Router per VPN Cisco con Linux e vpnc: quale hardware?
16 marzo 2009, scritto da Matteo
Collegarsi a una VPN Cisco con Linux è semplice, grazie al pacchetto VPNC: bastano un paio di righe di configurazione (o anche nessuna, se lo si usa con Network Manager) e il gioco è fatto.
Siccome però ho spesso a che fare con client Windows e, per vari motivi, il client VPN fornito dalla stessa Cisco mi sta un po’ antipatico, sto cercando una soluzione hardware da affiancare al PC, in modo da rendere la cosa completamente trasparente per il sistema operativo e tenermi lontano da diversi problemi in cui mi sono imbattuto recentemente.
La soluzione più ovvia è l’acquisto di un router Cisco, magari il più sfigato che producono (per sedi con un massimo di due PC penso sia sufficiente…). Probabilmente è la cosa più semplice da fare, ma non mi piace per via dei prezzi e della mia scarsa conoscenza di IOS, che renderebbe la cosa non semplicissma da gestire.
L’idea è di configurare un mini PC (ma veramente mini) su cui installare Debian e VPNC, in modo che faccia da router/firewall per la piccola rete interna della sede, mettendosi in mezzo fra il router ADSL già presente e lo switch.
Tecnicamente il problema è banale, ma non so bene come orientarmi per la scelta dell’hardware: mi servirebbe una scatoletta più piccola e fanless possibile, con 2 o 3 porte ethernet e il supporto per compact flash o simili su cui installare il tutto. Supportata nativamente da Linux, mi pare ovvio.
Ho dato un’occhiata ai prodotti di Routerboard.com e mi sembrano molto simili a quello che cerco, ma preferirei un prodotto già assemblato, sui cui dover solo installare e configurare il sistema.
Conoscete qualcosa che possa fare al caso mio o avete qualche consiglio da darmi? Non che la cosa mi serva subito (in realtà è più che altro una mia paranoia, potrebbe anche non servirmi mai), ma preferisco documentarmi.
Ti è piaciuto l'articolo, eh? OFFRIMI UNA BIRRA! (è sufficiente essere iscritti a Paypal o avere una carta di credito, anche Postepay)
Newsletter
RSS articoli
RSS commenti
Ciao Matteo,
da discreto conoscitore del sistema operativo IOS permettimi di suggerirti che secondo me varrebbe la pena di provare a conoscerlo un po’… è una cosa che può tornare davvero molto utile, e ti assicuro che con poca fatica ci si può avvicinare ai rudimenti di IOS. Nel caso poi tu voglia andare in profondo e conocerlo meglio, in Rete c’è una pletora di documentazione che potrebbe aiutarti a trovare le soluzioni ai problemi che poni…
Come dicevi anche giustamente tu, si possono trovare (per dire, su eBay) delle macchine Cisco definiamole “entry level” (che comunque superano di svariate lunghezze qualunque altro dispositivo di fascia entry level) a prezzi interessanti, tipo un Cisco 1841 a poche decine di Euro… il sistema IOS è pienamente funzionante anche sui sistemi di fascia più piccola.
Hope this helps
Grazie per il consiglio, ma la soluzione dovrebbe servire (se mai verrà applicata) in azienda, quindi escludo a priori E-Bay e cose del genere.
Come alternativa, mi sono documentato su qualche prodotto Linksys, mi pare di capire che siano in grado di collegarsi alle VPN Cisco:
- Linksys BEFSX41
- Linksys BEFVP41 V2.0
- Linksys RVL200
- Linksys RVS4000
La configurazione di cui avrei bisogno è qualcosa di questo tipo, qualcuno li ha mai provati in situazioni simili?
[ROUTER ADSL ESISTENTE] < -> [CLIENT VPN] < -> [LAN]
Ma perchè non mettere un mini-pc costituito da un scheda Via della serie EPIA?
http://www.via.com.tw/en/products/mainboards/
In quel caso potresti avere tutto quello che ti serve con minimi consumi, fanless e minimo ingombro tanto che si trovano già case ridottissimi appositi per questo hardware.
Shaytan:
Ci avevo pensato, ma tra MB Dual Lan, Ram, case, alimentatori, memoria di massa e adattatori vari arriverei a prezzi comparabili con un router Cisco: almeno su http://www.mini-itx.it dove ho provato a cercare qualche prezzo.
ciao, ho detto eBay per fare un esempio di un negozio dove trovare router Cisco a prezzi interessanti… però puoi procurarteli come meglio credete… io tempo fa ho preso un Cisco della serie 800 a 40 Euro, con interfaccia ISDN inclusa che non è nemmeno facile da trovare…
pc enginess
http://www.pcengines.ch/alix.htm
non consumano niente non hanno dischi 3 schede di rete …
ci metti anche openbsd che vuoi di più
Ciao Matteo,
per esperienza personale l’interoperabilita’ degli apparati (o dei client sw) sulle VPN IPSec puo’ farti perdere tanto tempo da giustificare ampiamente i 200 o 300 euro di apparati come ASA5505-BUN-K9 (per 10 client) o router 850/870 Cisco.
In 30 min. passi dalla scatola alla VPN up, se non ci sono altre esigenze che connettivita’ e NAT, e puoi pure usare i wizard (solo per imparare neh!).
