Re: [FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet David Ponzone 
> 
> access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 101 permit ip 192.168.1.0 0.0.0.255 any
> access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 102 permit ip 192.168.2.0 0.0.0.255 any
> 

Ben non Coco!
Là, tu dis à ton Cisco de ne pas envoyer sur Dialer1 ce qui vient de 
192.168.1.0/24 et qui va vers 192.168.0.0/24
C'est l'inverse!

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet David Ponzone 
Je vois pas pourquoi mais y a un truc qui me turlupine: si tu as des tunnels 
entre ce routeur et l'autre, pourquoi tu fais du NAT sur les Dialer ? Tu peux 
pas passer en mode routé sans NAT ?

David Ponzone



> Le 1 juil. 2016 à 20:03, Sébastien 65 <sebastien...@live.fr> a écrit :
> 
> D'accord, je viens d'essayer une policy-routing mais maintenant je ne ping 
> même plus l'ip lan du routeur depuis le VPN
> 
> 
> interface FastEthernet0/0
> ip address 192.168.1.1 255.255.255.0
> ip policy route-map LAN_101_POLICY
> !
> interface FastEthernet0/1
> ip address 192.168.2.1 255.255.255.0
> ip policy route-map LAN_102_POLICY
> !
> ip nat inside source route-map ISP1_NAT interface Dialer1 overload
> ip nat inside source route-map ISP2_NAT interface Dialer2 overload
> 
> 
> route-map LAN_101_POLICY permit 10
> match ip address 101
> set interface Dialer1
> !
> route-map LAN_102_POLICY permit 10
> match ip address 102
> set interface Dialer2
> !
> route-map ISP1_NAT permit 10
> match ip address NAT_ACL
> match interface Dialer1
> !
> route-map ISP2_NAT permit 10
> match ip address NAT_ACL
> match interface Dialer2
> !
> 
> ip access-list standard NAT_ACL
> permit any
> 
> access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 101 permit ip 192.168.1.0 0.0.0.255 any
> access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 102 permit ip 192.168.2.0 0.0.0.255 any
> 
> 
> 
> De : frnog-requ...@frnog.org <frnog-requ...@frnog.org> de la part de David 
> Ponzone <david.ponz...@gmail.com>
> Envoyé : vendredi 1 juillet 2016 19:51:22
> À : Sébastien 65
> Cc : frnog-t...@frnog.org
> Objet : Re: [FRnOG] [TECH] ACL deny IPSEC Cisco
> 
> Avec ta conf, t’as du LB par paquet (par défaut je crois) entre les 2 Dialer.
> Pour router d’après la source, c’est policy-routing (ou segmentation en VRF).
> 
> David Ponzone  Direction Technique
> email: david.ponz...@ipeva.fr <mailto:david.ponz...@ipeva.fr>
> tel:  01 74 03 18 97
> gsm:   06 66 98 76 34
> 
> Service Client IPeva
> tel:  0811 46 26 26
> www.ipeva.fr<http://www.ipeva.fr> <blocked::http://www.ipeva.fr/>  -   
> www.ipeva-studio.com<http://www.ipeva-studio.com> 
> <blocked::http://www.ipeva-studio.com/>
> 
> Ce message et toutes les pièces jointes sont confidentiels et établis à 
> l'intention exclusive de ses destinataires. Toute utilisation ou diffusion 
> non autorisée est interdite. Tout message électronique est susceptible 
> d'altération. IPeva décline toute responsabilité au titre de ce message s'il 
> a été altéré, déformé ou falsifié. Si vous n'êtes pas destinataire de ce 
> message, merci de le détruire immédiatement et d'avertir l'expéditeur.
> 
> 
> 
> 
>> Le 1 juil. 2016 à 19:29, Sébastien 65 <sebastien...@live.fr> a écrit :
>> 
>> Je n'ai pas de load-balancing. Je veux que le LAN n°1 passe sur le Dialer1 
>> et le LAN n°2 passe sur le Dialer2.
>> 
>> Donc je n'ai pas besoin de policy-routing non ?
>> De : David Ponzone <david.ponz...@gmail.com <mailto:david.ponz...@gmail.com>>
>> Envoyé : vendredi 1 juillet 2016 19:27:00
>> À : Sébastien 65
>> Cc : frnog-t...@frnog.org <mailto:frnog-t...@frnog.org>
>> Objet : Re: [FRnOG] [TECH] ACL deny IPSEC Cisco
>> 
>> Je vois pas de policy-routing pour router le paquet sur le bon dialer par 
>> rapport à sa source.
>> Je sais pas trop comment le Cisco gère le load-balancing entre les 2 Dialer.
>> 
>> 
>> 
>>> Le 1 juil. 2016 à 19:23, Sébastien 65 <sebastien...@live.fr 
>>> <mailto:sebastien...@live.fr>> a écrit :
>>> 
>>> Bonsoir,
>>> 
>>> J'ai un routeur Cisco double ADSL avec deux dialers. Chaques dialers 
>>> montent une session vers un autre routeur X (A.B.C.D).
>>> 
>>> Le routeur Cisco ADSL a deux réseaux interne : 192.168.1.0/24 (utilisé par 
>>> dialer1) et 192.168.2.0/24 (utilisé par dialer2).
>>> 
>>> Depuis le routeur X (192.168.0.1/24) via le VPN j'arrive bien à ping l'IP 
>>> du routeur (192.168.1.1) mais pas celle d'un PC sur le réseau 
>>> (192.168.1.12).
>>> 
>>> Sur le débug je vois "IPSEC(sa_initiate): ACL = deny; sa request ignored", 
>>> je ne comprends pas quelle est cette ACL :(
>>> 
>>> Je précise que depuis le routeur 192.168.1.1 l'adresse 192.168.1.12 est 
>>> bien joignable.
>>> 
>>> crypto map MYMAP 1 ipsec-isakmp
>>> description RemoteSite0Link
>>> set peer A.B.C.D
&

