Hallo zusammen,
ich versuch mich jetzt mal in meinem 1. Post hier im Forum. Habt also etwas Nachsicht ;-)
Da ich es endlich geschafft habe mein Nokia Handy per VPN mit der FritzBox zu verbinden,
möchte ich gern die gesammelten Informationen mit euch teilen.
Meine Hardware:
Nokia 5730 XpressMusic
FRITZ!Box Fon WLAN 7170 (UI) Firmware-Version 29.04.76
Internet Provider 1und1 mit arcor DSL Leitung
Software:
Nokia Mobile VPN - mVPN_4_0_090527 von dem schon genannten Link
Tool und Details (pdf mit Syntax und Error Codes) gibts ja hier
http://europe.nokia.com/support/download-software/nokia-mobile-vpn/compatibility-and-download
Ziel:
Ist natürlich mich per Handy aus öffentlichen Netzen (z.B. HotSpot) per VPN
auf das private Netz hinter meiner FritzBox zuzugreifen und bestenfalls dann darüber
im Internet surfen zu können.
Vorab:
Zum Testen konnte ich sogar mein Handy per WLAN lokal anmelden und eine VPN Verbindung
zur dynDNS Adresse der FB aufbauen. Ich hab zwar schon Beiträge gesehen, die aussagen
dass dies nicht funktionieren würde, ging aber doch. Ich konnte das also alles lokal
ohne weitere Kosten probieren. Final gabs natürlich noch nen Test per UMTS.
Config-Files:
FB VPN - Ich habe mir eine standard Config per Fritz Fernzugangssoftware erstellt und diese angepasst.
Nokia VPN Policy - Hier habe ich auch eine Config mit ein paar Settings mit dem Policy Tool (Nokia)
erstellt und diese dann meinen Bedürfnissen angepasst. Man kann die erstellte .vpn Datei mit einem
Packer (ich benutze TotalCommander) entpacken, editieren und dann in die .vpn zurückpacken.
Ich habe die Policy Dateinamen und Details immer gleich meinem Verbindungsnamen "
[email protected]"
benannt. Glaubs zwar nicht, aber es könnte sein das das wichtig ist.
Die folgende Datei kann man per Text Editor bearbeiten, und sie dann per WebInterface in die FB laden.
Dabei werden auch die Passwörter "ver-hasht".
Hier nun die Configs (Natürlich müssen meine Kommentare raus):
"FB.cfg"
Code:
vpncfg {
connections {
enabled = yes;
conn_type = conntype_user;
name = "[email protected]"; <-- Name der Verbindung
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 192.168.178.201; <-- IP die das Handy bekommen soll
remoteid {
user_fqdn = "[email protected]"; <-- UserID des Handys (wie name)
}
mode = phase1_mode_aggressive; <-- Agressive mode, Main müsste auch gehen
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "TopSecret"; <-- PreSharedKey, hab den von Fritz erstellten behalten
cert_do_server_auth = no;
use_nat_t = yes; <-- NatTraversal einschalten
use_xauth = yes; <-- Ich benutze zusätzlich xauth (wird beim vpn Aufbau abgefragt)
xauth { <-- Hier steht dann der Account drin. Wenn xauth=no, kann dies gelöscht werden
valid = yes;
username = "UserID"; <-- Nicht die VPN ID oder fqdn!
passwd = "Passw0rd"; <-- Nicht der PSK!
}
use_cfgmode = yes; <-- In diesem Modus konfiguriert die FB mein Handy mit IP usw.
phase2localid {
ipnet {
ipaddr = 192.168.178.0; <-- Default FB Subnetz
mask = 255.255.255.0;
}
}
phase2remoteid {
ipaddr = 192.168.178.201; <-- Default Remote (Handy) IP (wie von AVM vorgeschlagen.
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist =
"permit ip any 192.168.178.201 255.255.255.255";
<-- Hier habe ich die source auf "any" geändert um Internet Zugriff zu haben.
