910
Bearbeitungen
Änderungen
Aus bintec elmeg Support-Wiki / FAQ
keine Bearbeitungszusammenfassung
'''<big>bintec Router-Serien und be.IP-Serie - Hinweise zum Einrichten einer VPN-Einwahlverbindung für Apple iPhone 7 mit IPSec IKEv1</big>'''
<!-- __NOTOC__= no table of content -->
===Vorbemerkungen===
* Zur Einwahl eines iPhone 7 über eine IPSec-VPN-Verbindung mit IKEv1 soll eine bintec elmeg be.IP plus passend konfiguriert werden. <br />* Im Beispiel werden ein iPhone 7 mit Version 10.3.3 und eine bintec elmeg be.IP plus PBX mit Software-Version 10.1.27 Patch 3 verwendet. <br />* Andere Geräte der bintec Router-Serien und der be.IP-Serie mit vergleichbaren Software-Versionen sind teilweise identisch bzw. analog zu konfigurieren. <br />* Exportieren Sie Ihre aktive Konfiguration in eine externe Datei, bevor Sie mit Änderungen an der Konfiguration beginnen. <br />
In der be.IP plus erfolgt die Konfiguration der IPSec-Verbindungen im GUI Menü "VPN" unter "IPSec" auf der Menükartenseite "IPSec-Peers". <br />
Die grundsätzlichen inividuellen Parameterbeschreibungen findet man im Kontext-Menü der Online-Hilfe und im Manual. <br />
Auf dem bintec Gerät soll von initial unkonfiguriertem IPSec ausgegangen werden (entspr. Auslieferungszustand). <br />
===Vorgehensweise===
Im vorliegenden Beispiel soll ein iPhone 7 mittels eines IPSec-Tunnels mit IKEv1 über das Internet mit dem LAN 10.10.10.0/24 des be.IP plus verbunden werden. <br />
===Konfiguration der be.IP plus mit Software-Version 10.1.27 Patch 3===
====Vorbereiten eines IP-Adress-Pools in der be.IP plus====
Das Anlegen des IP-Adress-Pools erfolgt im GUI Menü "VPN" unter "IPSec" auf dem Tab "IP Pools" mit Klick auf "NEU". <br />
Beispiel für das GUI-Menü der be.IP plus mit Beispielwerten zur Konfiguration des IP-Adress-Pools:
[[Bild:IPSec_iPhone7_dialin01.png|none|be.IP plus: Konfiguration des IP-Adress-Pools]]
Bild 1: GUI-Menü der be.IP plus mit Konfiguration des IP-Adress-Pools <br />
====Vorbereiten eines XAUTH-Profils in der be.IP plus====
Das Anlegen des XAUTH-Profils erfolgt im GUI Menü "VPN" unter "IPSec" auf dem Tab "XAUTH-Profile" mit Klick auf "NEU". <br />
Beispiel für das GUI-Menü der be.IP plus mit Beispielwerten zur Konfiguration des XAUTH-Profils:
[[Bild:IPSec_iPhone7_dialin02.png|none|be.IP plus: Konfiguration des XAUTH-Profils]]
Bild 2: GUI-Menü der be.IP plus mit Konfiguration des XAUTH-Profils <br />
====Konfiguration des IPSec-Peers mit IKEv1 in der be.IP plus====
Das Anlegen des IPSec-Peers mit IKEv1 erfolgt im GUI Menü "VPN" unter "IPSec" auf dem Tab "IPSec-Peers" mit Klick auf "NEU". <br />
Beispiel für das GUI-Menü der be.IP plus mit Beispielwerten zur Konfiguration des IPSec-Peers mit IKEv1:
[[Bild:IPSec_iPhone7_dialin03.png|none|be.IP plus: Konfiguration des IPSec-Peers mit IKEv1]]
Bild 3: GUI-Menü der be.IP plus mit Konfiguration des IPSec-Peers mit IKEv1 Achtung: <br />Bei "Peer-ID" muß der Typ "Schlüssel-ID" ausgewählt werden. Aus Sicherheitsgründen kommt es hier auf die exakten Schreibweisen von "ID" und "PSK" an, wobei der "Pre-shared Key" ganz besonders sicherheitsrelevant ist und möglichst lang bzw. kompliziert eingegeben werden sollte. Diese beiden Werte müssen natürlich auch im Apple iPhone 7 in geeigneter Weise hinterlegt sein.