RE: [FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet Sébastien 65 
D'accord, je viens d'essayer une policy-routing mais maintenant je ne ping même 
plus l'ip lan du routeur depuis le VPN


interface FastEthernet0/0
 ip address 192.168.1.1 255.255.255.0
 ip policy route-map LAN_101_POLICY
!
interface FastEthernet0/1
 ip address 192.168.2.1 255.255.255.0
 ip policy route-map LAN_102_POLICY
!
ip nat inside source route-map ISP1_NAT interface Dialer1 overload
ip nat inside source route-map ISP2_NAT interface Dialer2 overload


route-map LAN_101_POLICY permit 10
 match ip address 101
 set interface Dialer1
!
route-map LAN_102_POLICY permit 10
 match ip address 102
 set interface Dialer2
!
route-map ISP1_NAT permit 10
 match ip address NAT_ACL
 match interface Dialer1
!
route-map ISP2_NAT permit 10
 match ip address NAT_ACL
 match interface Dialer2
!

ip access-list standard NAT_ACL
 permit any

access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 102 permit ip 192.168.2.0 0.0.0.255 any



De : frnog-requ...@frnog.org <frnog-requ...@frnog.org> de la part de David 
Ponzone <david.ponz...@gmail.com>
Envoyé : vendredi 1 juillet 2016 19:51:22
À : Sébastien 65
Cc : frnog-t...@frnog.org
Objet : Re: [FRnOG] [TECH] ACL deny IPSEC Cisco

Avec ta conf, t’as du LB par paquet (par défaut je crois) entre les 2 Dialer.
Pour router d’après la source, c’est policy-routing (ou segmentation en VRF).

David Ponzone  Direction Technique
email: david.ponz...@ipeva.fr <mailto:david.ponz...@ipeva.fr>
tel:  01 74 03 18 97
gsm:   06 66 98 76 34

Service Client IPeva
tel:  0811 46 26 26
www.ipeva.fr<http://www.ipeva.fr> <blocked::http://www.ipeva.fr/>  -   
www.ipeva-studio.com<http://www.ipeva-studio.com> 
<blocked::http://www.ipeva-studio.com/>

Ce message et toutes les pièces jointes sont confidentiels et établis à 
l'intention exclusive de ses destinataires. Toute utilisation ou diffusion non 
autorisée est interdite. Tout message électronique est susceptible 
d'altération. IPeva décline toute responsabilité au titre de ce message s'il a 
été altéré, déformé ou falsifié. Si vous n'êtes pas destinataire de ce message, 
merci de le détruire immédiatement et d'avertir l'expéditeur.




