{"id":2206,"date":"2012-07-20T13:35:20","date_gmt":"2012-07-20T11:35:20","guid":{"rendered":"http:\/\/www.commander1024.de\/wordpress\/?p=2206"},"modified":"2020-02-12T15:27:31","modified_gmt":"2020-02-12T14:27:31","slug":"openvpn-mit-android-4-und-hoher","status":"publish","type":"post","link":"https:\/\/www.commander1024.de\/wordpress\/2012\/07\/openvpn-mit-android-4-und-hoher\/","title":{"rendered":"OpenVPN mit Android 4 und h\u00f6her"},"content":{"rendered":"

Googles mobiles Betriebssystem Android<\/a> bringt in der Version 4 und h\u00f6her (Ice Cream Sandwich, Jelly Beans, etc. pp.) endlich nicht nur im Stock Kernel ein ‚tun‘ Modul mit, sondern auch f\u00fcr Apps die M\u00f6glichkeit, ein VPN aufzubauen. Waren in fr\u00fcheren Versionen noch gewaltige Querelen n\u00f6tig, um um die schwachbr\u00fcstige IPSEC Implementierung ein funktionierendes VPN Setup herumzubauen, kann man nun getrost was Vern\u00fcnftiges verwenden, was nicht nur\u00a0zuverl\u00e4ssiger\u00a0funktioniert, sondern auch noch deutlich einfacher einzurichten ist und dabei keinen Stre\u00df mit NAT und co. macht. Die Rede ist von OpenVPN<\/a>, welches ich schon seit Jahren f\u00fcr VPN einsetze – derzeit auf meinem pfsense<\/a> als Server. pfsense erw\u00e4hne ich nur, weil ich es momentan sehr zufrieden verwende, das ist f\u00fcr das Gelingen einer OpenVPN Verbindung mit dem Mobilger\u00e4t aber keinesfalls ein Muss, ein nacktes Linux, *BSD oder gar Windows mit dem OpenVPN Server erf\u00fcllt seinen Zweck genauso gut. <\/p> \n

Ich gehe in diesem Artikel davon aus, dass das serverseitige Setup bereits l\u00e4uft und konfiguriert ist und – je nach Sicherheitsbed\u00fcrfnis – ein Clientzertifikat und\/oder Benutzer\/Passwort eingerichtet wurde. Anderenfalls, ist das OpenVPN 2.0 Howto<\/a> w\u00e4rmstens zu empfehlen. <\/p> \n

Ich benutze OpenVPN for Android<\/a> von Arne Schwabe<\/a> als Client auf dem Androiden, da dieses eine brauchbare GUI aufweist (und damit meine ich auch die M\u00f6glichkeit, sich zur Fehlerdiagnose, den reinen Log anschauen zu k\u00f6nnen) und auf unmodifizierten Ger\u00e4ten (nicht einmal root-Zugriff wird ben\u00f6tigt!) funktioniert. <\/p> \n

OpenVPN kann sowohl Config und Zertifikate in einzelnen Dateien, als auch ein Configfile mit den Zertifikaten inline eingebettet verwende. F\u00fcr welchen Weg man sich entscheidet ist dabei egal und bleibt der eigenen Pr\u00e4ferenz \u00fcberlassen – ‚OpenVPN for Android‘ kann beides verwenden. <\/p> \n

Zuerst m\u00fcssen alle ben\u00f6tigten Dateien auf das Telefon gebracht werden. Dabei ist es egal, wie das passiert. Man kann die Zertifikate via Herausnehmbarer SD-Karte, \u00fcber USB-Verbindung zum PC, Bluetooth usw. auf das Ger\u00e4t kopieren. <\/p> \n

Um sich nerviges Klicken und Tippen am Ger\u00e4t zu ersparen, kann man neben Zertifikaten auch die Config Datei f\u00fcr den Client mit auf das Ger\u00e4t kopieren, dieses kann dann importiert werden. Dazu benutzt man in der „VPN Liste“ das Ordner-Icon. Dabei werden referenzierte Zertifikatsdateien (Achtung:<\/em> Relative Pfade verwenden!) als auch Eingebettete erkannt und \u00fcbernommen. Unbekannte Direktiven werden auch ausgewertet und unter Advanced -> Eigene Optionen eingetragen. pfsense hat die Optionen passtos<\/code> und\u00a0resolv-retry infinite<\/code> exportiert, die nicht verstanden werden. Diese kann man dort wieder l\u00f6schen, oder man deaktiviert „Eigene Optionen“ via Checkbox dar\u00fcber, sonst schl\u00e4gt der erste Verbindungsversuch fehl. <\/p> \n

Selbstverst\u00e4ndlich kann man alle Optionen, die in der Config stehen, auch selbst \u00fcber die GUI setzen und die Zertifikatsdateien im Dateisystem ausw\u00e4hlen. <\/p> \n

Ist alles eingestellt, kann die Verbindung durch „Antippen“ des Eintrags in der VPN-Liste gestartet werden. Man bekommt den Log gezeigt, an dessen Ende nun bald „Initialization Sequence Completed“ stehen sollte, anderenfalls hat man hier einen Anhaltspunkt darauf, was schief gelaufen sein k\u00f6nnte. Ist die Verbindung hergestellt, wird dies mit einem Schl\u00fcsselsymbol in der Statuszeile des Telefons angezeigt, im Benachrichtigungsbereich kann man sich dann auch Infos zur Verbindung ansehen und diese trennen. <\/p> \n

Zuletzt noch der Hinweis, dass man sowohl in der Clientconfig auf dem Android, als via serverseitiger Push-Option einstellen kann, ob der gesamte Traffic durch den VPN-Tunnel geleitet werden soll (default gateway). Der gepushte DNS Server wird per default auch verwendet, was praktisch ist, wenn man Hostnamen \u00fcberschreiben oder eigene, lokale TLDs zur internen Namensaufl\u00f6sung verwenden m\u00f6chte. <\/p> \n