Mit dem Klick auf "OK" werden die Profile Phase1 IKEv1 "Multi-Proposal" und Phase2 "Multi-Proposal" automatisch generiert (bei initial unkonfiguriertem IPSec - sonst passend neu anlegen), <br />aber dem IPSec-Peer noch nicht explizit zugewiesen. Außerdem ist auch noch das vorbereitete XAUTH-Profil auszuwählen und das Proxy-ARP zu aktivieren, da im Beispiel die IP-Pool-Adresse im <br />Bereich des LAN-IP-Subnetzes liegt. Im Beispielfall ist deshalb auch am LAN-Interface das Proxy-ARP zu aktivieren. <br />
GUI-Menü des IPSec-Peers unter Erweiterte Einstellungen für die Zuweisung der Phase1-, Phase2- und XAUTH-Profile und die Aktivierung des Proxy-ARP:
[[Bild:IPSec_iPhone7_dialin04.png|none|be.IP plus: Zuweisung der Phase1-, Phase2- und XAUTH-Profile mit Aktivierung des Proxy-ARP]]
Bild 4: Erweiterte Einstellungen in der IPSec-Peer-Konfiguration der be.IP plus mit der Zuweisung der Phase1-, Phase2- und XAUTH-Profile und der Aktivierung des Proxy-ARP <br />
====Anpassung des Phase-1-Profils in der be.IP plus an das iPhone 7====
Die Anpassung des Profils Phase1 IKEv1 "Multi-Proposal" erfolgt im GUI Menü "VPN" unter "IPSec" auf dem Tab "Phase-1-Profile" mit Klick auf das "Edit"-Symbol. <br />
Beispiel für das GUI-Menü der be.IP plus mit Beispielwerten zur Anpassung des Profils Phase1 IKEv1 "Multi-Proposal":
[[Bild:IPSec_iPhone7_dialin05.png|none|be.IP plus: Anpassung des Profils Phase1 IKEv1 "Multi-Proposal"]]
Bild 5: GUI-Menü der be.IP plus mit der Anpassung des Profils Phase1 IKEv1 "Multi-Proposal" <br />
Dazu die Erweiterten Einstellungen:
[[Bild:IPSec_iPhone7_dialin06.png|none|be.IP plus: Profil Phase1 IKEv1 "Multi-Proposal", Erweiterte Einstellungen]]
Bild 6: GUI-Menü der be.IP plus mit den Erweiterte Einstellungen des Profils Phase1 IKEv1 "Multi-Proposal" <br />
====Anpassung des Phase-2-Profils in der be.IP plus an das iPhone 7====
Die Anpassung des Profils Phase2 "Multi-Proposal" erfolgt im GUI Menü "VPN" unter "IPSec" auf dem Tab "Phase-2-Profile" mit Klick auf das "Edit"-Symbol. <br />
Beispiel für das GUI-Menü der be.IP plus mit Beispielwerten zur Anpassung des Profils Phase2 "Multi-Proposal":
[[Bild:IPSec_iPhone7_dialin07.png|none|be.IP plus: Anpassung des Profils Phase2 "Multi-Proposal"]]
Bild 7: GUI-Menü der be.IP plus mit der Anpassung des Profils Phase2 "Multi-Proposal" <br />
Dazu die Erweiterten Einstellungen:
[[Bild:IPSec_iPhone7_dialin08.png|none|be.IP plus: Profil Phase2 "Multi-Proposal", Erweiterte Einstellungen]]
Bild 8: GUI-Menü der be.IP plus mit den Erweiterte Einstellungen des Profils Phase2 "Multi-Proposal" <br />
