VPN tussen iPhone & iMac

[MenaceD]

Update: gelukt, zie laatste post

Om te beginnen wist ik niet of deze meer tot zijn recht kwam in "Apple" of in "Netwerken", maar ik gok erop dat het er niet toe doet welk OS ik draai voor dit probleem.

Wat ik wil: met mijn iPhone van overal een VPN connectie kunnen opzetten naar mijn netwerk thuis. Mijn idee was om hiervoor mijn iMac te gebruiken i.c.m. iVPN.

Wat ik heb gedaan: iVPN geinstalleerd op mijn iMac. iVPN zorgt ervoor dat de interne VPN server van osx wordt aangezet (normaal alleen in OSX server). Deze draait nu. Ik heb hem ingesteld als L2TP server.

Ik heb ook de poorten (500,4500 en 1701) gemapped van mijn router (Asus WL500g) naar mijn iMac zoals beschreven stond in de handleiding van iVPN.



Wat het probleem is: ergens gaat iets niet goed als ik van buitenaf (via 3G) probeer met mijn iPhone connectie te maken met de VPN server van de iMac. Ik krijg een foutmelding op mijn iPhone.



Als ik in de router logs kijk dan zie ik dat mijn request binnen komt en volgens mij wordt gemapped naar mijn iMac:

Jul 17 09:31:33 filter: UDP connection accepted to 192.168.1.2:500 from 95.98.159.204:500
Jul 17 09:31:33 filter: UDP connection accepted to 192.168.1.2:500 from 95.98.159.204:500
Jul 17 09:31:35 filter: UDP connection accepted to 192.168.1.2:500 from 95.98.159.204:500
Jul 17 09:31:38 filter: UDP connection accepted to 192.168.1.2:500 from 95.98.159.204:500

Het IP adres 192.168.1.2 is van mijn iMac, het andere IP is van mijn iPhone

Uit de logs van de iVPN server:
#Start-Date: 2009-07-17 09:34:54 CEST
#Fields: date time s-comment
2009-07-17 09:34:54 CEST Loading plugin /System/Library/Extensions/L2TP.ppp
2009-07-17 09:34:54 CEST Server 'com.apple.ppp.pptp' moved to background
2009-07-17 09:34:54 CEST Server 'com.apple.ppp.l2tp' moved to background
2009-07-17 09:34:54 CEST Listening for connections...
2009-07-17 09:34:54 CEST Listening for connections...

Dus nergens een teken van ontvangst.

Ik heb ook geprobeerd om van binnenuit mijn netwerk een connectie te maken om te testen of de iVPN server uberhaupt werkt: dit werkt. Ik connect dan met mijn Wifi op mijn iPhone, verander het IP adres van de VPN instelling in de iPhone met het interne adres van mijn iMac (192.168.1.2) en dan kan ik connecten.

Oplossing: tsja,... jullie?

[ Voor 2% gewijzigd door MenaceD op 20-07-2009 00:05 . Reden: plaatjes toegevoegd ]

[Seth4Chaos]

Jul 17 09:31:33 filter: UDP connection accepted to 192.168.1.2:500 from 95.98.159.204:500

Wij hebben dit probleem ook met UMTS laptops die naar onze VPN willen connecten, aangezien je in het UMTS netwerk altijd een 10.x.x.x adres krijgt werkt het met NAT.
Om dit goed te laten werken moet je "NAT-T" aanzetten (op de server, de iphone doet dit automatisch)

Overigens kan ik niet zo snel op Google vinden of iVPN dit ondersteund...

[MenaceD]

Seth4Chaos schreef op vrijdag 17 juli 2009 @ 10:07:
[...]


Wij hebben dit probleem ook met UMTS laptops die naar onze VPN willen connecten, aangezien je in het UMTS netwerk altijd een 10.x.x.x adres krijgt werkt het met NAT.
Om dit goed te laten werken moet je "NAT-T" aanzetten (op de server, de iphone doet dit automatisch)

Overigens kan ik niet zo snel op Google vinden of iVPN dit ondersteund...

Ik geloof niet of ik je helemaal begrijp, maar vond via Google over NAT-T dat het het originele packet behoud en als je dit niet hebt dat het dan wordt aangepast en niet meer terug aankomt bij mijn iPhone?

[Seth4Chaos]

IPSec (wat de iphone gebruikt om een VPN op te bouwen) is niet "NAT-proof", om deze tekortkoming op te lossen is er een "uitbreiding" gekomen op ipsec wat ze NAT-T genoemd hebben:

NAT-T (NAT Traversal in the IKE) is a method of enabling IPsec-protected IP datagrams to pass through a Network address translator (NAT).

bij ipsec verloopt verkeer altijd van source-port 500 naar dest-port 500, zie je eigen log:

Jul 17 09:31:33 filter: UDP connection accepted to 192.168.1.2:500 from 95.98.159.204:500

Als je hier NAT-T overheen legt is de source-port random en de dest-port (server) 4500, zie mijn log:

Jul 17 10:04:16 titan racoon: INFO: NAT-T: ports changed to: 62.140.137.125[3034]<->192.168.250.1[4500]

verder doet NAT-T nog iets:

An IP packet is modified while passing through a network address translator device in a manner that is incompatible with Internet Protocol Security (IPsec). NAT-T protects the original IPsec encoded packet by encapsulating it with another layer of UDP and IP headers.