Certo c’e’ l’annoso problema del supporto, ti dovresti comprare anche un Smartnet ragionevole aggiungendo circa 60 – 70 euro / anno (8×5xNBD non on-site).
Comunque per un cliente molto “braccino corto” ho configurato un pc riciclato con debian e vpnc e tuttora funziona, ovviamente non ho voluto responsabilita’ per l’affidabilita’ del tutto.
Saluti
Ivano
@buda:
Ecco, cercavo proprio qualcosa del genere. Stasera mi documento meglio, grazie
@Ivano:
Effettivamente per quelle cifre non vale troppo la pena mettersi a configurare altro, sai nulla del funzionamento di dispositivi Linksys? Essendo la linea economica di Cisco immagino che funzionino, ma non ne sono certo.
Io ho comprato tempo fa qui un micro client jr di cui sono molto soddisfatto:
http://www.norhtec.com
Mi pare che abbiano anche qualcosa con più di una scheda eternet.
In effetti se si vuol mettere su una vpn ipsec, non vale la pena partire da zero installando un sistema operativo, per quanto, mettere su PfSense, ad esempio, non richiede molto tempo, basta preparare la cf, farlo partire e configurarlo.
Se però vuoi avere una dmz e una lan in gigabit, e avere un solo apparecchio che ti gestisce le tre reti (lan, wan e dmz), non so quanto costino i Cisco o i Linksys con interfacce gigabit.
E se volessi mettere una vpn ssl invece che ipsec? O se decidessi di aggiungere qualche altra funzionalità al router (port knocking o altro)? In effetti è una scelta tra semplicità e flessibilità. Non solo di prezzo.
Ad ogni modo aggiungo questi due link a integrare quello su pcengines.ch:
http://routerboard.com/
http://wpkg.org/Talk:Running_Debian_on_ASUS_WL-500G_deluxe
Anche scatolotti tipo le soekris http://www.soekris.com/ potrebbero fare al caso tuo…
occhio al rivenditore europeo, da quel che ricordo e’ lento e casinista…
C’è anche il Micro PC di Koan ( http://www.koala.it/it/micropc.htm ), forse un po’ meno economico di altre soluzioni (il prezzo si aggira sui 300 euro) ma compatto, pre-assemblato e ben carrozzato.
Grazie a tutti per i consigli, spero che la cosa non vada a finire in un buco nell’acqua
Ciao Matteo.
Guarda qui, e trovi quello che cerchi:
http://www.soekris.com/index.htm
E piccolo, senza ventole, con flash, ecc. e funziona perfettamente con Debian e OpenBSD.
Un saluto, Walter
Dalle mie parti abbiamo avute un po’ di soddisfazioni con questi: http://www.compactpc.com.tw/ebox-2300SX.htm
Quello che vedi viene sui 90 euro, ce ne son diverse versioni con RAM, CPU e porte I/O differenti…
anche io ti consiglio di guardare su pcengines le alix.
In particolare per una cosa simile sto testando in questi giorni una alix2d3 (3 ethernet) e il prezzo credo sia davvero molto buono: intorno ai 130 euro comprensivi di dogana (dalla svizzera, anche se era un ordine di 3 pezzi quindi era un po’ più ammortizzato) hai la scheda, il box, l’alimentatore, il cavo seriale e una CardFlash da 4GB. Sopra ci puoi mettere una debian, distribuzioni ad hoc per firewall/vpn (ad esempio sto testanto ZeroShell, che è un bel progetto per di più italiano, anche se non sono sicuro che abbia il supporto a vpnc già integrato), *BSD.
Inoltre la scheda dispone di 2 porte usb, una porta miniPCI e un connettore IDE.
Completamente fanless con a bordo un AMD geode 500MHz.
Sono veramente rimasto ben impressionato dal prodotto, peccato solo per la dogana che avevo proprio dimenticato ormai, che fa salire abbastanza il prezzo base a cui l’avresti in svizzera, inferiore ai 100€ totali, esclusa la spedizione.
Puoi provare con i prodotti della Fabiatech: http://www.fabiatech.com/
Io ne ho uno, consiglio un disco SSD, essendo macchine senza ventole
il calore di un normale disco potrebbe dare problemi. La cosa carina di questi ogettini e che puoi usare anche una compat flash come disco.
Ah dimenticavo in italia il distributore e’ http://www.sisav.it.
Questo post è molto interessante…. Non dimenticarti di pubblicare la soluzione che hai scelto di adottare (magari elencando accuratamente anche le altre opzioni non scelte).
Grazie
@Michele:
Se la cosa non finirà in un buco nell’acqua (non dipendendo direttamente da me, non lo escludo) non mancherò di pubblicare la soluzione scelta.
Ad essere interessanti sono più che altro i commenti
Senti e un bel Soekris con sopra una compcat flash con installato un bel pfsense? Fanless, senza fastidi e merde varie piccolo come un router, con 4 interfacce di rete.
Lo usiamo un po’ ovunque e per ora non abbiamo avuto alcun problema.
Ciao,
alla fine che pc compatto hai preso?
leo
@leonardo:
Non ne ho preso nessuno, i tempi aziendali tendono ad essere decisamente più lunghi dei miei
Ciao, io sto testando una soluzione SW che si può integrare con alcuni apparecchi…
Non sono molto esperto ma se ti va puoi dare un’occhiata su http://www.neorouter.com e dirmi cosa ne pensi.
Grazie mille. Ottimo blog.
Filippo