Anleitung: iPhone per VPN von unterwegs über die heimische Fritzbox surfen

Mit dem Firmware-Update vom September 2010 hat AVM die VPN-Funktionalität angepasst und VPN Verbindungen zwischen dem iPhone und der Fritzbox ermöglicht. Nach einer kleinen Änderung der VPN-Konfigurationsdatei, die für den Import in die Fritzbox bestimmt ist, kann die Fritzbox als Secure Gateway für VPN-Verbindungen von einem iPhone (und natürlich auch einem iPad) genutzt werden. Damir wird auch VoIP (z.B. über das eigene Festnetz von unterwegs telefonieren) möglich

Bitte Vorsicht, wenn jetzt die neu erstellte VPN-Konfigurationsdatei hochgeladen wird, werden alle bestehenden VPN-Konfigurationen entfernt. Eine bestehende VPN-Konfiguration wird überschrieben. Wenn beide VPN-Konfigurationen benötigt werden, müssen beide VPN-Konfigurationen in einer Datei zusammengeführt werden. Hier sollte bitte das Programm “FRITZ!Fernzugang einrichten” zum grundlegenden Aufbau der VPN-Konfiguration eingesetzt werden, damit die Verschachtelung der einzelnen Konfigurationen korrekt bleibt. Die notwendigen Änderungen für die VPN-Verbindung des iPhone lässt sich dann immer noch nachträglich hinzufügen.

Die Fritzbox hat nach wie vor auf ihrer Benutzeroberfläche keine eigene Einstellungsmöglichkeiten für VPN-Verbindungen, diese müssen also weiterhin als VPN-Konfigurationsdatei importiert werden. Solche VPN-Konfigurationsdateien können mit einem kostenlosen Programm namens “FRITZ!Fernzugang einrichten” (gibt es bei AVM im Download-Bereich) erstellt werden. Da wir jedoch die so erstellte VPN-Konfigurationsdatei für unser iPhone-VPN nochmal anpassen müssen, hier eine VPN-Konfigurationsdatei in ganzer Länge zum Herauskopieren und Anpassen.

    vpncfg {
    connections {
    enabled = yes;
    conn_type = conntype_user;
    name = "Accountname";
    always_renew = no;
    reject_not_encrypted = no;
    dont_filter_netbios = yes;
    localip = 0.0.0.0;
    local_virtualip = 0.0.0.0;
    remoteip = 0.0.0.0;
    remote_virtualip = 192.168.178.200;
    remoteid {
    key_id = "Accountname";
    }
    mode = phase1_mode_aggressive;
    phase1ss = "all/all/all";
    keytype = connkeytype_pre_shared;
    key = "sharedsecret";
    cert_do_server_auth = no;
    use_nat_t = yes;
    use_xauth = yes;
    use_cfgmode = no;
    xauth {
    valid = yes;
    username = "Accountname";
    passwd = "Kennwort";
    }
    phase2localid {
    ipnet {
    ipaddr = 0.0.0.0;
    mask = 0.0.0.0;
    }
    }
    phase2remoteid {
    ipaddr = 192.168.178.200;
    }
    phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
    accesslist =
    "permit ip any 192.168.178.200 255.255.255.255";
    }
    }

Ein beliebiger Accountname, der in beiden Feldern gleich lauten muss. Keine komplizierten Sonderzeichen oder Leerschritte.

Das ist die virtuelle IP-Adresse, unter der das iPhone (bzw. der VPN-Client) später im lokalen Netzwerk der Fritzbox erscheinen wird. Wenn das LAN mit den Netzwerk-Standardeinstellungen betrieben wird, nutzt die Fritzbox das Netzwerk 192.168.178.x und für VPN-Clients IP-Adressen ab 201. (In diesem Fall habe ich die 192.168.178.200 ausgewählt, weil ich noch eine weitere VPN-Konfiguration nutze, die hier nicht aufgeführt ist.)

Hier ist der Shared Secret Key für die IPSec-Verschlüsselung einzutragen. Prinzipiell gehen hier auch Sonderzeichen, es genügt jedoch eine Zeichenfolge mit Groß- und Kleinbuchstaben, sowie Ziffern. Da dieses Shared Secret später auf dem VPN-Client auch nur einmal eingegeben werden muss, darf es gern länger sein, bei mir sind es 16 Stellen.

