[wiregate] VPN einrichten

[Robert_Mini]

Hallo WG team!

Würde gerne eine VPN Verbindung zw. Smartphone und WG einrichten.
Am WG ist dies Dank der Hilfe ja relativ klar, wobei mir dann unklar ist, wie's weiter geht (mit Netzwerken steh ich leider ein wenig auf Kriegsfuss!).

- Wohin mit den Konfigurationsdateien bzw. Installationspaket, das am WG unter eingerichteten Clients verfügbar ist?
- Welche VPN Typ am Smartphone verwenden? Mein HTC Desire S (Android 2.3.5) bietet 4 Optionen: PPTP-VPN; L2TP-VPN; L2TP/IPSec PSK-VPN; L2TP/IPSec CRT-VPN

Danke für eure Tipps
Robert

[drehm]

Hallo Robert,

also ich habe das bei mir mit der installation von OpenVPN gelöst. Hierzu gibt es im Netz viele tutorials für die Serverseite.
Für die Installation des Clients auf einem Android musste ich folgende Apps installieren:
- root
- busybox
- OpenVPN Installer
- OpenVPN Settings

Wenn dann die OpenVpn Client Konfigurationsdateien auf das SmartPhone kopiert und das entsprechende Verzeichnis im OpenVPN client eingetragen wurde funktionierte beim mir die VPN direkt.

Schau im Netz einfach mal nach OpenVPN sever und "OpenVPn Settings" dann wirst du jede Menge finden.

Viel Spass und viel Erfolg,

Dominik

[mclb]

Also ich hab mich da an folgende Anleitung gehalten, die Christi mir geschickt hat, hat gut funktioniert: http://vpnblog.info/android-openvpn-strongvpn.html

Soweit ich weiß verlierst dabei allerdings jegliche Garantie auf dein Gerät.

[Robert_Mini]

Soweit ich weiß verlierst dabei allerdings jegliche Garantie auf dein Gerät.

Das ist genau das Problem - Firmenhandy, und die IT sieht rooten gar nicht gerne.

Daher mein Bestreben den installierten VPN zu nutzen. Hat damit jemand Erfahrung?

lg Robert

[makki]

Also, theoretisch würde das wunderbar (ohne rooten/Jailbreak) mit L2TP over IPSec mit Zertifikaten produktiv aufm IPE oder WG laufen. Das wäre auch die "richtige" Lösung, die ich guten Gewissens bedingungslos empfehlen würde; aber Realität:
Praktisch bekommt man das aktuell keinem normalsterblichen erklärt, der nicht einigermassen richtig fit in IP, Linux und vor allem IPSec ist - und das vorhaben steht priomässig so ungefähr auf Platz 47

Ein einfacher "Zwischenweg" ist PPTP (siehe hier), die Security dieser Lösung ist bei guten Secrets > 12 Stellen besser als der Ruf von PPTP..
Aber allemal immernoch besser wie wirr Ports durchschalten, also Stand jetzt meine Empfehlung..

Makki

[Robert_Mini]

Ein einfacher "Zwischenweg" ist PPTP (siehe hier), die Security dieser Lösung ist bei guten Secrets > 12 Stellen besser als der Ruf von PPTP..
Makki

Muss hier nochmal einhaken:

localip 192.168.178.45
remoteip 192.168.178.250-254

- LocalIP ist der lokale Router, oder?
- RemoteIP ist wer?

Was ist auf dem Smartphone einzurichten?
- Braucht man dazu immer einen dyn.dns account (=domain?) oder kann man das auch mit der aktuellen IP Adresse des Modems testen?
- Domain geht auch bei xweb.xx o.ä., oder?

Rest scheint soweit klar, mit den obigen Info werd ich mal loslegen und (ich befürchte) eventuell nochmal hier nachfragen.

Danke für eure Unterstützung und Geduld
lg Robert

[makki]

Muss hier nochmal einhaken:

Kein Thema, unser schlimmstes Problem ist Nicht-Dokumentation, wenn nur 10% verstehen würden, was mit dem WG eigentlich alles geht..

LocalIP ist der lokale Router, oder?
- RemoteIP ist wer?

Localip ist die IP des WG, RemoteIP die "DHCP-range" für die clients, hat also nichts mit der öffentlichen IP zu tun
(sofern hinter "normalem" Fritzbox-NAT, und wer mir jetzt mit IPv6 kommt, dem reisse ich optional die Geschlechtsteile ab, der darf vorbeikommen und den krempel auf nem 7206VXR gerne ans laufen bekommen )

Was ist auf dem Smartphone einzurichten?

garnichts, ausser der IP (DNS=optional)

Makki

P.S.: Wir freuen uns immer über gut dokumentierte Success-Storys

[Robert_Mini]

Kein Thema, unser schlimmstes Problem ist Nicht-Dokumentation, wenn nur 10% verstehen würden, was mit dem WG eigentlich alles geht..
P.S.: Wir freuen uns immer über gut dokumentierte Success-Storys

Doku ist versprochen (wenns erstmal läuft...).Screenshots von putty etc. hab ich parallel schon mitgemacht.

Localip ist die IP des WG, RemoteIP die "DHCP-range" für die clients, hat also nichts mit der öffentlichen IP zu tun
Makki

Auch klar. Mein WG hat 192.168.1.101 als fixe IP per MAC binding.
Mein tp-link MR3420 (kennst du ja bestens) hat als DHCP range 192.168.1.2-199, habe in /etc/pptpd.conf

localip 192.168.1.101
remoteip 192.168.1.190-199

eingefügt.
in /etc/ppp/chap-secrets => username pptpd "passwort" *
eingefügt und pptpd neu gestartet.

