Vermute mal dass es dann am Passwort gescheitert ist
Den Rest konnte man sich relativ gut zusammen suchen.
Das Passwort wird mittels BASE64 gehashed, deswegen könnte man ja den Rest durchaus importieren und einfach das Passwort weglassen, ist ja nicht unüblich solche Vorgehensweise. Der Aufbau der .vpn-Datei ist ja weitgehend und einigermassen gut dokumentiert und unter Kenntnis von IPSec und dessen Funktionen auch lesbar. Mit IPSecuritas hatte ich immer das Problem, vom VPN-Zugangspunkt (Router etc.) keine IP automatisch beziehen zu können, diese musste ich kennen und eintragen. Ausserdem hat nie wirklich funktioniert, mehrere Subnetze durch den Tunnel zu bekommen (ich hab Kunden die haben teilweise über 50 Tunnel an deren Routern dran - mache ich Fernwartung muss ich da durchkommen und zwar auf alle Subnetze, mit dem Shrew ging das immer).
Eine Bitte: Diese nun folgende Anleitung ist für User gedacht, die Grundkenntnisse im Umgang mit einer UNIX-Shell haben, wir bewegen uns hier nicht im Klicki-Bunti-Bereich der macOS-GUI !!! Ich kann und werde hier keinen Grundkurs in UNIX und dessen Bedienung "zu Fuss" abhalten - das setze ich voraus, das man sowas schon mal gemacht hat. Das ist also nichts für Anfänger und Einsteiger. Ich möchte wirklich Niemandem zu nahe treten, aber Kenntnisse im Umgang mit UNIX-Befehlen und den Tools der Shell sind hier wirklich essentiell ! Wer sich das also nicht zutraut - für den ist hier bereits Schluss, sorry. Diese Anleitung ist "as-is" zu verstehen, fachlich qualifizierte Fragen zum Thema können natürlich gern gestellt werden, ich werde versuchen, diese zu beantworten, sofern es möglich sein sollte.
Was Du schon mal vorbereiten kannst ist folgendes:
1. SIP (System Integrity Protection) muss/sollte abgeschalten werden,
geht leider nur per Recovery boot (cmd + R beim Booten drücken) - dann wenn gestartet dort im Terminal "
csrutil disable; reboot". Über Sinn oder Unsinn dieser Funktion kann man genauso streiten wie über UEFI. Mittels "
csrutil status" kann man das beim normalen Start im Terminal prüfen, ob das geklappt hat. Wird übrigens ins EFI-BIOS/NVRAM geschrieben und überlebt sogar OS-Installationen - deswegen auch nur im Recovery-Mode machbar.
2. Der zweite wichtige Teil ist das Wiederaktivieren der Option "Apps-Download: Keine Einschränkungen" - die erstmal seit Sierra unsichtbar aber nicht weg ist - unter Systemeinstellungen => Sicherheit => Allgemein. Das geht mittels "
sudo spctl --master-disable" im Terminal
.
3. Wer also hier Bedenken hinsichtlich Sicherheit hat, muss hier stoppen. Für mich als IT-Profi stellt das kein Problem dar, die Abschaltung dieser Funktionen empfinde ich als handhabbar, da gibts ganz andere Probleme was die Sicherheit angeht - Stichwort Cloud. Muss also jeder mit sich selbst abmachen. Außerdem herrsche ich über mein System und sonst niemand - da bin ich absolut kompromisslos.
Keine Angst, kann man notfalls
alles wieder rückgängig machen.
Fakt ist, es könnten Probleme beim Laden zweiter Kernel-Extensions geben, die wir aber benötigen. Genauer handelt es sich um die TUN/TAP Kernelmodule von hier:
http://tuntaposx.sourceforge.net/. Diese installieren wir aber später per Homebrew, falls noch nicht erfolgt. Xcode9 installieren,
mindestens 1x starten und EULA bestätigen, ich nutze die Komplettpackage aus dem MacAppStore, wobei wohl auch die Commandline-Tools reichen würden. Ohne das haben wir leider keinen Compiler
Weiterhin ist zu prüfen, ob ggf. schon QT5 neben QT4 installiert ist. QT5 sollte für unseren Zweck erstmal wieder ganz verschwinden. "brew uninstall qt" macht das, da inzwischen qt auf QT5 verlinkt wurde, QT4 gibts neuerdings mit qt@4. Wie das geht kann man hier nachlesen:
https://github.com/cartr/homebrew-qt4
Mit QT5 lässt sich der Shrew nicht compilieren, da muss viel in den Sourcen von grundauf geändert werden, was einer teilweisen Neuentwicklung zumindest der GUI-Tools gleichkäme !!! Es wurde für QT4 entwickelt (sogar QT3 aber später an QT4 angepasst) und genau das müssen wir verwenden.