Das sind Benutzername und Passwort für die zusätzliche XAUTH-Authentifizierung. Hier empfehle ich für “username” den oben schon festgelegten Accountnamen, für “passwd” ist ein Passwort empfehlenswert, das nicht das Shared Secret ist und immerhin so aufgebaut sein sollte, dass man es sich einfach merken kann, da dieses Passwort bei jedem VPN-Verbindungsaufbau – zumindest auf dem iPhone – eingegeben werden muss.

Die Zeile mit dem rot markierten Eintrag ist eminent wichtig dafür, wie der ausgehende Datenverkehr des VPN-Clients auf der Fritzbox behandelt werden soll. Hier ist wichtig, dass die rot markierte IP-Adresse genau die gleiche Adresse ist, wie weiter oben bei “remote_virtualip” und “ipaddr” angegeben.

Die Datei mit beliebigem Dateinamen und der Dateiendung “.cfg” abspeichern und diese Datei in die Fritzbox importieren. Das passiert in der Rubrik “Internet” unter “Freigaben” und dort in der Registerkarte “VPN”. Der Importvorgang dauert einige Sekunden und quittiert dann entweder mit einem erfolgreichen oder erfolglosen Import. Ist er erfolglos, stimmt mit ziemlicher Sicherheit etwas am Aufbau der VPN-Konfiguration nicht.

Die VPN-Konfiguration auf dem iPhone ist weit weniger kompliziert, als es klingt. Zu finden ist sie in den Einstellungen unter “Allgemein”, dort unter “Netzwerk” und dort wiederum unter “VPN”. Hier auf “VPN hinzufügen” tippen und den Button “IPSec” wählen. Es erscheint folgendes Fenster:

Die Beschreibung kann frei gewählt werden und dient lediglich zur Kennzeichnung der VPN-Verbindung auf dem iPhone.

Hier kommt die Adresse hinein, unter der die Fritzbox im Internet zu erreichen ist. Wer eine feste IP-Adresse hat, kann entweder die IP-Adresse oder den Hostnamen angeben. Wer keine feste IP-Adresse hat, kann sich mit einem DynDNS-Dienst behelfen.( Ich setze dyndns.org ein, die dazugehörigen Daten können bequem in der Fritzbox hinterlegt werden, so dass die Fritzbox selbstständig dafür sorgt, bei einem DSL-Verbindungsneuaufbau auch den DynDNS-Eintrag zu aktualisieren.)

Hier kommt der Accountname ein, der oben in der VPN-Konfiguration festgelegt wurde.

Und hier eben das oben festgelegte Kennwort (nicht das Shared Secret!) hinein, wenn nicht bei jedem Verbindungsaufbau neu nach dem Kennwort für die Verbindung gefragt werden soll. Ich empfehle, das Kennwort hier nicht zu hinterlegen, so wie ich es immer bei mobilen Geräten handhaben würde, die VPN-Verbindungen in Netzwerke aufbauen können sollen, die nicht von einem eigenen Administrator, der im Ernstfall schnell die VPN-Konfigurationen deaktivieren kann, gehostet werden.

Ausgeschaltet lassen, wir verwenden kein Zertifikat.

Hier auch einfach den Accountnamen eintippen.

Und hier kommt das Shared Secret hinein.

Auf “Aus” gestellt lassen, wir verwenden keinen Proxy.

Das VPN lässt sich in den iPhone-Einstellungen mit dem nun neu eingeblendeten VPN-Schieber starten. Einfach den Schieber aktivieren und schon wird versucht, den Tunnel zu öffnen. Wird der Tunnel zur Fritzbox etabliert, erscheint nach einigen Sekunden die Passwortabfrage. Bei erfolgreichem Aufbau des VPN-Tunnels, erscheint in der Infozeile des iPhone ein kleines VPN-Symbol, gleichzeitig ist auf der Benutzeroberfläche die nun aktive VPN-Verbindung zu sehen.