[wiregate] - √ - Per iPhone ins Wiregate (PPTP installieren)

[nobillings]

Hallo,

nachdem ich ja gestern erfolgreich meinen ersten Sensor an den Busmaster bekommen habe (dank Support hier), wollte ich ein wenig mit dem Zugriff von ausserhalb testen und per iPhone auf das WG zugreifen.

Leider finde ich nur wenig Informationen, die mir als Netzwerk-Laien auch noch wenig sagen.
Ich habe in meiner Fritzbox ein Portforwarding von Port 1194 als UDP nach 10000 fuer das WG eingetragen.
Dann habe ich im WG einen User angelegt.
Wenn ich nun im iPhone das VPN aktiviere fragt es mich nach einem "Shared Secret". Wo finde ich das? Oder muss ich eine andere Konfigurationsart im iPhone auswaehlen?

Oder kann es sein, dass der Zugang in den OpenVPN per iPhone gar nicht moeglich ist, da nicht unterstuetzt?

Danke vielmals.

Stephan

PS: achso, ich habe iOS 4.2.1, falls das was hilft.

[makki]

Das wird so nichts, m.W. geht OpenVPN auf dem iPhone nur mit Jailbreak, der integrierte VPN-Client ist für IPSec/L2TP oder PPTP-Gegenstellen geeignet.

[Wichtig]Das nun folgende ist selbstverständlich offiziell unsupportet, evtl. gefährlich und ohne jegliche sonstige Zusicherungen![/Wichtig]

Aber nun, wenn man sich ein bisschen auf die Konsole traut, kann man mit vertretbarem Aufwand einen PPTP-Server einrichten:

apt-get install pptpd

dann in /etc/pptpd.conf anfügen

localip 192.168.178.45
remoteip 192.168.178.250-254

192.168.178.45 ... ist natürlich auf die lokalen gegebenheiten anzupassen

in /etc/ppp/chap-secrets anfügen, pro User eine Zeile:

username1 pptpd "agqhrn8Ght555" *

--> Wichtig: Gute Passwörter ab 12 Stellen verwenden! (weil PPTP sonst leicht angreifbar ist)
Und exakt auf die Schreibweise achten mit den Gänsefüsschen um das Passwort.

Und ein

/etc/init.d/pptpd restart

Auf der Fritzbox (Router) nun noch Port 1723/TCP weiterleiten.
Edit: Bei der Fritzbox muss man zusätzlich ggfs. noch GRE freigeben siehe hier

Noch ein Plugin, um den PPTP-Server per KNX-Gruppenadresse zu starten/beenden (optional):

# Plugin um daemons (Dienste) per KNX Gruppenadresse zu starten/beenden # pptpd in diesem Beispiel, geht natürlich auch für alle anderen # Eigenen Aufruf-Zyklus auf taeglich setzen $plugin_info{$plugname.'_cycle'} = 86400;

##############################################################################
### Definitionen
##############################################################################
my $daemon = "pptpd";  # Name des dienstes
my $ga = "0/7/254";      # Gruppenadresse, die ihn starten/beenden soll

##############################################################################
### Ende Definitionen
##############################################################################

my $dummy;
if (%msg) {
  if ($msg{'apci'} eq "A_GroupValue_Write" and $ga eq $msg{'dst'}) {
	if($msg{'data'}+0) {
		$dummy = `/etc/init.d/$daemon restart`;
		return; # "started $daemon
	} else {
		$dummy = `/etc/init.d/$daemon stop`;
		return; # "stopped $daemon
	}
  }
} else {
    # cyclic/init/change
    # subscribe GA's
      $plugin_subscribe{$ga}{$plugname} = 1; 
} 
return;

Makki

P.S.: Ja, wir haben das schonmal gemacht Und das geht auch alles im Webmin, ist nur viel schwieriger zu erklären.

[nobillings]

Danke für die Antwort.

