So bleibt der Zugriff auf das eigene Netzwerk auch dann möglich, wenn der Server eines Tages mal nicht so funktioniert, wie er soll. Wenn mit der Box generell etwas nicht stimmt und die Internetverbindung komplett wegbricht, ist in der Regel ohnehin alles verloren. Zudem sind Portweiterleitungen in diesem Fall ebenso wenig notwendig wie ein zusätzlicher DynDNS-Dienst, das übernimmt AVM mit seinem MyFritz-Service.

WireGuard auf der Fritzbox einrichten

Einrichten lässt sich das Ganze in der Fritzbox unter Internet » Freigaben im Reiter VPN (WireGuard). Dort wählt man Verbindung hinzufügen und anschließend Einzelgerät verbinden. Den Namen der Verbindung könnt ihr frei wählen, üblicherweise nutzt man hier den Namen des Client-Rechners oder der Person, die das VPN nutzen wird. Zum Schluss muss das Anlegen der Verbindung noch bestätigt werden, etwa per Telefon, Tastendruck oder über die Fritz-App.

Anschließend zeigt euch die Fritzbox eine Seite mit einem QR Code. Den könnt ihr zum Beispiel mit dem Smartphone scannen, um die Verbindung direkt in die offizielle WireGuard App für Android zu übernehmen. Alternativ geht auch die Open-Source-App WG Tunnel, die deutlich mehr Funktionen bietet wie der „offizielle“ WireGuard-Client für Android. Ich persönlich nutze WG Tunnel, das ich über F-Droid installiert habe.

WireGuard Konfiguration in NetworkManager

Für Linux (und generell Desktop-PCs) bietet die Fritzbox die Möglichkeit, die Konfiguration herunterzuladen. Klickt auf den Button und speichert die Datei lokal auf der Festplatte ab. Die Datei wird standardmäßig als wg_config.conf im Ordner Downloads gespeichert. Der Name ist nicht ganz unwichtig, da einige WireGuard-Clients diesen Namen automatisch zur Benennung der Schnittstelle heranziehen.

Den Import erledigt ihr direkt über den NetworkManager am Desktop oder per Kommandozeile. Unter GNOME geht ihr in die Einstellungen, dann Netzwerk, dort klickt ihr auf das Plus Symbol und wählt Aus Datei importieren …. Danach die wg_config.conf Datei auswählen und importieren. Den Namen der Verbindung könnt ihr dann in den Einstellungen beliebig anpassen, ich empfehle aber den Schnittstellennamen auf wg0 zu setzen.

$ nmcli connection import type wireguard file ~/Downloads/wg_config.conf
Verbindung »wg_config« (39724859-b102-4446-bdb2-1ec60f501360) erfolgreich hinzugefügt.

Das war es schon. Ihr könnt das VPN jetzt direkt über die Quick Settings in GNOME aktivieren. Auch andere Desktopumgebungen wie KDE bieten passende Möglichkeiten. Wenn ihr prüfen möchtet, ob die Verbindung steht, installiert unter GNOME die Erweiterung IP Finder. Sie zeigt euch die öffentliche IP-Adresse mitsamt Länderflagge. Sobald dort die Flagge eures Wohnorts erscheint statt eures aktuellen Aufenthaltsorts (bspw. im Urlaub im Ausland), steht das VPN.

Vielleicht noch ein kurzer Ausflug, zur Frage „Warum man denn einen anderen Netzwerkmanager einsetzen sollte“. Eigentlich sehe ich auch keinen Grund den NetworkManager zu ersetzen. Auf einem Desktop- oder Notebook macht der NM an sich eine recht gute Figur.

Allerdings setzt manch ein Anwender auf wicd, weil er angeblich besser mit Profilen zurecht kommt. Andere, so wie ich oder Roman von ubuntublog.ch, haben das Problem, dass die Netzwerkkarten im NM aufgrund eines Bugs immer von Hand aktiviert werden müssen. Von daher kann ConMan in gewissen Situationen praktisch sein. Technische Details zu ConMan gibt es in diesem Vortrag von der GUADEC 2009.

ConnMan installieren

ConnMan ist seit Ubuntu-Maverick in den Quellen von Ubuntu enthalten. Allerdings ist die dort vorhandene Version 0.5 relativ alt. Von daher würde ich bei Interesse an ConnMan auf jeden Fall auf das PPA der Entwickler setzen. Über…

$ sudo add-apt-repository ppa:indicator-network-developers/ppa
$ sudo apt-get update && sudo apt-get install conman indicator-network

…könnt ihr ConnMan in Ubuntu Maverick 10.10 und Lucid 10.04 installieren. Jetzt ist euch erstmal noch der „alte“ NetworkManager im Weg. Ich würde ihn für erste Tests erstmal nicht deinstallieren, sondern einfach nur deaktivieren. Nennt dazu einfach die Start-Skripte um, so könnt Ihr die Aktion später leicht rückgängig machen, falls euch der ConnMan nicht zusagt.

