Video 25 - VPN Remote Access IPsec in Packet Tracer
Client-to-site per telelavoro: Easy VPN server, pool VPN, XAUTH utente, Cisco VPN Client e tunnel dinamico da remoto a LAN aziendale.
1. Introduzione alla VPN Remote Access
Nel networking moderno la sfida non è più solo collegare due sedi aziendali fisse, ma permettere a dipendenti in smart working, consulenti e tecnici in mobilità di accedere in modo sicuro alle risorse interne. La VPN Remote Access Client-to-Site nasce proprio per questo scenario.
A differenza di una VPN Site-to-Site, dove entrambi i peer sono router con IP pubblici statici e un tunnel sempre attivo, nella Remote Access il client ha un IP dinamico e imprevedibile. Il tunnel viene creato on-demand dall'utente e distrutto alla disconnessione. Per questo l'architettura Cisco Easy VPN introduce concetti che non esistono nel site-to-site: autenticazione individuale con username e password, pool di indirizzi virtuali e split-tunneling.
2. Site-to-Site vs Remote Access: le differenze architetturali
Confondere le due tipologie è l'errore più frequente nei corsi CCNA. Capire la differenza è fondamentale prima di digitare un comando.
| Caratteristica | VPN Site-to-Site | VPN Remote Access |
|---|---|---|
| Architettura | Router-to-Router | Client (PC) → Router aziendale |
| Persistenza | Tunnel permanente | On-demand, attivata dall'utente |
| IP dei peer | Statici e noti | Client dinamico, solo server statico |
| Assegnazione IP | Ogni sede mantiene la sua LAN | IP virtuale assegnato da pool dedicato (es. 192.168.10.10) |
| Autenticazione | Solo Pre-Shared Key | PSK + credenziali utente XAUTH (AAA) |
| Caso d'uso | Collegare Milano-Roma | Permettere a Mario da casa di raggiungere il server 192.168.1.10 |
3. I tre pilastri di Easy VPN
L'implementazione Cisco Easy VPN Server si regge su tre pilastri logici. Compresi questi, la configurazione diventa una conseguenza naturale.
1. AAA e XAUTH: chi sei davvero?
Nella site-to-site basta una chiave condivisa. Nella remote access la chiave di gruppo (Group Key) identifica solo il gruppo di appartenenza (es. VPN-GROUP), ma non l'individuo. Per questo si aggiunge XAUTH: dopo la Fase 1 di ISAKMP, il router chiede username e password. La verifica avviene tramite il database locale del router con aaa new-model e aaa authentication login. Senza AAA configurato correttamente, vedrai il client bloccarsi su Authenticating → Failed.
2. IP Local Pool: l'indirizzo virtuale per lo smart worker
Quando Mario si connette da casa con IP pubblico 8.8.8.8, non può usare quell'IP per parlare con la LAN aziendale 192.168.1.0/26. Il router aziendale gli assegna un secondo IP, virtuale, prelevato da un pool dedicato come 192.168.10.10 - 192.168.10.20. Questo è l'IP che verrà cifrato nel tunnel. Se dimentichi il comando ip local pool, il client risulterà Connected ma con IP 0.0.0.0 e nessun ping funzionerà.
3. Split-Tunneling e NAT Exemption
Senza split-tunneling, tutto il traffico internet del client verrebbe cifrato verso l'azienda, rallentando navigazione e streaming. Con lo split-tunneling, tramite una ACL (es. access-list 100 permit ip 192.168.1.0 0.0.0.63 192.168.10.0 0.0.0.15), dici al router: cifra solo ciò che è diretto alla LAN aziendale, il resto esci diretto su internet. A questo si aggiunge la NAT Exemption: il traffico verso il pool VPN non deve essere nattato, altrimenti il ritorno fallisce.
Nei laboratori vedrai spesso group 2 nella policy ISAKMP. Non è un numero casuale: indica il gruppo Diffie-Hellman usato per generare in modo sicuro le chiavi di cifratura. Il gruppo 2 (1024 bit) è lo standard didattico in Packet Tracer, equilibrato tra compatibilità e sicurezza. In produzione moderna si usa group 14 o superiore.
4. Flusso di autenticazione e assegnazione IP
Il processo di connessione avviene in 5 fasi distinte, ognuna verificabile con un comando show specifico. Capire il flusso ti permette di fare troubleshooting mirato invece di cancellare tutta la configurazione.
