Leserartikel [Anleitung] Einrichtung VPN on Demand zur FRITZ!Box

[BalthasarBux]

Ja das ist mir auch vor ein paar Wochen aufgefallen. Ich schau mal, dass ich den von meinem Telefon exportiere und irgendwo/dort hochlade.

 

[BalthasarBux]

@Wiesel6
Beim Hochladen hab ich das noch in meinen RoutineHub-Favoriten gefunden, hat glaub ich recht ähnlich geklappt: https://routinehub.co/shortcut/5313/

Ansonsten warte ich auf Antwort des Typen, der VPN Auto-On gebaut hat, ob ich es an seiner Stelle auf RoutineHub laden darf.

 

[BalthasarBux]

So, nun ist VPN Auto-On mit Erlaubnis wieder online: https://routinehub.co/shortcut/10124/

 

[Brainbug82]

@placeafriend hast du mittlerweile eine Lösung hierfür gefunden? Ich habe das gleiche Problem wie du

 

[MichiWie87]

Ich habe die XML-Datei in meine Dateien über die iCloud geladen. Beim öffnen am iPhone kommt immer die Meldung "Profilfehler - Ungültiges Profil". Wo kann da der Fehler liegen?

 

[Iwwazwersch]

Ich habe die XML-Datei in meine Dateien über die iCloud geladen. Beim öffnen am iPhone kommt immer die Meldung "Profilfehler - Ungültiges Profil". Wo kann da der Fehler liegen?

Versuch mal ein anderes Passwort, ich hatte glaub ich mal ein Fragezeichen am Schluss, das hat die XML dann falsch interpretiert und ging dann auch nicht.

Vielleicht liegts ja dadran.

 

[MichiWie87]

Leider Nein

 

[grünerbert]

Leider klappt es nicht so richtig. Habe alles nach Anleitung gemacht. Verbindung zum VPN wird auch aufgebaut, aber das iPhone hat dann keinen Internetzugriff
Im Syslog der FritzBox heißt es dazu nur lapidar:

VPN-Verbindung zu "grünerbert [IP-Adresse] IKE-SA..." wurde erfolgreich hergestellt.

Und kurz darauf:

VPN-Verbindung zu grünerbert wurde getrennt. Ursache: 3 IKE Server

An einer anderen FritzBox kommt gleich gar keine VPN-Verbindung zustande (obwohl es bei den allerersten Tests lief!). Keine Ahnung, was hier schief läuft...

 

[Andony]

Hallo paxtn,

klasse Anleitung. Ich stehe jetzt vor einer Herausforderung, da ich ein neues iPhone 13 anstelle 7 verwende. Auf beiden Geräten läuft iOS 15.4.1 nur läuft jetzt das Script nicht auf dem iphone 13. Hättest Du einen Tip?

Vielen Dank und schöne Grüsse

​

 

[paxtn]

Sorry, ich hatte mich schon ewig nicht mehr mit dem Thema beschäftigt und daher hatte ich auch nicht mehr geantwortet, da ich nicht mehr im Thema bin. Ich wünschte, ich könnte helfen. 🙂

 

[grünerbert]

Ich würde niemals das Passwort in Klartext da eingeben.

Dann solltest du aber auch der Vollständigkeit halber erwähnen, dass man dann bei JEDEM Verbindungsversuch das Passwort eintippen muss! (Oder aus dem Schlüsselbund holen muss o.ä.) Sollte jeder für sich entscheiden, ob's einem das Wert ist. Wenn es stattdessen in der Secure Enclave des iPhone/iPad gespeichert ist, sehe ich da kaum Gefahr; außer bei der Übertragung der Datei. Die sollte man also keinesfalls per E-Mail-Anhang verschicken, auch nicht an sich selbst. Bei iCloud kann wenigstens "nur" Apple mitlesen.

An einer anderen FritzBox kommt gleich gar keine VPN-Verbindung zustande

Das lag offenbar an fehlender IPv6, wie in anderen Threads erörtert. Daher bitte die Info in den OP aufnehmen, @paxtn, dass eine vom Provider bereitgestellte, öffentliche IPv4 Grundvoraussetzung für das Vorhaben ist. Das erspart dem ein oder anderen langwierige Fehlersuche. 🤯

Keine Ahnung, was hier schief läuft...

Liegt wohl am iPhone oder am iOS. Auf einem alten iPad (iOS 12.5.5) funktioniert es. Verbindung (beim ersten Test) nicht immer stabil, aber da das Gerät generell recht langsam ist, merkt man kaum eine Verschlechterung.

 

[grünerbert]

Verbindung zum VPN wird auch aufgebaut, aber das iPhone hat dann keinen Internetzugriff

Kleiner Nachtrag: Inzwischen klappt es auch auf dem alten iPhone (iOS 15.5) Aber nur, wenn ich Passwort und SharedSecret im Klartext in die Config-Datei schreibe. Dann musste ich das SharedSecret nur noch einmal eintippen, seitdem ist es gecached o.ä. (Wer keinen Mac für AirDrop hat, kann alternativ SnapDrop nutzen)
Das Phänomen, dass die Verbindung bei gesperrtem Bildschirm abbricht, erlebe ich auch. Aber besser als nichts.