Geeft niet als je de details niet snapt maar waar het op neer komt is dat als je vanaf UMTS (of welk NAT netwerk dan ook) wilt connecten je NAT-T nodig hebt. Voor jou is dit het makkelijks te herkennen in je logs dat poort 4500 wordt gebruikt.

Maar wat ik al zei volgens mij ondersteund iVPN NAT-T niet dus zal het niet gaan werken. Ze zeggen zelf op hun website:

Also, some routers have a VPN pass-through feature; if you have this, make sure you enable PPTP or L2TP and IPSec pass-through on both the client-side router and server-side router.

Je server-side router is je eigen, die zal je kunnen wijzigen maar de client-side router staat bij T-mobile en die kan je niet aanpassen.

ps. je kan mischien ook (het minder veilige) protocol PPTP proberen, mischien werkt dat wel voor jou.

[MenaceD]

Seth4Chaos schreef op vrijdag 17 juli 2009 @ 10:36:
...

Thanks...! ik snap inderdaad niet alle details. Zal me er eens in verdiepen. Is IPSec dan hetzelfde als L2TP? Want op mijn iphone heb ik 3 keuzes: L2TP, PPTP & IPSec (Cisco)

Ga nu eerst eens proberen met PPTP en kijken of dit werkt

Edit:

Ook PPTP werkt volgens mij niet. iVPN opnieuw ingesteld, maar nu met PPTP protocol an (voor de zekerheid L2TP maar even uitgezet). Port 1723 forwarded naar 192.168.1.2 (iMac) maar helaas niets.

Logs Router:
Jul 17 10:49:02 filter: TCP connection accepted to 192.168.1.2:1723 from 95.98.159.204:50012
Jul 17 10:49:02 filter: TCP connection accepted to 192.168.1.2:1723 from 95.98.159.204:50012

[ Voor 37% gewijzigd door MenaceD op 17-07-2009 10:54 . Reden: update ]

[Seth4Chaos]

MenaceD schreef op vrijdag 17 juli 2009 @ 10:44:
Thanks...! ik snap inderdaad niet alle details. Zal me er eens in verdiepen. Is IPSec dan hetzelfde als L2TP? Want op mijn iphone heb ik 3 keuzes: L2TP, PPTP & IPSec (Cisco)

Het is niet hetzelfde, het lijkt op elkaar (gevaarlijke uitspraak) alleen is IPSec nog iets 'zwaarder' qua encrypty en opbouw van de tunnel (veiliger zou je kunnen zeggen).

[jjbstolk]

Laat maar

[ Voor 84% gewijzigd door jjbstolk op 17-07-2009 14:29 ]

[MenaceD]

Iemand nog een tip? Zowel L2TP & PPTP werken dus niet... zal dan wel aan mijn router of iVPN liggen?

[Seth4Chaos]

Het blijft de vraag of het gaat lukken via UMTS als je hetvolgende niet kan doen op hun routers maar heb je het wel al bij je eigen router gechecked:

Also, some routers have a VPN pass-through feature; if you have this, make sure you enable PPTP or L2TP and IPSec pass-through

[MenaceD]

Seth4Chaos schreef op zaterdag 18 juli 2009 @ 14:15:
Het blijft de vraag of het gaat lukken via UMTS als je hetvolgende niet kan doen op hun routers maar heb je het wel al bij je eigen router gechecked:
[...]

Edit: gelukt.. zie hieronder

Seth4Choas, bedankt!

[ Voor 37% gewijzigd door MenaceD op 20-07-2009 00:05 ]

[MenaceD]

Het is gelukt... voor in de GoT knowledge base:

na wat hulp van Seth4Choas (bedankt!) nog eens wat verder zitten speuren naar de "VPN Passthrough" functie voor mijn router. Deze was er dus niet. Met wat hulp van google vond ik dat het GRE protocol (nr 47) wordt gebruikt voor PPTP connecties. Ik kon in mijn router wel een protocol invoeren en mappen naar een intern adres. Met wat trial en error kwam ik op de volgende forwarding-config:



En raad eens:


L2TP werkt niet, maar ik ben al helemaal gelukkig met deze PPTP oplossing!

Bedankt voor de hulp en een ieder dit nog eens tegenkomt: ik hoop dat je er wat aan hebt