IpSec en la misma subnet (Ayuda)

[afigueroa20]

Buen dia a todos(as) tengo un problema para configurar una ipsec que esta en el mismo rango de red ya he intentado de todo pero no lo logro por favor que alguien me ayude!!

Mi red esta configurada asi:

Router Cisco 1841

     Wan 190.92.12.45

     Lan (Vlan10) 10.10.0.1 con DHCP del 2 al 254

y me dieron la siguiente configuracion para un Ipsec

Peer SitioA: 190.92.12.45

Phase-1: 3DES; SHA1; Group2; Time 28800; Preshared-Key %Cisco123$

Phase-2: 3DES; SHA1; Time 3600; PFS-ON; ENCRYPTION DOMAIN: 10.199.201.46

Peer SitioB: 200.52.158.254

Phase-1: 3DES; SHA1; Group2; Time 28800; Preshared-Key %Cisco123$

Phase-2: 3DES; SHA1; Time 3600; PFS-ON; ENCRYPTION DOMAIN: 10.199.201.31

ya intente de todas formas pero no logro nada!

desde ya muchas gracias por su ayuda

PD. alguien me comento que esto lo lograria con nat pero nada

[jose cortes]

Hola Angel,

Segun entiendo el problemas que tienes es que alguno de los pares (SitioA o SitioB) tienen el mismo segmento de LAN que tu red, es decir que tienen la red 10.10.10.0/24.

Para estos casos lo mejor que se puede hacer es enmascarar la red LAN en una red Falsa algo asi como 192.168.240.0/24. El asunto aca es que como las dos redes tienen la misma LAN las dos deben crear el enmascaramiento asi por ejemplo tendiras el siguiente esquema

Tu Red                            Red Falsa                         Red Falsa SitioA               Red Sitio A

(10.10.10.0/24) <-NAT-> (192.168.240.0/24) <-VPN->(192.168.250.0/24)<-NAT->(10.10.10.0/24)

Asi cuando creas tus reglas de encriptacion debes tener en cuenta que tu red LAN remota no sera mas la 10.10.10.0/24 (la que genera el conflicto) sino la red falsa del SitioA 192.168.250.0/24.

Una configuracion similar debe realizarce en el concentrador VPN del SitioA.

Cordialmente,

Jose

[afigueroa20]

Si eso es algo similar a lo que me habian dicho que tenia que hacer lo unico es que no se como enmascarar un ip o una red!

Si pudieras orientarme un poco me sacarias de apuros

Gracias

[jose cortes]

Ok, asumiendo que en el router de la otra oficina ya se realizo la configuracion equivalente y que la IP falsa de la red remota (sitioA) es 192.168.250.0/24

Seria algo asi:

1. Creas un NAT pool

    ip nat pool FAKE-NET 192.168.240.1 192.168.240.254 netmask 255.255.255.0 type match-host

el "match-host" va a hacer que la IP: 10.10.10.1 sea traduciada a la IP 192.168.250.1 la .10.2 a la 240.2 y asi hasta la 10.254 y la 240.254 de esta manera si tienes servidores con IPs fijas puedes accesderlas utilizando la IP falsa con el mismo numero de Host.

2. Crea una lista de acceso para identificar el trafico desde tu red hacia la red remota (sitioA):

ip access-list extended FAKE-NAT

permit ip 10.10.10.0 0.0.0.255 192.168.250.0 0.0.0.255 !! Este es el trafico que ira desde tu LAN hacia la LAN remota

deny ip any any

3. Creas la regla de NAT para que el trafico que vaya desde tu LAN hacia la LAN remota sea enmascarado en la red Falsa:

ip nat source list FAKE-NAT pool FAKE-NET

4. Modificas tu regla de NAT global excluyendo el trafico que definiste en la regla de acceso anterior (FAKE-NAT)

ip access-lists extended NAT-GLOBAL

deny ip 10.10.10.0 0.0.0.255 192.168.250.0 0.0.0.255

permit ip 10.10.10.0 0.0.0.255 any

5. Por ultimo creas la lista de acceso del trafico que debe ser encriptado en tu IPSec MAP:

ip access-list extended VPN-TRAFFIC

permit ip 192.168.240.0 0.0.0.255 192.168.250.0 0.0.0.255

deny ip any any

en esta ultima lista de acceso utilizar la red Falsa ya que el proceso de NAT se ejecuta antes que el proceso de encripcion, esto quiere decir que cuando el paquete este listo para ser encriptado ya ha sido NATeado por las reglas creadas anteriormente.

Esto mismo lo tienes que hacer en la oficina remota. Si esto no se realiza en la oficina remota no se podra lograr la conexion.

Cordialmente,

Jose Cortes

[afigueroa20]

Pues ya lo logre era muy simple pero no se ve habia ocurrido

ip nat inside source static 10.10.0.2 10.199.201.46

agregar el access list

access-list 101 permit ip host 10.199.201.46 host 10.199.201.31

Saludos