 

[2Sharp4U]

Dann solltest du aber auch der Vollständigkeit halber erwähnen, dass man dann bei JEDEM Verbindungsversuch das Passwort eintippen muss! (Oder aus dem Schlüsselbund holen muss o.ä.) Sollte jeder für sich entscheiden, ob's einem das Wert ist. Wenn es stattdessen in der Secure Enclave des iPhone/iPad gespeichert ist, sehe ich da kaum Gefahr; außer bei der Übertragung der Datei. Die sollte man also keinesfalls per E-Mail-Anhang verschicken, auch nicht an sich selbst. Bei iCloud kann wenigstens "nur" Apple mitlesen.

Sorry, dann habe ich das glaube ich mit den Mail-Profilen verwechselt.
Da muss man es bei der Installation nur einmalig eingeben und das Konto ist gespeichert.

 

[grünerbert]

Das lag offenbar an fehlender IPv6, wie in anderen Threads erörtert. Daher bitte die Info in den OP aufnehmen, @paxtn, dass eine vom Provider bereitgestellte, öffentliche IPv4 Grundvoraussetzung für das Vorhaben ist. Das erspart dem ein oder anderen langwierige Fehlersuche. 🤯

Inzwischen geht ja dank FritzOS 7.50 (bzw. der diversen Labor-Versionen) sowohl IPSec-VPN als auch WireGuard, sowohl über IPv4 als auch IPv6. Auch die Performance ist in beiden Varianten deutlich schneller geworden, bei mir fast Faktor 8!
Wird die Anleitung auch mit WireGuard funktionieren? Oder muss WireGuard dazu als Protokoll in iOS/iPadOS integriert werden, statt als separate App?

 

[2Sharp4U]

Warum noch so kompliziert?
Lässt sich doch alles über die Wireguard App regeln

 

[grünerbert]

Lässt sich doch alles über die Wireguard App regeln

Habe dort leider nicht den Punkt gefunden, dass VPN immer aktiv ist außer in meinem Heimnetz und mobilem Internet. Also genau das, was die Config-Datei leistet. Muss dann den Tunnel also jedesmal händisch an- und ausschalten. Da fand ich die bisherige Lösung bequemer.
Vom Durchsatz her sind beide bei mir nun gleichauf. Von der Stabilität her kommt mit Wireguard aber besser vor.

 

[2Sharp4U]

Habe dort leider nicht den Punkt gefunden, dass VPN immer aktiv ist außer in meinem Heimnetz und mobilem Internet. Also genau das, was die Config-Datei leistet.

Den gibt es doch aber.
Verbindung bearbeiten und dann ganz unten:
Abschnitt „AKTIVIERUNG AUF WUNSCH“
Mobil
WLAN
SSIDs

Einfacher gehts denke ich nicht mehr

 

[prodo80]

Ich habe bereits seit einigen Jahren 3 VPN Profile auf dem iPhone.
1. Kompletter Verkehr über VPN (manuell)
2. Nur Verkehr auf Fritz.box über VPN (manuell)
3. WLAN abseits des eigenen WLAN über VPN (on demand)

Aufgrund von Reiseländern mit vollständiger Internetüberwachung wollte ich nun ein viertes Profil hinzufügen mit Mobile / WLAN über VPN (on demand). 3 würde ich nur noch als Fallback nutzten, falls die Fritz Box aus irgendwelchen gründen mal nicht erreichbar ist. Theoretisch kann man natürlich auch 1 und 2 ohne Aktivierung der Verbindung als Fallback nutzen, dort besteht aber die Gefahr, dass man es vergisst wieder auf on demand umzuschalten. Somit wäre immer on demand schon sinniger, als manuelles hin und her schalten.

Das scheint aber nicht zu gehen. Sobald ich das neue Profil hinzufüge, wird 3 überschrieben. Umschalten könnte man ansonsten zwischen verschiedenen On demand Profilen aber es scheint nur eins installierbar zu sein? Ich habe im Profil an zwei Stellen den Namen / die Bezeichnung angepasst und auch ein neues Shared Secret vergeben aber es wird immer Profil 3 überschrieben. D.h. entweder gibt es noch einen Identifyer, den ich übersehen habe, oder es kann nur ein on demand Profil geben.

 

[grünerbert]

Du meinst immer noch IPSec!? Kann deine Fritzbox kein Wireguard? Und/oder hast du Gründe, es nicht zu nutzen? Damit sollte all das funktionieren, was du willst.

Aufgrund von Reiseländern mit vollständiger Internetüberwachung

Leider ist die VPN-Implementierung in iOS nicht so wasserdicht, wie man denkt... Da hilft wohl nur das Mitführen eines vernünftigen Reiserouters.

 

[prodo80]

Ich habe eine 7580, die kann kein Wireguard, also ja noch immer IPSEC. Den Artikel von Heise hatte ich damals gelesen, aber ich nutze eh nur Dienste auf meinem Server, alles was auf der Apple Cloud ist aus, insofern bin ich relativ entspannt. Und 99% VPN ist ja noch immer besser als 0%. Mir kam nur bei dem Besuch in Ägypten die Idee, dass das Vertrauen ins Handynetz bzw. das man dort kein VPN benötigt wohl nicht so angemessen ist, wenn der Staat ggf. über die Metadaten sehr viel erkennt - z.B. DNS Abfragen. Im Prinzip ist es in den USA ja auch nicht anders, wobei man in Ägypten mit der falschen Werbemail grundsätzlich schon in rechtlichen Grauzonen landet je nach Inhalt.