Da ich keinen Monitor und Tastatur habe ( wir haben in der Tat nur Laptops und iDevices im Hause) würde ich das über das Webmin erledigen. Habe auch gefunden wo.
Hab ein bisschen mit der Kommandozeile getestet aber es will nicht so richtig.
Hast du vielleicht einen Tipp, wie ich das J eingebe, wenn die Aufforderung zur Installation kommt? Und wie modifiziere ich die conf-Dateien? Ein VI geht wohl nicht...
Über Mobile Device

[vento66]

Lad Dir mal Putty PuTTY Download Page

Port 22 / SSH Verbindung , dann kommst Du auch mit nem Laptop auf die Wiregate Konsole, und das ziemlich schmerzfrei. Vorher im Webif den Root freischalten, und als root mit Putty anmelden

[Bodo]

Oder mit dem User anmelden und dann mit su zum Admin wechseln.


Sent from my iPhone using Tapatalk

[makki]

Da ich keinen Monitor und Tastatur habe

Brauchst Du auch nicht, siehe vento: Putty (also irgendwo brauchste schon ne Tastatur, das wahre leben geht noch nicht per Multitouch )
Aber wiegesagt, das ist schon etwas extended, ohne ein bisschen Grundwissen wird das schwierig - an der Stelle gibts zwar 100% Flexibilität aber kein Klicki-Bunti mehr

Hast du vielleicht einen Tipp, wie ich das J eingebe, wenn die Aufforderung zur Installation kommt?

Erstmal garnicht. deswegen ist es auf der Konsole einfacher..

Und wie modifiziere ich die conf-Dateien?

vi ist sehr wohl drauf aber eher was für hartgesottene. Mit "mcedit DATEINAME" oder "nano DATEI" sollte man klarkommen.
Dafür bietet sich evtl. auch WinSCP (oder was auch immer scp auf dem Mac macht, sollte wohl dabei sein..) und ein vernünftiger Editor (alles ausser Notepad) an.

Makki

P.S.: Wir richten z.B. sowas auf dem WireGate übrigens auch gegen Kauf von 1x "Kundenspezifische Programmierung" im Shop (+aktiviertem Wartungs-VPN) ein. Solange alle Daten (IP, gewünschte User, PW etc.) vorliegen.

[nobillings]

Hi,

beide Fragen bezogen sich auf die Webmin-Kommandozeile. Grundkenntnisse sind schon vorhanden. Klicki-Bunti muss nicht sein.

Als ich Laptops schrieb meinte ich natürlich Macs...
Mittlerweile habe ich herausgefunden, dass das "Terminal" all das schon mitbringt (ssh, sftp, scp, ). Die obigen Schritte habe ich ausgeführt. Das Portforwarding im Router ist eingerichtet.

Mir ist nun nur nicht ganz klar, was ich dann im iPhone eintragen muss.
Als Server habe ich den xxx.dydns.org eingetragen, damit ich erstmal zum Router komme, sowie user und passwort wie angelegt. Trotzdem komme ich nicht rein. Es kann evtl. sein, dass der Fritz-Router da Probleme macht. Muss ich morgen mal recherchieren.


PS: Makki, auf das Angebot komme ich gerne mal bei richtigen Problemen zurück.

[makki]

(Dyndns)Hostname, User & PW sollte reichen.

Mit

tail -f /var/log/daemon.log

bzw.

grep pptp /var/log/daemon.log

sollte man mehr erfahren (bzw. ob überhaupt was ankommt)

Das ein Mac als (wars xyBSD?)-Abkömmling ssh und scp mitbringt, davon wäre ich jetzt mal billigend ausgegangen

Makki

[nobillings]

Genau, das sind die Einstellungen, die ich gemacht habe.

