i soliti anni di ritardo rispetto al resto del mondo.

 

Mi pare che si sia ripetuta la stessa cosa quando hanno tentato di supernormare e superblindare i vari "blog" che grazie alla moda nascevano come funghi: nella sua prima stesura, la proposta era qualcosa di semplicemente ridicolo: se io avessi voluto aprire un blog, senza scopo di lucro, in cui parlavo di ricami col tombolo, e aggiornarlo per passione una volta ogni quando ci avevo il tempo, avrei dovuto registrarmi come testata indipendente presso l'associazione di categoria degli autori della carta stampata.

 

Se metti norme troppo restrittive su un determinato settore, qualsiasi esso sia... finisci puntualmente solo col far venire un gran mal di testa al fruitore ultimo dello stesso servizio, in cambio di alcun beneficio tangibile.

[Livio Orsini]

Quote

Se metti norme troppo restrittive su un determinato settore, qualsiasi esso sia... finisci puntualmente solo col far venire un gran mal di testa al fruitore ultimo dello stesso servizio, in cambio di alcun beneficio tangibile.

 

E si deve aggiungere senza nessun reale contrasto alle azioni potenzialmente criminose.

[abbio90]

Non mi piacciono le cose automatiche..tranquillo, ho fatto un backup, poi nel caso non mi perdo a reimpostare i parametri per registrare nuovamente i link...piano piano, qualcosa la sto imparando

[abbio90]

Per esempio impostare per la rete 255.255.254.0
Ma dovrei farla impostare al gestore...come al solito non avendo le credenziali della cpe loro e nemmeno la password del pppoe devo passare per loro...

Poi devo far chiudere tutte le porte e aprire solo le tre citate nei messaggi precedenti verso il local server....

Il gateway della rete ora è 192.168.159.1

Mettendo la submask potrei impostare il gateway della VPN (Local port) : 192.168.160.1

 

Local port e remote Port devono appartenere alla stessa famiglia di IP???

[radiation74]

Perdonami ma come ti ho già detto non faresti prima a farti aprire tutte le porte verso un tuo IP (in modo da creare una DMZ o comunque mettere in bridge un IP) e poi li ci metti un tuo router? Almeno sei indipendente.

Non c'entra nulla la subnetmask; in remote e local address devi mettere due IP a tuo piacimento appartenenti alla stessa classe: es.

LOCAL ADDRESS: 10.2.1.1

REMOTE ADDRESS: 10.2.1.100

 

Alternativa NON metti nulla ma devi creare un nuovo pool nel DHCP che assegnerai poi all'utente (che in questo caso potrà fare più accessi) o al server VPN direttamente. In questo modo quando l'utente va in connection-estabilished gli viene rilasciato un IP che hai deciso nel pool.

In entrambi i casi ci sarà una rotta dinamica che consente di accedere a tutta la tua LAN.

Essendo un protocollo che lavora sul layer2 della pila OSI (in realtà è come se fosse anche sul layer5) non possono funzionare i servizi broadcast: quindi se vai a cercare una stampante in automatico di certo non trovarai quella di casa tua. Occorre inserire manualmente il suo IP.

[abbio90]

Tu dici di aprire tutte le porte verso l'ip gateway che è quello che ora ha la cpe del gestore in LAN e utilizzare il router per fare un NAT verso le porte che occorrono alla VPN??

[radiation74]

No no......

Il mio suggerimento non era direttamente legato al discorso VPN.

Era per slagarti dal provider sulla gestione della rete.

Quindi ti proponevo di mettere un TUO router al quale farai arrivare il cavo dell'antenna e verso il quale ti farai aprire tutte le porte.

In questo modo puoi gestirti in autonomia routing, firewalling, nat, dhcp ecc.

 

Altrimenti devi farti aprire le porte che ti ho indicato per la L2TP verso l'oggetto che ti farà da server VPN (la SXT se ben ricordo).

[abbio90]

Si, ben detto...anche perchè questa questione sta diventando rognosa....ogni volta devo sentire loro.....

Ho impostato gia un po di cose utilizzando questo filmato come guida

 

[abbio90]

Ovviamente la parte che ruguarda LAN WAN e DHCP LAN del filmato non la ho modificata nella sxt mia

[radiation74]

Ottimo. 

Verifica che funzioni dalla tua LAN . Se da lì funziona devi solo farti aprire le porte per entrare dalla WAN.

