[4] VPN-Verbindung mittels L2TP und IPSec (nicht Cisco) mit iPhone 4

[roborosti]

Hallo Apfelgemeinde,

ich hab eine harte Nuss zu knacken und komme alleine nicht mehr weiter. Ich habe bereits hier die SuFu sowie google genutzt, jedoch finde ich keine Lösung zu meinem Problem. Die geniale Anleitung mit dem VPN-Cisco-Server hier im Forum hilft mir leider nicht weiter. Ebenso bekomme ich kaum Unterstützung seitens der FH, da die "personellen Kapazitäten mehr als erschöpft sind und somit fremde Betriebssysteme wie z.B. MacOS oder Linux-Systeme nicht supportet werden können".

Mein Problem:

Ich möchte mich mittels VPN in das Netz meiner FH einloggen. Mit meinem Netbook unter Windows 7 funktioniert das auch ohne Probleme. Also liegen hier schon mal keine Anmelde- oder Zertifikatsprobleme vor.
Um mich aber mit dem VPN meiner FH zu verbinden, wird sowohl L2TP als auch IPSec genutzt. Beide Typen unterstützt das iPhone, aber nicht simultan.
Laut Admin liegt an der FH kein Cisco-Server vor, weshalb ich auch die keine .pcf-Datei bekommen kann, in der ich ein Gruppenname und ein Shared Secret auslesen kann. Es existiert wohl auch kein Shared Secret...

Um Klarheit über das Funktionsprinzip des VPN an meiner FH zu schaffen, fragte ich beim Admin nach und bekam folgende Antwort zurück:

„Das VPN basiert auf den Protokollen IPSEC und L2TP. Beide
benoetigen eine Authentifizierung:
IPSEC: startet mit IKE (Internet Key Exchange). Beide Peers (iPhone und
VPN-Server) weisen einander ihre Identitaet nach und stimmen einige
Kommunikationsparameter ab. Fuer unseren VPN-Server erfolgt der Nachweis der
Identitaet ueber Zertifikate.
Abhaengig vom Betriebssystem brauchen die Peers unterschiedliche
Zertifikats-Informationen.
In jedem Fall sollten das eigene Zertifikat und die Zertifikate der
Zertifizierungsstellen (DTAG, DFN und FHJ) vorliegen. Linux-PCs brauchen
auch das Zertifikat der Gegenstelle (VPN-Server). In den Zertifikaten
stecken die oeffentlichen Schluessel der jeweiligen Entitaeten.
Der private Schluessel ist natuerlich nur auf dem zutreffenden Peer
hinterlegt.
Der Verbindungsaufbau (IKE) war erfolgreich, wenn eine sogenannte SA
(Security Association) erstellt werden konnte. Vielleicht gib es ja auf oder
fuer das iPhone eine Software, mit der die SA angezeigt werden kann.

L2TP: Auch dieses Protokoll verlangt eine Authentifizierung und benutzt
dafuer MSCHAPv2. Diese Authentifizierung ist jedoch nicht beidseitig,
sondern nur der L2TP-Client (iPhone) uebermittelt (in der bereits
aufgebauten und verschluesselten IPSEC-Verbindung) im
Challenge-Response-Verfahren Anmeldeinformationen an den L2TP-Server.
Es kann sein, dass der Client im iPhone-GUI nur nach dem Passwort fragt und
den eigentlich noch benoetigten Nutzername aus seiner Konfiguration gewinnt.
Der (hinterlegte) Nutzername und das verwendete Passwort muss dann dem
eigenen Konto in der zentralen Benutzerverwaltung entsprechen.“

Ich habe schon mit dem iPhone Konfigurationsprogramm mein .pfx-Zertifikat erfolgreich auf mein iPhone kopieren und installieren können. Es wird jetzt auch im iPhone zum Auswählen bei der IPSec-Verbindung angezeigt. Jetzt kann ich aber im iPhone als Verbindungstyp entweder IPSec oder L2TP auswählen. Laut der Erklärung des Admin brauch ich aber beide Verbindungstypen. Egal welche Verbindung ich auswähle, bei beiden Arten bekomme ich nach einem Verbindungsversuch keine Antwort vom Server. Ist ja auch klar, da ich mich ja nicht korrekt anmelden kann.