Port forward am TP-link siehe Anhang.
Am smartphone VPN, typ PPTP eingerichtet, IP vom Router nach außen 10.8.139.xxx eingegeben, dann verbinden mit user und pwd das im chap-secrets festgelegt wurde => timeout.

daemon log =>

root@wiregate321:~# grep pptp /var/log/daemon.log
Jun 12 20:30:33 wiregate321 pptpd[20070]: MGR: Manager process started
Jun 12 20:30:33 wiregate321 pptpd[20070]: MGR: Maximum of 100 connections available
Jun 12 20:37:51 wiregate321 pptpd[22856]: MGR: Maximum of 100 connections reduced to 10, not enough IP addresses given
Jun 12 20:37:51 wiregate321 pptpd[22857]: MGR: Manager process started
Jun 12 20:37:51 wiregate321 pptpd[22857]: MGR: Maximum of 10 connections available

=> da kommt nichts an.

Stimmen die Einstellungen am tp-link?
Ist die IP der 3G Datenmodems eigentlich eindeutig?

Der daemon ist ja mit restart gestartet, das plugin verwende ich derzeit nicht.

Edit: log vom Router angehängt. Woher die MAC kommt kann ich nicht nachvollziehen, da ich die MAC am Smartphone nur für WLAN sehe, nicht für 3G.

Ideen was hier falsch sein könnte?
lg Robert

[makki]

Doku ist versprochen (wenns erstmal läuft...).

Das wäre schön, da mangelt es nämlich am meisten..

Mein tp-link MR3420 (kennst du ja bestens)

Wohl wahr, aber nicht mit der Mädchen-Hersteller FW, da weiss ich nur wie man die löscht

hat als DHCP range 192.168.1.2-199, habe in /etc/pptpd.conf

localip 192.168.1.101
remoteip 192.168.1.190-199

eingefügt.

Das könnte schonmal der erste Fehler sein. Der pptpd vergibt die selber, ohne den DHCP zu fragen (ist blöd aber ist halt so..)
also sollte "remoteip" ausserhalb der DHCP-Range im LAN liegen sonst könnten doppelte IP's rauskommen und das ist: nicht gut..

Stimmen die Einstellungen am tp-link?

Kann ich Dir ehrlich nicht sagen, man kann das Image des IPE aber übrigens 1:1 draufblasen (wenn man weiss was man tut!)

Ist die IP der 3G Datenmodems eigentlich eindeutig?

Die ist eigentlich egal, sieht nicht falsch aus.

Aber solange vom pptpd nichts im Log kommt, liegt das Problem davor..

Makki

[mclb]

Hi,

wollte mal fragen, ob sich da im vergangenen Monat was getan hat?

[makki]

Was soll sich getan haben?

Dafür das das technisch richtigere(C) und anwenderbedienbare VPN's aufm Telefon nur mit Jailbreak/rooten (welch witziger Begriff für ein angeblich Linux-basiertes System) nicht geht können wir nix, frag doch mal bei google/samsung/apple warum die kein SSL-VPN sondern nur freaky L2TP over IPSec können.
PPTP, securitytechnisch nicht perfekt aber einfach, geht mit zwei handgriffen, also wo liegts Problem?
Es ist für jeden was dabei (L2TP/IPSec - so in richtig mit X.509-CA usw. - geht auch, kostet aber ein paar Euro, weil eben extrem komplex und vollständig manuell)
Security is a process, not a product (Bruce Schneier)

Wir kommen vom oberen Ende, müssen aber auch einen Mittelweg für den Hausgebrauch haben/finden..

Makki

[mclb]

Eigentlich wollt ich nur wissen, ob Robert die Verbindung per PPTP hin gekriegt hat. Der letzte Stand von vor einem Monat ist, dass es bei ihm noch nicht läuft, er es aber dokumentiert sobald ers geschafft hat. Das soll sich getan haben.

[Robert_Mini]

Eigentlich wollt ich nur wissen, ob Robert die Verbindung per PPTP hin gekriegt hat. Der letzte Stand von vor einem Monat ist, dass es bei ihm noch nicht läuft, er es aber dokumentiert sobald ers geschafft hat. Das soll sich getan haben.

Sorry für die späte Antwort.
Soweit habe ich das Problem noch nicht gelöst (aber auch nicht viel Zeit investiert).
Ich bin unter google auf Probleme mit 3G und PPTP gestoßen, die vom Provider abhängen:
- BOB VPN Tunnel (PPTP))
- PPTP Problem bei bob. Frage bei A1 auch?

Das hat mich mal abgeschreckt und ich hab mich um andere KNX Themen zu Hause gekümmert.

@Makki: Würde es was bringen, wenn du mal die VPN Wartungsverbindung ausprobierst, oder lässt dies keine Rückschlüsse auf PPTP zu (hinsichtich 3G).

Außerdem hab ich auch einen 3G von einem anderen Provider. Damit möchte ich auch noch einen Versuch starten.

@mclb: Hast du auch Probleme mit VPN?

lg
Robert

[mclb]

@mclb: Hast du auch Probleme mit VPN?

Noch nicht, aber vielleicht bald, wenn ich damit anfang. Wäre halt praktisch gewesen, wenn du das schon gelöst hättest und ich mir das abschauen hätte können. ;-)

[greentux]

OpenVPN geht nun auch ohne Jailbreak. Ab Android 4.0, was mittlerweile die meisten Xperias zum Beispiel haben dürften.

Oben gibts kein Ende