> Le 1 juil. 2016 à 19:29, Sébastien 65 <sebastien...@live.fr> a écrit :
>
> Je n'ai pas de load-balancing. Je veux que le LAN n°1 passe sur le Dialer1 et 
> le LAN n°2 passe sur le Dialer2.
>
> Donc je n'ai pas besoin de policy-routing non ?
> De : David Ponzone <david.ponz...@gmail.com <mailto:david.ponz...@gmail.com>>
> Envoyé : vendredi 1 juillet 2016 19:27:00
> À : Sébastien 65
> Cc : frnog-t...@frnog.org <mailto:frnog-t...@frnog.org>
> Objet : Re: [FRnOG] [TECH] ACL deny IPSEC Cisco
>
> Je vois pas de policy-routing pour router le paquet sur le bon dialer par 
> rapport à sa source.
> Je sais pas trop comment le Cisco gère le load-balancing entre les 2 Dialer.
>
>
>
> > Le 1 juil. 2016 à 19:23, Sébastien 65 <sebastien...@live.fr 
> > <mailto:sebastien...@live.fr>> a écrit :
> >
> > Bonsoir,
> >
> > J'ai un routeur Cisco double ADSL avec deux dialers. Chaques dialers 
> > montent une session vers un autre routeur X (A.B.C.D).
> >
> > Le routeur Cisco ADSL a deux réseaux interne : 192.168.1.0/24 (utilisé par 
> > dialer1) et 192.168.2.0/24 (utilisé par dialer2).
> >
> > Depuis le routeur X (192.168.0.1/24) via le VPN j'arrive bien à ping l'IP 
> > du routeur (192.168.1.1) mais pas celle d'un PC sur le réseau 
> > (192.168.1.12).
> >
> > Sur le débug je vois "IPSEC(sa_initiate): ACL = deny; sa request ignored", 
> > je ne comprends pas quelle est cette ACL :(
> >
> > Je précise que depuis le routeur 192.168.1.1 l'adresse 192.168.1.12 est 
> > bien joignable.
> >
> > crypto map MYMAP 1 ipsec-isakmp
> > description RemoteSite0Link
> > set peer A.B.C.D
> > set transform-set vpnset
> > set pfs group5
> > match address listeVPN
> >
> > ip access-list extended listeVPN
> > permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> > permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> >
> > ip nat inside source list 101 interface Dialer1 overload
> > ip nat inside source list 102 interface Dialer2 overload
> >
> > ip route 0.0.0.0 0.0.0.0 Dialer2
> > ip route 0.0.0.0 0.0.0.0 Dialer1
> >
> > access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> > access-list 101 permit ip 192.168.1.0 0.0.0.255 any
> > access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> > access-list 102 permit ip 192.168.2.0 0.0.0.255 any
> >
> > C'est quoi le remède ? Merci :)
> >
> >
> > ---
> > Liste de diffusion du FRnOG
> > http://www.frnog.org/ <http://www.frnog.org/>

---
Liste de diffusion du FRnOG
http://www.frnog.org/

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet David Ponzone 
Avec ta conf, t’as du LB par paquet (par défaut je crois) entre les 2 Dialer.
Pour router d’après la source, c’est policy-routing (ou segmentation en VRF).

David Ponzone  Direction Technique
email: david.ponz...@ipeva.fr <mailto:david.ponz...@ipeva.fr>
tel:  01 74 03 18 97
gsm:   06 66 98 76 34

Service Client IPeva
tel:  0811 46 26 26
www.ipeva.fr <blocked::http://www.ipeva.fr/>  -   www.ipeva-studio.com 
<blocked::http://www.ipeva-studio.com/>

Ce message et toutes les pièces jointes sont confidentiels et établis à 
l'intention exclusive de ses destinataires. Toute utilisation ou diffusion non 
autorisée est interdite. Tout message électronique est susceptible 
d'altération. IPeva décline toute responsabilité au titre de ce message s'il a 
été altéré, déformé ou falsifié. Si vous n'êtes pas destinataire de ce message, 
merci de le détruire immédiatement et d'avertir l'expéditeur.