Nun meine Frage:
Wie kann ich mich mit dem iPhone zuerst eine IPSec-Verbindung aufbauen, um danach mit gesicherter Authentifikation den L2TP-Server zu erreichen? Kurz gefragt: Wie stelle ich das im iPhone ein?

Kann mir da jemand weiter helfen?

Vielen Dank schon mal im Voraus!

 

[roborosti]

Hat keiner eine Idee? Nicht mal einen Ansatz?

 

[drlecter]

Zum Verständnis. Die bauen eine IPSec Verbindung auf und über diese dann eine L2TP? Gibt es einen Gund hierfür?

 

[breze28]

In meiner Konfiguration ist L2TP, PPTP und IPsec in einer "Datei" zusammengefasst.
Und warum oder auswählen? In einer Konfiguration sind immer alle 3 im iPhone erfasst.

Einstellungen - Allgemein - Netzwerk - VPN - VPN hinzufügen

 

[roborosti]

Zum Verständnis. Die bauen eine IPSec Verbindung auf und über diese dann eine L2TP? Gibt es einen Gund hierfür?

Dies kann ich leider auch nicht beantworten.

In meiner Konfiguration ist L2TP, PPTP und IPsec in einer "Datei" zusammengefasst.

Bei mir auch. Nur muss ich ja zuerst eine IPSec- und danach eine L2TP-Verbindung aufbauen.
Bei der Konfiguration im iPhone kann ich aber nur einen Typ auswählen, mit dem sich das iPhone mit dem VPN verbinden soll. Es verbindet sich ja nicht mit allen drei Typen gleichzeitig.

 

[breze28]

Häh? Da muss man doch keine auswählen? Da sind nur 3 Reiter für die Daten und nichts zum auswählen?

 

[drlecter]

Häh? Da muss man doch keine auswählen? Da sind nur 3 Reiter für die Daten und nichts zum auswählen?

Wie wie baust du dann eine VPN Verbindung über die zweite bestehende Verbindung auf?

 

[roborosti]

Da sind nur 3 Reiter für die Daten und nichts zum auswählen?

Richtig. Indem ich einen Reiter auswähle (L2TP oder PPTP oder IPSec) und da meine Daten für die VPN-Verbindung eingebe, nimmt das iPhone diesen Verbindungstyp als VPN-Verbindung an.
In meinem Fall (wenn ich die E-Mail meines Admin richtig verstanden habe) muss ich zuerst eine IPSec mit Authentifizierung über ein Zertifikat und danach eine L2TP mit Authentifizierung mittels Username und Passwort aufbauen.

Sprich: Ich müsste zuerst den Reiter IPSec mit allen Verbindungsdaten sowie dem Zertifikat auswählen und wenn die Verbindung zum Server hergestellt ist, müste ich automatisch eine Verbindung zu dem L2TP-Server aufbauen (indem ich den Reiter L2TP auswähle) bei dem ich mich dann mit Benutzername und Passwort anmelde. Aber daran scheitert es ja...

 

[drlecter]

Das Vorgehen ist schon komisch. Welche FH ist das denn überhaupt?

 

[roborosti]

Es handelt sich um das VPN der FH Jena. Warum die das so kompliziert machen weiß ich auch nicht.

 

[drlecter]

Hm auf den Seiten (http://www.fh-jena.de/index.php/page/244/1822) sehe ich nur die Anleitung vom IPSec. Hast du mal versucht das einzurichten? Also mit Installation des Zertifikats usw.?

 

[roborosti]

Hallo.
Danke schön für deine Bemühungen auf den wirren Seiten meiner FH zu suchen!
Eine reine IPSec-Verbindung herzustellen habe ich auch schon probiert. Ich habe mit dem iPhone Konfigurationsprogramm mein .pfx-Zertifikat erfolgreich auf mein iPhone kopiert und installiert. Ich kann es auch im Reiter IPSec auch ohne Probleme auswählen. Trotz allem kann ich keine Verbindung zum Server herstellen. Weder im WLAN der FH noch über UMTS oder anderen WiFis.

Um deine Frage über den Sinn von L2TP und IPSec zu beantworten, stand auf der gleichen Seite, dessen Link du gepostet hast, folgende Zeilen:

"Technisch basiert unser VPN auf den Protokollen L2TP/IPSEC (Layer 2 Tunneling Protocol over Internet Protocol Security), IPSEC übernimmt dabei den Part der Verschlüsselung und L2TP die Nutzerauthentifizierung und die Ausreichung einer virtuellen IP-Adresse."