<-- Mit der default source (192.168.178.0/24) sollte man nur Zugriff aufs lokale Netz haben.
<-- Dies muss zur SA bei der Nokia Policy passen (siehe "remote")
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}
Hier nund das Policy File für das Handy. Wie schon gesagt, entpackt kommt aus der .vpn Datei eine .pin und eine .pol.
"
[email protected]"
"
[email protected]"
Code:
[POLICYNAME]
[email protected] # Auch hier wieder mein "Connection-Name"
[POLICYVERSION]
1.0
[POLICYDESCRIPTION]
Connection to Home # Freitext soweit ich weiss
[ISSUERNAME]
[CONTACTINFO]
"
[email protected]"
Code:
SECURITY_FILE_VERSION: 1
[INFO]
[email protected] # Auch hier wieder mein "Connection-Name"
[POLICY]
sa [email protected]_1 = { # Wenn man per Tool (Nokia) den Nameen unter INFO erstellt, wird die SA autom. so benannt.
esp # Nur ESP, kein AH (AH geht nicht per NAT-Traversal (NAT-T)
encrypt_alg 12 # 12 = AES Encryption
max_encrypt_bits 256 # 256 Bit maximal für die AES Verschlüsselung
auth_alg 3 # 3 = SHA-1
identity_remote 192.168.178.0/24# Passend zu FB:phase2localid
src_specific
hard_lifetime_bytes 0
hard_lifetime_addtime 3600
hard_lifetime_usetime 3600
soft_lifetime_bytes 0
soft_lifetime_addtime 3600
soft_lifetime_usetime 3600
replay_win_len 0
pfs # Perfect Forward Secrecy einschalten
}
# Folgenden remote Eintrag hab ich aus anderen Quellen übernommen. Soweit ich das
# sehe, ist dies als access-list zu sehen, wie "accesslist" der FB.cfg.
# Schlicht: Jedes Paket an jede Adresse (any) wird in den Tunnel geschickt.
# Tunnel beginnt mit der SA und hat als Endpunkt den DynDNS Host (FB)
remote 0.0.0.0 0.0.0.0 = { [email protected]_1(yourdynhost.dynamic-dns.xy) }
inbound = { }
outbound = { }
[IKE]
ADDR: yourdynhost.dynamic-dns.xy 255.255.255.255 # Hier die eigentliche FB Inet Adresse per DynDNS (/32 Maske ist wichtig)
IKE_VERSION: 1 # Soweit ich weiss, macht die FB nur IKEv1
MODE: Aggressive # Aggressive mode wie in FB:mode
REPLAY_STATUS: FALSE
USE_MODE_CFG: TRUE # Passenden Config mode zu FB:use_cfgmode
IPSEC_EXPIRE: TRUE
USE_XAUTH: TRUE # Xauth einschalten. FB:use_xauth
USE_COMMIT: FALSE
ESP_UDP_PORT: 0 # Muss auf 0 stehen für IEFT NAT-T Mode! Auch wenns verlockt, "4500" geht nicht.
SEND_NOTIFICATION: TRUE
INITIAL_CONTACT: TRUE
USE_INTERNAL_ADDR: TRUE # Ich glaub das hat was mit dem Config Mode und der zugewiesenen IP zu tun.
DPD_HEARTBEAT: 90
NAT_KEEPALIVE: 60
REKEYING_THRESHOLD: 90
ID_TYPE: 3 # 3 = Fully qualified user name im nächsten Feld FQDN
FQDN: [email protected] # Passend zu FB: user_fqdn
PRESHARED_KEYS:
FORMAT: STRING_FORMAT # Format des PSK
KEY: 9 TopSecret # Wie FB: key (nicht xauth). Die Zahl gibt die Anzal der Stellen an!