> Le 1 juil. 2016 à 19:29, Sébastien 65 <sebastien...@live.fr> a écrit :
> 
> Je n'ai pas de load-balancing. Je veux que le LAN n°1 passe sur le Dialer1 et 
> le LAN n°2 passe sur le Dialer2.
> 
> Donc je n'ai pas besoin de policy-routing non ?
> De : David Ponzone <david.ponz...@gmail.com <mailto:david.ponz...@gmail.com>>
> Envoyé : vendredi 1 juillet 2016 19:27:00
> À : Sébastien 65
> Cc : frnog-t...@frnog.org <mailto:frnog-t...@frnog.org>
> Objet : Re: [FRnOG] [TECH] ACL deny IPSEC Cisco
>  
> Je vois pas de policy-routing pour router le paquet sur le bon dialer par 
> rapport à sa source.
> Je sais pas trop comment le Cisco gère le load-balancing entre les 2 Dialer.
> 
> 
> 
> > Le 1 juil. 2016 à 19:23, Sébastien 65 <sebastien...@live.fr 
> > <mailto:sebastien...@live.fr>> a écrit :
> > 
> > Bonsoir,
> > 
> > J'ai un routeur Cisco double ADSL avec deux dialers. Chaques dialers 
> > montent une session vers un autre routeur X (A.B.C.D).
> > 
> > Le routeur Cisco ADSL a deux réseaux interne : 192.168.1.0/24 (utilisé par 
> > dialer1) et 192.168.2.0/24 (utilisé par dialer2).
> > 
> > Depuis le routeur X (192.168.0.1/24) via le VPN j'arrive bien à ping l'IP 
> > du routeur (192.168.1.1) mais pas celle d'un PC sur le réseau 
> > (192.168.1.12).
> > 
> > Sur le débug je vois "IPSEC(sa_initiate): ACL = deny; sa request ignored", 
> > je ne comprends pas quelle est cette ACL :(
> > 
> > Je précise que depuis le routeur 192.168.1.1 l'adresse 192.168.1.12 est 
> > bien joignable.
> > 
> > crypto map MYMAP 1 ipsec-isakmp
> > description RemoteSite0Link
> > set peer A.B.C.D
> > set transform-set vpnset
> > set pfs group5
> > match address listeVPN
> > 
> > ip access-list extended listeVPN
> > permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> > permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> > 
> > ip nat inside source list 101 interface Dialer1 overload
> > ip nat inside source list 102 interface Dialer2 overload
> > 
> > ip route 0.0.0.0 0.0.0.0 Dialer2
> > ip route 0.0.0.0 0.0.0.0 Dialer1
> > 
> > access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> > access-list 101 permit ip 192.168.1.0 0.0.0.255 any
> > access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> > access-list 102 permit ip 192.168.2.0 0.0.0.255 any
> > 
> > C'est quoi le remède ? Merci :)
> > 
> > 
> > ---
> > Liste de diffusion du FRnOG
> > http://www.frnog.org/ <http://www.frnog.org/>

---
Liste de diffusion du FRnOG
http://www.frnog.org/

RE: [FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet Sébastien 65 
Je n'ai pas de load-balancing. Je veux que le LAN n°1 passe sur le Dialer1 et 
le LAN n°2 passe sur le Dialer2.


Donc je n'ai pas besoin de policy-routing non ?


De : David Ponzone <david.ponz...@gmail.com>
Envoyé : vendredi 1 juillet 2016 19:27:00
À : Sébastien 65
Cc : frnog-t...@frnog.org
Objet : Re: [FRnOG] [TECH] ACL deny IPSEC Cisco

Je vois pas de policy-routing pour router le paquet sur le bon dialer par 
rapport à sa source.
Je sais pas trop comment le Cisco gère le load-balancing entre les 2 Dialer.