Sieht wohl eher nicht danach aus, dass was ankommt, oder?

tail -f /var/log/daemon.log
Dec 27 23:42:03 wiregate286 ntpd[2251]: kernel time sync status change 4001
Dec 27 23:42:04 wiregate286 ntpd[2251]: kernel time sync status change 0001
Dec 27 23:42:35 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 27 23:47:36 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 27 23:52:37 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 27 23:57:38 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 28 00:02:40 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 28 00:07:41 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 28 00:12:42 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes
Dec 28 00:17:43 wiregate286 init: Id "log9" respawning too fast: disabled for 5 minutes

root@wiregate286:~# grep pptp /var/log/daemon.log
Dec 27 21:18:29 wiregate286 pptpd[23563]: MGR: Manager process started
Dec 27 21:18:29 wiregate286 pptpd[23563]: MGR: Maximum of 100 connections available
Dec 27 21:27:07 wiregate286 pptpd[24389]: MGR: Maximum of 100 connections reduced to 5, not enough IP addresses given
Dec 27 21:27:07 wiregate286 pptpd[24390]: MGR: Manager process started
Dec 27 21:27:07 wiregate286 pptpd[24390]: MGR: Maximum of 5 connections available

[makki]

Nee, sieht nicht danach aus, das was ankommt.. -> Weiterleitung von 1723/TCP prüfen

Wenigstens sollte sowas drinstehen:

Dec 28 00:37:45 wiregateXXX pptpd[11156]: CTRL: Client 81.16.182.15 control connection started
Dec 28 00:37:46 wiregateXXX pptpd[11156]: CTRL: Starting call (launching pppd, opening GRE)

Und es sieht nebenbei danach aus, das die KNX-Anbindung (eibd) nicht läuft (log9...respawning...)
-> Im Zweifelsfall auf Routing als "dummy" stellen, das hat zwar mit dem VPN jetzt garnichts zu tun, der Rest macht aber ohne EIB halt nicht so richtig Spass bzw. ist den ganzen Tag nur damit beschäftigt, sich selbst in der Hoffnung auf "Anschluss" zu restarten

Makki

[nobillings]

Aktiv Bezeichnung Protokoll Port an Computer an Port
x HTTP-Server UDP 1194 WireGate 10000
x HTTP-Server TCP 1723 WireGate 10000

KNX-Anbindung hatte ich noch nicht gestartet da nur Versuchsaufbau. Hole ich nach.

Was mir gerade auffaellt ist wenn ich per http auf die Adminoberflaeche zugreife muss ich mich zweimal einloggen. Erst mit User/PW vom dyndns.org, dann nochmal fuer die Oberflaeche selber. Probiere da mal weiter.

[Jockel]

Werde das gleich mal testen, aber noch eine Frage: Wenigstens für den pptpd sollte ich dann ja besser automatisiert Sicherheitsupdates einspielen. Reicht da ein Cronjob mit

apt-get update
apt-get upgrade pptpd

Bin leider nicht der Debian Spezialist...

[netzkind]

Aktiv Bezeichnung Protokoll Port an Computer an Port
x HTTP-Server UDP 1194 WireGate 10000
x HTTP-Server TCP 1723 WireGate 10000

Port und an-Port müssen identisch sein, damit auf dem Wiregate der richtige Service angesprochen wird.

Grüße,
Julian

[nobillings]

Port und an-Port müssen identisch sein, damit auf dem Wiregate der richtige Service angesprochen wird.

Ich verstehe die Einstellung so, dass wenn auf "Port" eine Anfrage zum Router kommt wird auf "an Computer" an den "an Port" weitergeleitet.
Ansonsten koennte ich dem Router ja nicht mitteilen, dass wenn eine VPN Anfrage kommt, die ja auf Port 1723 erfolgt, nur diese an das Wiregate weitergeleiet werden soll.

Habe das zwar mal geaendert aber keinen Erfolg. Das scheint primaer erstmal ein Problme mit dem Fritz! zu sein.

[nobillings]

Anscheinend ist mein Verstaendnis nicht richtig...
Ich habe noch einmal beide Porteintraege auf 1723 gesetzt und es funktioniert. Auf dem iPhone bekomme ich ein "VPN" Zeichen in der Statuszeile.
Vorher hatte ich es aus bequemlichkeit von der Windose im Buero probiert, aber anscheinend wir da was blockiert im Hause.

Nun, jetzt bin im Wiregate!

@Makki, kannst du mal den Haken vor die Ueberschrift machen..