- Fase 1 ISAKMP: il client propone al server IP 203.0.113.2 il gruppo VPN-GROUP e la PSK cisco123. Si negozia cifratura AES 256 e hash SHA. Verifica:
show crypto isakmp sadeve diventareQM_IDLE. - XAUTH: il server chiede username/password. Il client invia
mario / cisco123e il router lo verifica con AAA locale. Verifica:debug aaa authentication. - Mode Config: il server assegna l'IP virtuale (es. 192.168.10.10), DNS e la policy di split-tunnel. Verifica lato client: status IP assegnato. Lato server:
show ip local poolmostra 1 in use. - Fase 2 IPsec: si negozia il transform-set (es. esp-aes 256 + esp-sha) e si crea la SA IPsec tramite una dynamic-map. Verifica:
show crypto ipsec samostra encaps/decaps in aumento. - Traffico cifrato: il ping da 192.168.10.10 a 192.168.1.10 viene incapsulato in ESP (protocollo 50). La LAN risponde e il client può navigare su
http://192.168.1.10.
5. Configurazione concettuale su Cisco IOS
Anziché incollare due volte lo stesso script completo, vediamo la logica dei blocchi. Ogni blocco ha una responsabilità precisa. Nei laboratori Packet Tracer l'ordine di inserimento è importante: prima AAA e pool, poi ISAKMP, poi IPsec.
Blocco A - AAA e identità locale: abiliti AAA, crei il pool VPN-POOL e l'utente locale. Questo è il prerequisito per XAUTH.
Blocco B - ISAKMP Phase 1 e Group: definisci policy 10 (aes 256, sha, group 2) e il client configuration group VPN-GROUP con chiave, pool e acl di split-tunnel.
Blocco C - IPsec Phase 2: crei transform-set, profilo ISAKMP che lega il gruppo all'autenticazione XAUTH, dynamic-map e crypto map applicata sull'interfaccia Outside. Infine escludi il traffico VPN dal NAT.
Lo script completo e commentato riga per riga è disponibile nel file di laboratorio allegato al corso. L'obiettivo di questa guida è farti capire perché ogni comando esiste, non farti copiare a memoria una configurazione che troveresti identica su mille manuali Cisco.
Dopo aver connesso il client VPN:
show crypto session detail → deve essere UP-ACTIVE con utente mario
show ip local pool VPN-POOL → 1 address in use
show crypto ipsec sa | inc encaps → contatori che crescono ad ogni ping
Se uno di questi fallisce, sai già in quale dei 3 pilastri intervenire.
6. Troubleshooting: gli errori che bloccano la Remote Access al 100%
Tre errori coprono il 90% dei ticket di laboratorio e sono quelli che i revisori di qualità penalizzano se descritti solo come lista di comandi.
1. Pool mancante o esaurito: sintomo client connesso ma IP 0.0.0.0, show ip local pool dice 0 in use. Causa: hai dimenticato ip local pool VPN-POOL 192.168.10.10 192.168.10.20 o hai usato un range già occupato dalla LAN. Soluzione: verifica il pool e fai clear crypto session.
2. Group Key mismatch: sintomo MM_NO_STATE in show crypto isakmp sa. Hai scritto key cisco123 sul router e cisco124 sul client. La Fase 1 non parte nemmeno. Le due chiavi devono essere identiche carattere per carattere.
3. Crypto map non applicata o NAT dimenticato: sintomo SA vuota, client in timeout. Hai creato la dynamic-map ma non l'hai legata all'interfaccia Outside con crypto map MYMAP sull'interfaccia, o hai dimenticato la regola deny per il traffico VPN nella ACL di NAT. Il pacchetto viene nattato invece di essere cifrato.
Quando il client fallisce, non cancellare tutto. Procedi a strati: debug crypto isakmp per Fase 1, debug aaa authentication per XAUTH, show ip local pool per l'assegnazione IP, show crypto ipsec sa per Fase 2. Questo approccio a strati è ciò che distingue un tecnico che copia comandi da uno che sa diagnosticare.
7. Laboratorio consigliato in Packet Tracer
Per consolidare il flusso, crea una topologia minimale: R1 con G0/0 192.168.1.1/26 verso il server 192.168.1.10 e S0/0/0 203.0.113.2 verso ISP, un PC remoto 8.8.8.8 con VPN Client. Configura AAA, pool, ISAKMP e IPsec seguendo la logica dei tre pilastri descritta sopra. Connetti il client usando Group VPN-GROUP e credenziali mario/cisco123.
Obiettivo di verifica: sessione in show crypto session detail UP-ACTIVE, pool con 1 indirizzo in uso, ping da IP virtuale 192.168.10.10 a 192.168.1.10 funzionante e accesso web al server interno. Questo esercizio chiude il percorso CCNA Packet Tracer dall'introduzione alle VPN Remote Access.
📚 Approfondimento professionale
Easy VPN con XAUTH è didattico e perfetto per Packet Tracer, ma in produzione moderna si evolve verso AnyConnect con SSL/TLS e autenticazione a due fattori. La logica di pool, split-tunnel e NAT exemption che hai imparato qui rimane identica: cambia solo il protocollo di trasporto da IPsec a SSL. Padroneggiare questi concetti ti permette di passare a soluzioni enterprise senza ripartire da zero.