VPN on-demand mit iOS - ich versteh's nicht ganz

[topbite]

Hallo zusammen,

habe heute dank der loxwiki Anleitung das VPN on Demand ebenfalls erfolgreich mit meiner Fritzbox zum Laufen gebracht. Funktioniert so wie es soll.
Allerdings würde ich gerne VPN on Demand auch mit Geofency nurtzen, habe aber noch nicht wirklich verstanden, wie ich das bewerkstelligen kann. In der dort Hinterlegten URL (fürAnwesenheit/Abwesenheit) kann ch doch irgendwie nur die IP Adressen in String "verbauen", ansonsten funktionert das Ganze doch nicht. Der "Trigger" für den VPN Aufbau fehlt mir aber doch dadruch quasi. Kann mir jemand einen Tipp dazu geben?

Gruß T
TImo

[raphaeldoerr]

Hi. Probier mal bei der geofancy App, test request http://fritz.box und dann auf senden. Bei mir wird dann eine vpn Verbindung aufgebaut. Du könntest bevor du deinen eigentlichen Post sendest, vorher (größerer Radius) diesen Post zur fritzbox benutzen um eine vpn Verbindung aufzubauen.

[topbite]

Hallo Raphael,

wenn ich die o.g. Test URL mit Geofency sende, wird der VPN vom iPhone aufgebaut. Damit habe ich das gleiche Verhalten wie bei der Loxone App. Allerdings hatte ich mir vorgestellt, dass Geofency immer im Hintergrund läuft und die Eintritt/Austritt Meldung automatisch meldet und dazu eben auch automatisch den VPN Tunnel aufbaut. Ich weiß nicht ob ich Dich richtig verstanden habe, aber ich möchte keinen manuellen Eingriff. Sobald ich von der URL http://[IP Miniserver]/dev/sps/io/.....] abweiche bzw. dort ein [DNS Miniserver].Fritz.box/dev/sps/io oder ähnliches eintrage, erhalte ich die Meldung "..kein Server mit angegebenen Hostnamen gefunden" (VPN wurde aufgebaut).

[tholle]

Geofency scheint keine FQDN aufzuloesen. Das ist extrem aergerlich, weil es dann mit VPN on Demand nicht funktioniert.

[raphaeldoerr]

Ich hatte mir das so vorgestellt:

1. Http push befehl Umkreis 2km von deinem Haus. Mit dem Post: http://fritz.box
(vpn Verbindung wird automatisch bereitgestellt)

2. Jetzt den eigentlichen http push befehl senden, aber im Umkreis 1km. Http://[miniwerverIp]/dev/sps...
(Sollte ja jetzt funktionieren, da eine vpn Verbindung aufgebaut wurde)

[topbite]

Ah ok, etwas schwer von begriff - werd' ich gleich mal testen, danke dir für den tipp!

[Pio435]

Ich habe mal eine Frage in die Runde:

Ich meine mich zu erinnern, dass mit der mobileconfig vor iOs9 die VPN-Verbindung nach einer gewissen Zeit im Sperrmodus automatisch wieder getrennt wurde ...

Mit der Umstellung auf die neue Version bleibt bei mir die VPN-Verbindung immer offen (auch mit Sperrbildschirm) und konsumiert natürlich entsprechend Batteriestrom.

Kennt Ihr dieses Phänomen bei Euch auch?

[roadi]

Ich hab aktuell 9.3 aufn 6s und es wird automatisch im Sperrbildschirm getrennt. Wie du sagst nach ein paar Minuten oder so. Habs noch nicht gestoppt.

Auch bei 9.2 funktionierte das ohne Probleme

[Lox-Manuel]

Hallo zusammen

Ich bin mit VPN On Demand am rumbasteln. Habe eine FritzBox 7490 und einen Sunrise Anschluss. VPN baut sich gut auf, kein Problem. Nur löst mein iOS die DNS nicht auf. Sobald der VPN Tunnel steht, komme ich mit der IP-Adresse problemlos auf den Miniserver.

Wenn ich im Safari <hostname miniserver>.fritz.box eingebe, dann macht er schön den VPN Tunnel auf. Nur geht's nicht weiter. Mit der IP komme ich tip top drauf.

Hat jemand von euch eine Ahnung woran das liegen kann?

Danke

[Lox-Manuel]

Ich bins wieder, habs hingekriegt. Wohl eher Zufall als dass das logisch sein soll. Ich habe in der Konfig vom Miniserver als externe Adresse noch die dnscloud-Adresse drin. Habe jetzt die hostname.fritz.box:Port reingehauen und jetzt funktionierts...