===Konfiguration des iPhone 7 mit Software-Version 10.3.3===
Beispiel für das Konfigurationsmenü des iPhone 7 mit Beispieleingaben für die VPN-IPSec-Verbindung:
[[Bild:IPSec_dialin_von_iPhone09.png|none|iPhone 7: Einstellungen der VPN-IPSec-Verbindung]]
Bild 9: Konfigurationsmenü des iPhone 7 mit den Einstellungen der VPN-IPSec-Verbindung <br />
Nach erfolgreicher Aktivierung der IPSec-Verbindung zeigt das iPhone die "Zugewiesene IP-Adresse" aus dem IP-Adress-Pool der be.Ip plus:
[[Bild:IPSec_dialin_von_iPhone10.png|none|iPhone 7: aktive VPN-IPSec-Verbindung]]
Bild 10: Anzeige der aktiven VPN-IPSec-Verbindung im iPhone 7 <br />
===Systemmeldungen beim Aufbau der IPSec-VPN-Verbindung durch das iPhone 7===
* Eine Kontrolle des Verbindungsaufbaus kann z.B. am Prompt der Telnet-Konsole (auch SSH oder seriell) mit dem Kommando "debug all&" erfolgen.
Beispielausgaben auf der Telnet-Konsole des Responders be.IP plus beim erfolgreichen Aufbau des IPSec-VPN-Tunnels durch das iPhone 7:
<PREpre>be.ip_plus_ks:> debug all&
16:30:45 DEBUG/INET: NAT: new incoming session on ifc 30010001 prot 17 93.206.212.230:500/93.206.212.230:500 <- 89.204.130.7:36002
16:30:45 DEBUG/IPSEC: P1: peer 0 () sa 27 (R): new ip 93.206.212.230 <- ip 89.204.130.7
16:30:45 INFO/IPSEC: P1: peer 0 () sa 27 (R): Vendor ID: 89.204.130.7:36002 (No Id) is 'Dead Peer Detection (DPD, RFC 3706)'
16:30:45 DEBUG/IPSEC: P1: peer 1 (Tunnel_iPhone7) sa 27 (R): identified ip 93.206.212.230 <- ip 89.204.130.7
16:30:46 DEBUG/INET: NAT: new incoming session on ifc 30010001 prot 17 93.206.212.230:4500/93.206.212.230:4500 <- 89.204.130.7:36733163673316:30:46 DEBUG/IPSEC: P1: peer 1 (Tunnel_iPhone7) sa 27 (R): [Aggr] NAT-T: port change: local: 93.206.212.230:500->93.206.212.230:4500, remote: 89.204.130.7:36002->89.204.130.7:36733
16:30:46 INFO/IPSEC: P1: peer 1 (Tunnel_iPhone7) sa 27 (R): done id fqdn(any:0,[0..3]=test) <- id key_id(any:0,[0..3]=test) AG[919b0e59 6a0cbc2a : 948b38bf 932b8d15]
16:30:46 INFO/IPSEC: XAUTH: peer 1 (Tunnel_iPhone7) sa 27 (I): request client for extended authentication
round-trip (ms) min/avg/max = 837.613/876.032/914.451
be.ip_plus_ks:>
</PREpre>
===Abschlußbemerkung===
Vergessen Sie nicht Ihre gewünschte Einstellung bootfest zu speichern und Ihre aktiven Konfigurationen regelmäßg in externe Dateien zu exportieren.
Release: 10.1.27 patch 3 <br />
KW: 42/2017 <br />
kst, bst <br />
[[Kategorie:VPN]]
<!-- RS-Serie, RSxx3-Serie, be.IP plus, be.IP-Serie, VPN, IPSec, IKEv1, iPhone 7 -->