GROUP_DESCRIPTION_II: MODP_1024 # DH Group 2 (1024Bit) bei PFS Quick Mode
USE_NAT_PROBE: FALSE # Muss auf False stehen, damit IEFT NAT-T läuft und nicht Nokia IPSec over NAT
PROPOSALS: 1
ENC_ALG: AES256-CBC # Verschlüsselung für IKE kommunikation
AUTH_METHOD: PRE-SHARED # Hier wird PSK eingestellt (siehe FORMAT + KEY)
HASH_ALG: SHA1 # SHA1 bei IKE
GROUP_DESCRIPTION: MODP_1024 # DH Group 2 (1024Bit) bei IKE
GROUP_TYPE: DEFAULT
LIFETIME_KBYTES: 0
LIFETIME_SECONDS: 3600 # Diese Lifetime muss zur FB passen. Die benutzt 3600 soweit ich weiss.
PRF: NONE
DNS_SERVER: 192.168.178.1 # Hier den DNS der FB eintragen. Ohne diesen Eintrag geht kein Internet Zugriff!
Konfiguration:
Die beiden Dateien werden nun jeweils installiert. Die FB.cfg per WebInterface in die FB und die Nokia Policy per
Bluetooth ans Handy geschickt.
Im Handy die SMS öffnen.. der Rest geht von alleine. Bei mir hab ich jetzt ein "Ziel" Intranet und mein lokales WLAN
im Ziel "Internet".
Verbindungsaufbau:
Im Handy den Broswer öffnen. Als Default Ziel hab ich "Intranet" gewählt.
URL
http://192.167.178.1 eintippen und los. Handy fragt, ob es sich per VPN verbinden und danach per WLAN verbinden soll.
Eine kurze Sekunde nach dem WLAN Aufbau kann man auf der FB Startseit bei VPN sehen "wird aufgebaut". Dann stimmen auf jeden
Fall schonmal die Grundsätzlichen Einstellungen wie IP's, VPN-ID etc. und Handy und FB schnacken.
Kurz danach sollte das "Lämpchen" auf grün umschalten und das VPN ist aktiv. Die FB Startseite sollte sich öffnen.
Auf dem Handy kann man Details im VPN Logging sehen. --> Einstellungen -> Einstellungen -> Verbindung -> VPN -> VPN-Protokoll
Interessant ist hier insb. die "Address info ...": virtual IP muss die 192.168.178.201 enthalten! local ist die WLAN IP..
Zusätzlich steht bei mir noch "NAT status code 3". Hab leider keine Ahnung was das bedeutet, scheint aber gut zu sein ;-) .
Noch ein paar Kleinigkeiten, die ich bei meinen Tests herausgefunden habe:
- Beim packet sniffen per Wireshark kann man sehen, dass die FB nicht auf den initialen Verbindungsaufbau per ISAKMP
reagiert, wenn die SA nicht korrekt ist (z.B. falscher Username
[email protected]). Man wird dann keine Antworten
sehen und sollte mal den Text in den Configs vergleichen (hat mich Tage gekostet ;-) )
- Sehr gut testen kann man vom lokalem Windows PC mit der Testversion vom NCP VPN Client, ob das VPN überhaupt läuft. Siehe AVM Anleitung
im ServicePortal. Geht auch lokal per LAN.
- Achtet darauf, dass die "Ziele" im Handy aufgeräumt bleiben und ihr immer nur die aktuelle Policy installiert habt.
Sonst versuchts Handy eventuell eine frühere Policy zu nutzen.
- Es kann passieren, dass man durchs editieren der Nokia Policy mit nem Editor die Zeilenumbrüche killt. Das Handy wird
dann diese nicht akzeptieren. Man sollte also die Config vom Tool (gilt auch für die FB.cfg) erstellen lassen und diese dann anpassen. Das spart Fehlersuche.
Sooo, viel Text ... ich hoffe nicht zu viel für meinen 1. Post, aber dennoch genug ums nachzubauen oder Anregungen zu geben.
Hoffe das klappt nicht nur bei mir, ist hilfreich und ich hab keine wichtigen Details vergessen...
Viele Grüsse und viel Erfolg,
Ceemly