Ist aber wohl eher Zufall. Ich befürchte, dass die App beim Starten
- zuerst mit der internen Adresse probiert: Kein Erfolg
- dann mit der Externen: VPN Tunnel wird geöffnet, aber keine Verbindung
- ergo probiert er es wieder mit der internen IP (nicht Namens-Auflösung) --> da der Tunnel steht kriegt er Verbindung

Meines Erachtens wohl eher Zufall dass es klappt, mein iOS9 macht leider keine Namensauflösung via VPN :-(

[Jan W.]

Dein iOS muss auch keine DNS Namensauflösung für den MS machen. Als externen DNS Namen in der Loxconfig musst Du nur einen (möglicherweise fiktiven) Namen eintragen, der genau dem Namen in Deiner "VPN on Demand" Konfiguration entspricht, bzw. den Namen einschließt (per Wildcard).

Du hast Recht, dass die App zuerst die interne IP-Adresse bzw. den internen Namen probiert. Das schlägt von extern natürlich zuerst fehl, dann probiert die App den externen Namen. Dies triggert den Aufbau des VPNs - falls nicht liegt ein Konfigurationsfehler vor. Der DNS-Name z.B. myloxone.fritz.box funktioniert von extern nie, da auch per VPN nicht die heimische Fritz!box als DNS Server verwendet wird. Dann probiert die App wieder die interne IP-Adresse, was jetzt funktionieren sollte.

Zufall ist es also nicht, dass es klappt, sondern logisch erklärbar - und erklärt auch, warum Safari beim Aufruf des DNS Namens nach dem Aufbau des VPNs nicht weiterkommt. Safari schaltet ja nicht danach auf die interne IP-Adresse um. Wenn Du es manuell machst, dann klappt es ja.

Wichtig ist auch, dass die App zuerst den externen Namen lernen muss, d.h. die App muss sich zuerst vom MS die Config holen, z.B. über eine interne Verbindung.

Gruß Jan

[Lox-Manuel]

Jan, besten Dank für die ausführliche Erklärung.

Genau so funktionierts bei mir jetzt. In anderen Foren bzgl. on demand vpn liest man jedoch, dass bei einigen Providern beim Aufbau des VPN am iOS der DNS Server ebenfalls auf lokal wechselt, was ja auch sinnvoll wäre.

Denn Du wechselst ja quasi das Netz, Du erreichst dann z.B. Auch www.google.ch nicht mehr, was aber bei vielen geht.

Aber bei mir macht er das nicht. Mal noch ein bisschen rumforschen, buw. Den sunrise Support quälen ;-)

[Jan W.]

Es gibt VPN Clients, die das können. Die Funktion nennt sich z.B. Split-DNS und wird vom Cisco Anyconnect Client unterstützt. Für bestimmte definierte DNS Domänen wird der DNS Server durch den VPN Tunnel verwendet, der Rest geht direkt an den &quot;normalen&quot; DNS Server ins Internet. Bin mir nicht sicher, ob iOS das auch kann. Da Du alle Ziele im Heimnetz auch per IP-Adresse ansprechen kannst, wird die Funktion eigentlich nicht benötigt.

Die VPN on Demand Config sollte nur für ein bestimmtes Ziel (Dein Heimnetz) den VPN Tunnel aufbauen und der Rest sollte noch direkt ohne VPN Tunnel erreichbar sein. Diese Funktion nennt sich &quot;Split-Tunnel&quot;. Dein Provider wird Dir wahrscheinlich hier nicht helfen können, denn der hat nichts damit zu tun. Bei mir funktioniert der Split-Tunnel problemlos, d.h. ich kann gleichzeitig mein Heimnetz durch den VPN Tunnel und Google, Facebook & Co. direkt ohne VPN Tunnel erreichen.

Gruß Jan

[svethi]

Der Provider kann da gar nichts machen. Das ist ein Problem in der Konfiguration. Die Fritzbox muss beim Aufbau der Verbindung die IP des Client und den DNS übermitteln. Da scheint was daneben zu gehen. Bei mir gehts ja auch.

Gruß Sven

PS: um das zu präzisieren ... Lokales DNS funktioniert natürlich nicht, aber Internet. Du musst in der Fritzbox einschalten, dass die VPN Verbindungen auch ins Internet dürfen.

[Lox-Manuel]

Hallo Svethi

hast Du allenfalls eine Muster-Konfig-Datei für das Fritz Box VPN?

Gruss
Manuel

[svethi]

Ich habe mir die seinerzeit anhand der Beispiele im Forum selbst zusammen gebastelt.