[abbio90]

Cade, evidentemente c'è qualcosa che ho sbagliato, ma ho ricontrollato il tutto...l'unica cosa diversa sono i nome utente e password + password IPsec.

Inoltre i vari IP ho usato una famiglia simile ma con lo stesso principio.

Poi su IPsec peer nella parte bassa non c'è la voce general police quindi di conseguenza non posso impostarla su "port ovverride"

[abbio90]

mi appare errore 789 tentativo di connessione non riuscita. il livello di sicurezza ha rilevato un errore di elaborazione durante le negoziazioni iniziali con il computer remoto

[radiation74]

Se lo stai facendo da un PC Windows lo strato di IPSec non c'entra in quanto non la usa (a meno che usi un client di terze parti che la prevede); è solo L2 puro.

 

Dai log Mikrotik cosa vedi? 

[abbio90]

Non mi da niente inerente ad logged via vpn..... Ho seguito tutto il filmato...anche la parte dove fa l'accesso via lan alla vpn da windows.

Una info che mi sfuggiva...su ipv4 della vpn devo mettere un'ip libero della mia lan o l'ip del gateway??'

[abbio90]

se vado su interface non vedo traffico sulla vpn nemmeno quando tento la connessione da windows

[radiation74]

Se dai log non vedi nulla vuol dire che nemmeno ci arrivi........ergo direi che hai qualche regola di firewall attiva (cosa possibilissima se non hai cancellato la configurazione quando hai fatto il primo setup).

Non so a che IP ti riferisci......ma come ti ho già spiegato o assegni un nuovo pool dal dhcp, oppure crei una nuova calsse da usare solo per la VPN.

[abbio90]

Ho creato una nuova classe infatti per la VPN su IP pool.

Su IP firewall, filter rules ho le porte 1701, 4500 e 500 udp impostate come input.

Su Nat rule ho IP 10.10.246.0/24 su masquerade. tra cui è la famiglia stessa impostata su pool come 10.10.246.1 -10.10.246.254

Su service porte ho le porte che già c'erano prima di default.

Il resto è in bianco

 

[abbio90]

mi riferisco al menu della vpn windows. su proprietà, rete, mi appare protocollo ipv4 come potrebbe essere nella scheda di rete...ma mi da un solo campo IP + i DNS.

Quell'ip a chi fa riferimento?

[radiation74]

Sul firewall non devi creare proprio nulla; tra l'altro avendo creato una chain di input in quel modo non ha nessun senso (salvo che poi hai fatto un post-routing, ma non credo sia il tuo caso......) .

Tantomeno non devi inserie nulla come NAT...........se non il masquerade della sola VPN (e nel tuo caso non sono nemmeno certo che serva......ma comqunque giusto o sbagliato questo passaggio al massimo non navighi sulla tua LAN ma la VPN si deve connettere).

 

Ma di che versione Windows stai parlando? Nella creazipne del client da Windows7 in su viene chiesto solo il tipo di VPN : Microsoft, il protocollo (lascia AUTO oppure specifica L2TP) e poi ovviamente qual'è l'host (il tuo IP pubblico) e user/password.

[abbio90]

Io ho seguito il filmato del video...non ho potuto ancora far aprire le porte verso un router perché non ho avuto tempo....io ho seguito il filmato....nel senso che ho ignorato la parte lan wan del filmato...premetto che non ho regole dei routing nella mia cpe..le tue ultime frasi accedendo da rete esterna ovviamente...ovviamente prima devo anche far aprire le porte...vediamo questo giorni come pianificare la cosa...magari domani matti le dedico mezz'ora e vediamo cosa ne esce

Sistema operativo Windows 7 ma il cliente che poi utilizzerò da remoto sarà un pc con win 8 e lo smartphone

[radiation74]

Ok ma intanto la prova la puoi fare benissimo in LAN puntando l'IP della tua SXT.

Se si connette deve connettersi poi anche da remoto (se da remoto non si conette è colpa delle porte).

Se non si connette nemmeno in LAN devi rivedere la configurazione. Il filmato non l'ho visto ma poni attenzione che generalmente con Mikrotik si hanno sempre 2-3 strade per arrivare alla soluzione. 

Se poi nel filmato l'oggetto in questione fa routing potrebbero cambiare alcune cose. 

[abbio90]

Ho eliminato firewall input e ora dai log vedo i tentativi di connessione

salta fuori errore ipsec.

fase negoziazione fallita

[radiation74]

In IPSec hai qualche regola? 

Stai usando un device iOS oppure PC Windows?