$ sudo mv /etc/init/network-manager.conf /etc/init/network-manager.conf-deaktiviert
$ sudo mv /etc/xdg/autostart/nm-applet.desktop /etc/xdg/autostart/nm-applet.desktop.deaktiviert

Danach müsst Ihr euren Computer neu starten. ConnMan wird danach automatisch starten und den NetworkManager von Ubuntu ersetzen. Vom Arbeitsprinzip her unterscheidet sich ConnMan nicht vom NN. Über ein Indicator-Applet könnt Ihr eure Verbindungen auswählen und auch das Netzwerk einrichten. Profile für unterschiedliche LANs scheint es jedoch noch nicht zu geben.

Ich habe den ConnMan jetzt nur in einer virtuellen Maschine ausprobiert, aber er scheint seine Sache zu machen. Wer Probleme oder Ärger mit dem NM hat, der kann ja mal den ConnMan probieren, vielleicht kommt Ihr mit ihm besser zurecht.

NetworkManager wieder aktivieren

Falls Ihr den ConnMan probiert haben solltet und ihn wieder loswerden wollt, so müsst Ihr ihn nur deinstallieren und den zuvor umbenannten Dateien wieder den richtigen Namen verpassen. Nach einem weiteren Neustart sollte wieder der NetworkManager starten und alle Spuren des ConnMan gelöscht sein.

$ sudo apt-get remove indicator-network connman
$ sudo rm /etc/apt/sources.list.d/indicator-network-developers-ppa-maverick.list
$ sudo mv /etc/init/network-manager.conf-deaktiviert /etc/init/network-manager.conf
$ sudo mv /etc/xdg/autostart/nm-applet.desktop.deaktiviert /etc/xdg/autostart/nm-applet.desktop

NetworkManager endgültig deinstallieren

Falls Ihr in der Tat mit dem ConnMan glücklicher sein solltet als mit dem NetworkManager, so könnt Ihr diesen komplett deinstallieren. Entfernt dazu die jeweiligen Pakete des NM und löscht auch die zwei Sicherheitskopien der Start-Dateien.

$ sudo apt-get remove network-manager-gnome network-manager
$ sudo rm /etc/init/network-manager.conf-deaktiviert /etc/xdg/autostart/nm-applet.desktop.deaktiviert

Danach seid ihr den NM komplett los, falls Ihr ihn später doch wiederhaben wollt, so müsst ihr die zwei deinstallierten Pakete wieder installieren. Der NM sollte danach wieder automatisch starten. Allerdings würde ich ConMan vor der Aktion deinstallieren. Nicht dass sich die zwei NM in die Quere kommen.

UMTS/3G-Verbindungen managen

Was ich aufgrund von fehlender Hardware gar nicht selber testen konnte, ist der Verbindungsaufbau von UMTS/3G-Verbindungen über den ConnMan. Laut den Informationen des Ubuntu-Wikis ist dafür die Installation der Pakete ofono und usb-modeswitch notwenig…

$ sudo apt-get install ofono usb-modeswitch

…danach kann man seinen UMTS-Stick anstecken und via…

$ cmcc list

…nach Netzwerken suchen und sich dann über …

$ cmcc edit apn

…einloggen und die Zugangsdaten eingeben. Über den ConnMan kann dann die Verbindung gesteuert werden. Das Ganze ist also nicht ganz so komfortabel wie über den Network-Manager von GNOME, aber im Falle dass sonst gar nichts gehen würde, vielleicht eine brauchbare Alternative.

Als Beispiel soll der Zugang zu einem VPN dienen. Die eingestellte Konfiguration ging früher einmal, doch von heute auf morgen meldet der Network-Manager nur noch, dass der Zugang zum VPN nicht aufgebaut werden konnte. Warum? Darüber schweigt sich der NM aus.

Um an etwas aussagekräftige Informationen zu kommen muss man den Network-Manager als Dienst beenden und als Programm starten. Nur so kommt man ohne großen Aufwand an die Logs. Startet daher ein Terminal-Fenster und beendet den Dienst des Network-Managers.

$ sudo service network-manager stop
network-manager stop/waiting

Nun könnt Ihr den NM von Hand starten, die Option „–no-daemon“ verhindert dass der Network-Manager wieder als Dienst im Hintergrund verschwindet und nichts ausgibt.