Somit wäre die Frage schon mal "geklärt"...

 

[breze28]

Richtig. Indem ich einen Reiter auswähle (L2TP oder PPTP oder IPSec) und da meine Daten für die VPN-Verbindung eingebe, nimmt das iPhone diesen Verbindungstyp als VPN-Verbindung an.
In meinem Fall (wenn ich die E-Mail meines Admin richtig verstanden habe) muss ich zuerst eine IPSec mit Authentifizierung über ein Zertifikat und danach eine L2TP mit Authentifizierung mittels Username und Passwort aufbauen.

Sprich: Ich müsste zuerst den Reiter IPSec mit allen Verbindungsdaten sowie dem Zertifikat auswählen und wenn die Verbindung zum Server hergestellt ist, müste ich automatisch eine Verbindung zu dem L2TP-Server aufbauen (indem ich den Reiter L2TP auswähle) bei dem ich mich dann mit Benutzername und Passwort anmelde. Aber daran scheitert es ja...

Du kannst keinen Reiter auwählen, das ist nur für die Eingabe der Daten und dann klickst du auf "save". Dabei wird nicht gespeichert auf welchem Reiter du warst, das siehst du indem du nach dem "save" den Reiter wechselst und das "save" grau bleibt, weil es keine Änderung gab.
Ich hab in allen drei Reitern Daten drinstehen. Da gibts definitv nichts zum auswählen über was die VPN aufgebaut wird.

Anhang anzeigen 68105Anhang anzeigen 68106Anhang anzeigen 68107

Das Problem ist wohl dass du das elektronische Zertifikat nicht selbst generieren kannst. (wär ja auch doof, wenn man das könnte^^)

 

[drlecter]

Hast du mal den Aufbau mit einem Rechner versucht?

 

[roborosti]

Du kannst keinen Reiter auwählen, das ist nur für die Eingabe der Daten und dann klickst du auf "save".

OK, aber warum habe ich dann, wenn ich den Reiter L2TP zuletzt bearbeitet habe, folgende Fehlermeldung stehen:

und wenn ich IPSec zuletzt bearbeitet habe folgende Fehlermeldung?


Die sind zwar vom Kontext her gleich aber dennoch verschieden, oder? Also muss doch das iPhone einen Verbindungstyp auswählen, mit dem es sich in ein VPN einwählt? Oder wie registriert das iPhone, mit welchen Verbindungstyp ich mich in ein VPN einwählen will?
Daher nahm ich bisher an, dass es einfach den letzten Reiter den ich bearbeitet habe als Verbindungstyp annimmt...

Hast du mal den Aufbau mit einem Rechner versucht?

Ja, mit meinem Rechner daheim (Win7 Prof. 32-Bit) sowie mit meinem Netbook (Win7 Starter 32-bit) funktioniert es einwandfrei.

 

[drlecter]

Also du musst nur das L2TP normalerweise einrichten. Das iPhone sollte hier L2TP over IPSec nutzen. Der letzte Reiter dient explizit für Cisco Concentrators. Ich selber hatte noch nie Certs mit Passphrases auf dem iPhone eingerichtet, das sollte aber auch kein Problem sein, da diese abgefragt werden. Du musst aber auch das DFN Cert (wenn ich mich recht entsinne) mit installieren, weil sonst die Überprüfung des Uni Certs fehlschlägt.

 

[roborosti]

Das hab ich mir auch schon gedacht. Jetzt ist nur die Frage, wie ich das L2TP richtig konfiguriere. Ich stehe da vor zwei Problemen:
1. Ich habe ja unter L2TP keine Auswahlmöglichkeit für ein Zertifikat. Nimmt sich das L2T-Protokoll dann einfach die Informationen aus den Zertifikaten, die ich schon installiert habe? Ich denke nicht. Woher soll das iPhone denn auch wissen, welches Zertifikat benötigt wird, wen ich es nicht genau deklariere...
2. Ohne eine Eingabe des "Shared Secrets" wird erst gar nicht versucht eine Verbindung aufzubauen. Jedoch gibt es, laut Ausage des Admins, hier an der FH das Prinzip mit dem "Shared Secret" nicht. Ich habe auch schon versucht, diverse Schlüssel die ich aus meinem Zertifikat herausgelesen habe, als Shared Secret einzusetzen, aber hat nie geklappt.