[tholle]

Ich will keinen neuen Thread aufmachen und bevor ich jetzt in der Nacht noch lange im Netz suche hier die kurze Frage. Ist jemandem bekannt, dass AVM in der letzten/aktuellen FritzOS-Version etwas am VPN geaendert hat? Bestimmte Regeln oder Ports veraendert hat? Hintergrund meiner Frage ist, ich habe mir eine neue Fritz!Box (6490 Cable) geholt. VPN eingerichtet, etc.. VPN-Verbindung klappt, aber die Loxone-APP kann keine Verbindung zum MS herstellen. Das aeussert sich in einem weissen Bildschirm beim Starten der App. Ich kann via VPN im INet surfen oder auch das Webfrontend des MS per HTTP aufrufen. Nur die APP verbindet sich nicht. Jemand eine Ahnung wo ich mit der Suche ansetzen kann?

thx und Gruss,
tholle

[Jan W.]

Ah, einer der nach der Cloud DNS Sicherheitslücke eine sichere VPN-Verbindung nutzen möchte. Ich habe zwar eine aktuelle Fritz!Box 7490, verwende aber bereits seit geraumer Zeit das VPN On-Demand ohne Probleme mit den aktuellen iOS Versionen. Bist Du sicher, dass die VPN Verbindung aufgebaut ist ? (Anzeige in der oberen Zeile "VPN" in einer umrandeten Box). Wird die VPN Verbindung automatisch aufgebaut? Meinst Du mit dem Webfrontend des MS die private (reale) IP-Adresse des MS? Die App liest die interne und externe URL für den MS aus der Config.
Der Aufbau der Verbindung von der App zum MS geschieht in mehreren Schritten:
1. Die App versucht es über die interne IP-Adresse des MS. Dies muss ohne aktive VPN-Verbindung fehlschlagen.
2. Die App versucht es über die externe Adresse. Der DNS Name (auch FQDN genannt) wird an das iOS zur Auflösung in eine IP-Adresse gegeben. Dieser Name triggert den Aufbau des VPNs und muss mit dem definierten Namen in der VPN Config On-Demand übereinstimmen. Jetzt sollte im iPhone oben das Wort VPN in einer Box angezeigt werden. Nur dafür wird die externe Adresse verwendet. Hier sollte ein Fantasiename, wie z.B. myloxone.fritz.box verwendet werden, der nicht im Internet per DNS aufgelöst werden kann. Sofern die App eine Antwort vom DNS Server bekommt und die IP-Adresse erreichbar ist, funktioniert es wahrscheinlich nicht. Hier könnte Dein Problem sein!
3. Wenn die App den MS über die externe Adresse nicht erreichen kann, versucht es die App wieder über die private IP-Adresse. Da das VPN jetzt aufgebaut ist, kann die App den MS erreichen.

Das Ganze funktioniert innerhalb von ca. 1. Sekunde, so dass man beim Start der Loxone App aus einem fremden WLAN oder über LTE ziemlich schnell auf den MS zugreifen kann.

Gruß Jan

[tholle]

Moin Jan,
vielen Dank für deine Ausführungen und sorry. Sorry dafür, dass ich nicht klar gestellt hatte, dass ich VPN schon seit Jahren einsetze. Nicht nur für meine Haus-IT, sondern auch in meinem Beruf. Ich habe jetzt, nach dem Einzug ins Haus allerdings den Provider wechseln müssen, und deswegen meine 7490 durch eine 6490 (ist speziell für Kabelanbieter) ersetzt. VPN funktioniert, denn ich kann durch den Tunnel auf verschiedene Hosts in meinem Netz zugreifen. Lediglich die Loxone-App findet den MS nicht. Reines http scheint die App also nicht zu sprechen. Deswegen die Frage, ob die App evtl. noch auf irgendeine andere Weise mit dem MS kommuniziert und eben jenes von der FB irgendwie blockiert wird.

Thx und Gruss,
tholle

[Jan W.]

Die App nutzt glaube ich "Websockets", was über den gleichen Port wie HTTP läuft, aber: es gibt eine Einstellung unter http;//<interne-ip-ms>/admin, dann "Einstellungen", wo man festlegen kann, dass die Konfiguration des MS nur lokal oder auch von entfernten IP-Netzen erlaubt ist. Das Fritz!Box VPN verwendet bei mir ein eigenes IP-Netz für den VPN Zugang, ist also aus der Sicht des MS nicht das direkt angeschlossene lokale IP-Netz. Der Parameter ist bei mir auf "Online". Ich weiß aber nicht mehr, ob ich das mal gesetzt hatte, weil ich auch über VPN die Loxconfig nutzen wollte oder das auch für die App erforderlich ist. Eine Portweiterleitung sollte man dann aber auf keinen Fall für den MS haben!

Hast Du den vorher genannten Punkt 2 überprüft?

Gruß Jan