$ sudo NetworkManager --no-daemon
NetworkManager[9685]: <info> NetworkManager (version 0.8.1) is starting...
[...]
NetworkManager[9685]: <info> Activation (eth0) successful, device activated.
NetworkManager[9685]: <info> Activation (eth0) Stage 5 of 5 (IP Configure Commit) complete.

Jetzt seid Ihr soweit, dass ihr Fehler im Verbindungsaufbau suchen könnt. Wenn es um eine LAN- oder WLAN-Verbindung geht, dann stehen die Fehler vielleicht schon im Log, das beim Start des NM als Programm entstanden ist. In meinem Beispiel tauchen die relevanten Einträge natürlich erst auf, wenn ich die VPN-Verbindung über das Network-Manager Applet starte.

[...]
** Message: nm-pptp-ppp-plugin: (nm_phasechange): status 5 / phase 'establish'
nm-pptp-service-4465 warn[open_inetsock:pptp_callmgr.c:329]: connect: Connection refused
nm-pptp-service-4465 fatal[callmgr_main:pptp_callmgr.c:127]: Could not open control connection to 94.75.253.244
nm-pptp-service-4465 fatal[open_callmgr:pptp.c:487]: Call manager exited with error 256
[...]

Im vorliegenden Fall sieht man also erst im Log, dass das VPN-Gateway zwar antwortet, den Verbindungsaufbau jedoch aus irgendeinem Grund ablehnt. Das ist natürlich noch nicht die Lösung des Problems, doch man ist ihr zumindest einen Schritt näher.

Nachdem Ihr nun eine etwas ausführlichere Antwort auf die Frage warum denn nun der Verbindungsaufbau nicht klappt, bekommen habt und Ihr vielleicht auch euer Problem lösen konntet, könnt Ihr den Network-Manager in der Konsole mit Strg+C abbrechen und ihn wieder ordentlich als Dienst starten.

$ sudo service network-manager start
network-manager start/running, process 10413

Danach läuft der NM wieder brav im Hintergrund und Ihr könnt das Terminalfenster schließen. Der ganze Aufwand löst natürlich nicht eure Verbindungsprobleme, doch der Daemon-Modus des Network-Managers hilft euch, die Probleme einzugrenzen.

Kleiner Disclaimer: Bitte beachtet dass der Betreiber des VPNs unverschlüsselten Traffic einsehen kann. Es ist nicht offenkundig wer hinter UltraVPN steckt und warum der Dienst kostenlos angeboten wird. Im Forum von UltraVPN und bei Gulli gibt es dazu bereits Diskussionen. Ich möchte keine Panik oder Misstrauen schüren. Der Dienst eignet sich sicherlich dazu um etwas einen Geo-IP Filter zu umgehen, doch ich persönlich würde keine vertrauliche Daten über UltraVPN schicken.

[UPDATE 16.12.2010: Anscheinend hat UltraVPN seinen Dienst eingestellt. Man kann sich nicht mehr zu den UltraVPN-Servern verbinden und im UltraVPN-Forum häufen sich die Aussagen, dass der Betrieb eingestellt wurde. Diese Anleitung kann daher getrost ignoriert werden.]

Account bei UltraVPN erzeugen

In einem ersten Schritt müsst Ihr euch einen Account bei UltraVPN erzeugen. Auf der Homepage findet Ihr die passende Maske dafür. Ihr müsst nicht zwingend eine E-Mail-Adresse angeben, es funktioniert auch ohne. Allerdings könnt Ihr euch dann natürlich bei Verlust der Zugangsdaten diese nicht zuschicken lassen.

Plugin für Network-Manager installieren

Nun könnt Ihr euch an die Konfiguration unter Ubuntu/Debian machen. UltraVPN benutzt wie eingangs erwähnt das quelloffene VPN-Backend OpenVPN. Der Network-Manager aus GNOME bzw. KDE kann damit umgehen, allerdings kann er von Haus aus keine VPN-Verbindungen aufbauen. Dafür müsst Ihr ein passendes Plugin installieren, was mit Hilfe der Paketverwaltung schnell gemacht ist…

$ sudo apt-get install network-manager-openvpn

Diese VPN-Plugins besitzen keinen Eintrag im Startmenü, sie sorgen lediglich dafür, dass Ihr in der Netzwerkverwaltung VPN-Zugänge einrichten könnt.

Zertifikate

Etwas frickelig sind leider die benötigten Zertifikate. Sie werden von UltraVPN nicht zum Download angeboten. Ihr müsst sie aus dem Windows-Client extrahieren. Solltet Ihr einen Windows-Rechner (oder eine virtuelle Maschine mit Windows) zur Verfügung haben, so installiert den Windows-Client und kopiert dann die Dateien client.ovpn sowie ca.crt aus dem Verzeichnis C:\Programme\UltraVPN\config auf euer Linux-System. Der Speicherort ist relativ egal, ich persönlich habe die zwei Dateien in ~/.openvpn abgelegt.