> Le 1 juil. 2016 à 19:23, Sébastien 65 <sebastien...@live.fr> a écrit :
>
> Bonsoir,
>
> J'ai un routeur Cisco double ADSL avec deux dialers. Chaques dialers montent 
> une session vers un autre routeur X (A.B.C.D).
>
> Le routeur Cisco ADSL a deux réseaux interne : 192.168.1.0/24 (utilisé par 
> dialer1) et 192.168.2.0/24 (utilisé par dialer2).
>
> Depuis le routeur X (192.168.0.1/24) via le VPN j'arrive bien à ping l'IP du 
> routeur (192.168.1.1) mais pas celle d'un PC sur le réseau (192.168.1.12).
>
> Sur le débug je vois "IPSEC(sa_initiate): ACL = deny; sa request ignored", je 
> ne comprends pas quelle est cette ACL :(
>
> Je précise que depuis le routeur 192.168.1.1 l'adresse 192.168.1.12 est bien 
> joignable.
>
> crypto map MYMAP 1 ipsec-isakmp
> description RemoteSite0Link
> set peer A.B.C.D
> set transform-set vpnset
> set pfs group5
> match address listeVPN
>
> ip access-list extended listeVPN
> permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
>
> ip nat inside source list 101 interface Dialer1 overload
> ip nat inside source list 102 interface Dialer2 overload
>
> ip route 0.0.0.0 0.0.0.0 Dialer2
> ip route 0.0.0.0 0.0.0.0 Dialer1
>
> access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 101 permit ip 192.168.1.0 0.0.0.255 any
> access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 102 permit ip 192.168.2.0 0.0.0.255 any
>
> C'est quoi le remède ? Merci :)
>
>
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet David Ponzone 
Je vois pas de policy-routing pour router le paquet sur le bon dialer par 
rapport à sa source.
Je sais pas trop comment le Cisco gère le load-balancing entre les 2 Dialer.



> Le 1 juil. 2016 à 19:23, Sébastien 65  a écrit :
> 
> Bonsoir,
> 
> J'ai un routeur Cisco double ADSL avec deux dialers. Chaques dialers montent 
> une session vers un autre routeur X (A.B.C.D).
> 
> Le routeur Cisco ADSL a deux réseaux interne : 192.168.1.0/24 (utilisé par 
> dialer1) et 192.168.2.0/24 (utilisé par dialer2).
> 
> Depuis le routeur X (192.168.0.1/24) via le VPN j'arrive bien à ping l'IP du 
> routeur (192.168.1.1) mais pas celle d'un PC sur le réseau (192.168.1.12).
> 
> Sur le débug je vois "IPSEC(sa_initiate): ACL = deny; sa request ignored", je 
> ne comprends pas quelle est cette ACL :(
> 
> Je précise que depuis le routeur 192.168.1.1 l'adresse 192.168.1.12 est bien 
> joignable.
> 
> crypto map MYMAP 1 ipsec-isakmp
> description RemoteSite0Link
> set peer A.B.C.D
> set transform-set vpnset
> set pfs group5
> match address listeVPN
> 
> ip access-list extended listeVPN
> permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> 
> ip nat inside source list 101 interface Dialer1 overload
> ip nat inside source list 102 interface Dialer2 overload
> 
> ip route 0.0.0.0 0.0.0.0 Dialer2
> ip route 0.0.0.0 0.0.0.0 Dialer1
> 
> access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 101 permit ip 192.168.1.0 0.0.0.255 any
> access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
> access-list 102 permit ip 192.168.2.0 0.0.0.255 any
> 
> C'est quoi le remède ? Merci :)
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

[FRnOG] [TECH] ACL deny IPSEC Cisco

2016-07-01 Par sujet Sébastien 65 
Bonsoir,

J'ai un routeur Cisco double ADSL avec deux dialers. Chaques dialers montent 
une session vers un autre routeur X (A.B.C.D).

Le routeur Cisco ADSL a deux réseaux interne : 192.168.1.0/24 (utilisé par 
dialer1) et 192.168.2.0/24 (utilisé par dialer2).

Depuis le routeur X (192.168.0.1/24) via le VPN j'arrive bien à ping l'IP du 
routeur (192.168.1.1) mais pas celle d'un PC sur le réseau (192.168.1.12).

Sur le débug je vois "IPSEC(sa_initiate): ACL = deny; sa request ignored", je 
ne comprends pas quelle est cette ACL :(

Je précise que depuis le routeur 192.168.1.1 l'adresse 192.168.1.12 est bien 
joignable.

crypto map MYMAP 1 ipsec-isakmp
 description RemoteSite0Link
 set peer A.B.C.D
 set transform-set vpnset
 set pfs group5
 match address listeVPN

ip access-list extended listeVPN
 permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
 permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255

ip nat inside source list 101 interface Dialer1 overload
ip nat inside source list 102 interface Dialer2 overload

ip route 0.0.0.0 0.0.0.0 Dialer2
ip route 0.0.0.0 0.0.0.0 Dialer1

access-list 101 deny   ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
access-list 102 deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 102 permit ip 192.168.2.0 0.0.0.255 any

C'est quoi le remède ? Merci :)


---
Liste de diffusion du FRnOG
http://www.frnog.org/