Der beste Ausgangspunkt wäre allerdings, Homebrew nochmals ganz zu entfernen, damit wir eine saubere Umgebung hinbekommen:
1. Alle installierten Pakete entfernen, am besten damit :
brew remove $(brew list) - meckert er rum oder kriegt nicht alle Pakete weg das probieren als Tritt in den Hintern:
brew remove --force $(brew list)
2. Dann Homebrew selber nochmal rausschmeissen:
ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/uninstall)"
3. Homebrew wieder installieren:
/usr/bin/ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"
Update: 3.1 TunTap nicht vergessen:
brew install Caskroom/cask/tuntap und prüfen, ob die geladen wurden und laufen:
kextstat | grep tuntap da muss dann was angezeigt werden wie hier z.B.:
heiko$
kextstat | grep tuntap
133 0 0xffffff7f83968000 0x7000 0x7000 net.sf.tuntaposx.tun (1.0) 95DD963D-E23D-3B0F-8DE8-A4D2F6BFA5CC <7 5 4 1>
134 0 0xffffff7f8396f000 0x7000 0x7000 net.sf.tuntaposx.tap (1.0) 23FDB715-3D0D-3A26-ACBA-E3794C231CB7 <7 5 4 1>
4. Dann am besten folgendes machen
brew install mc - installiert den Midnight Commander mc mit besten Grüßen an den Norton Commander aus DOS-Zeiten UND gleichzeitig schon OpenSSL, das hätten wir dann schon mal.
5. Jetzt QT4:
brew tap cartr/qt4
brew tap-pin cartr/qt4
brew install qt@4
Sierra installiert fertige binaries, High Sierra compiliert QT4 - dauert so um die 30min.
6. cmake brauchen wir noch:
brew install cmake
Sourcen vom Shrew werden noch benötigt:
https://www.shrew.net/download/ike/ike-2.2.1-release.tgz
Altes Shrew-Zeug, falls vorhanden, entfernen:
rm -rf /Applications/Shrew*
rm -rf /usr/local/opt/shrew*
rm -rf /usr/local/bin/ikec
rm -rf /usr/local/sbin/iked
Hinweis: Immer wenn ein Befehl nicht geht mit "permission denied" fehlen entsprechende Rechte, dann dem Befehl ein
sudo voranstellen (=
super
user
do). Pro shell-Sitzung erfolgt meist nur 1x beim erstmaligen Benutzen von
sudo eine Passwortabfrage, danach macht er
sudo einfach so, also nicht wundern. Früher hat man das als "root" gemacht, das ist nicht ganz ungefährlich, da UNIX eher selten nachfragt und einfach macht was man ihm sagt - und einen "zurück" Button gibts auch nicht ! Heute nutzen wir
sudo, bleiben also im User-Kontext, da kann weniger "aus Versehen" passieren. Ja - ich habe auch schon mal unter Linux mein ganzes /etc geplättet - passiert schneller als man denkt.
und unter /Library/LaunchDaemons gucken, ob da was mit shrew dabei ist, wenn ja
sudo launchctl unload <filename>.plist entladen und
sudo rm <filename>.plist löschen
unter /usr/local/etc eine vorhandene iked.conf löschen
sudo rm /usr/local/etc/iked.conf
Wenn Du hier angekommen bist gib Bescheid - nur der Weg zum Ziel ist nicht mehr lang
, oh Pardon : "der für den User durch den Hersteller aufgezwungen imaginären Sicherheit". Also was ich auf meinen System für sicherheitsrelevant halte, entscheide nur ich - weder Apple noch sonstirgendjemand hat da was reinzupfuschen. Nachdem ja ALLE versagt haben bei den Ransomware-Wellen (zum Glück waren die Macs ja ziemlich verschont geblieben - das liegt aber nicht an Apple sondern am Basis-Konzept von UNIX im Allgemeinen gegenüber WIN), gebe ich auf das Sicherheitsgefasel, egal vom wem, nicht mehr viel. Ich stand diesen Sachen als IT-Profi schon immer skeptisch gegenüber, aber das hatte letztlich genau das bestätigt was ich immer schon vermutet hatte. Aber das ist ein anderes Thema...