Alternativ könnt Ihr das Windows-Programm auch mittels Wine installieren und/oder, falls Ihr mir Vertrauen schenken solltet, dieses Archiv ultravpn_certs.tar.gz herunterladen und entpacken. Um den Überblick nicht zu verlieren habe ich die client.ovpn in ultravpn.ovpn umbenannt, ich hoffe dass ich dadurch keine Verwirrung stifte.

VPN-Zugang einrichten

Nun könnt Ihr den VPN-Zugang zu UltraVPN einrichten. Öffnet dazu das Konfigurationswerkzeug des Network-Managers über „System -> Einstellungen -> Netzwerkverbindungen“ bzw. einen Rechtsklick im Panel auf das Icon des NM und „Verbindungen bearbeiten“.

Importiert nun die zuvor aus der Windows-Installation geklaute (oder von hier heruntergeladene) Konfiguration für UltraVPN. Geht dazu auf „Importieren“ [1], navigiert in das passende Verzeichnis [2] und wählt dann die .ovpn-Datei aus [3]. Dadurch werden alle nötigen Daten aus der Konfigurationsdatei geholt, Ihr müsst nur noch eure Zugangsdaten eingeben. (Soweit die Theorie, bitte beachtet den Abschnitte bzgl. Troubleshooting am Ende des Beitrages…)

VPN-Zugang zu UltraVPN starten

Nun könnt Ihr die Verbindung zum VPN starten. Euer soeben erstellter Eintrag sollte direkt im Network-Manager aufgelistet sein. Ein Klick auf den Eintrag und die Verbindung wird aufgebaut.

Überprüft danach am besten über eine Webseite wie Geo IP Tool, ob Ihr nun wirklich im VPN von UltraVPN seid. Alternativ könnt Ihr die Verbindung auch von Hand über sudo openvpn ~/.openvpn/ultravpn.ovpn aufbauen.

Troubleshooting

Netzwerkverbindung verursacht Zeitüberschreitung

Ich bin auf das Problem gestoßen, dass der Network-Manager bei OpenVPN nicht mit mehreren VPN-Gateways umgehen kann. In der .opvn-Datei sind mehrere Gateways hinterlegt, die OpenVPN beim Verbindungsaufbau per Zufall anwählt bzw. auch überspringt wenn ein Gateway offline ist. Der NM schnappt sich jedoch nur das letzte Gateway „servers443.ultravpn.net“ aus dieser Liste und missachtet den Rest.

Und anscheinend gerade dieses Gateway will nicht so recht. Ich habe bei diesem Gateway immer die Meldung…

VPN-Verbindung fehlgeschlagen
Die VPN-Verbindung „UltraVPN“ konnte nicht hergestellt werden, weil die Netzwerkverbindung eine Zeitüberschreitung verursacht hat.

…bekommen. Schaut daher kurz in die .ovpn-Datei und sucht euch eines der anderen Gateways raus. Viele der Gateways stehen in Frankreich, das eine oder andere aber auch in den USA. Die Gateways findet Ihr in den „remote …“-Zeilen.

$ grep remote ultravpn.ovpn
remote-random
remote servers443.ultravpn.fr 443
remote servers24.ultravpn.fr 24
remote servers21.ultravpn.fr 21
remote servers54.ultravpn.fr 54
remote servers24.ultravpn.net 24
remote servers443.ultravpn.net 443

Solltet Ihr also nachher beim Verbindungsaufbau die Meldung bekommen dass es zu einer Zeitüberschreitung gekommen ist, so sucht euch ein anderes VPN-Gateway aus und ändert die importierte Einstellung ab [1]…

…Dieser Umstand ist leider etwas schade. Denn wenn das von euch per Hand eingetragene Gateway gerade offline ist, dann müsst Ihr die Einstellung erneut von Hand ändern.

Keine gültigen VPN-Geheimnisse

Ein zweites Problemchen ist der Umstand dass eventuell nach dem Einrichten der VPN-Verbindung kein Verbindungsaufbau möglich ist.

Der Network-Manager quittiert den Verbindungsaufbau mit der Meldung…

VPN-Verbindung fehlgeschlagen
Die VPN-Verbindung „UltraVPN“ konnte nicht hergestellt werden, weil keine gültigen VPN-Geheimnisse vorliegen.

In diesem Fall müsst Ihr den Dienst des Network-Managers via…

$ sudo service network-manager restart      # Ab Ubuntu Lucid
$ sudo /etc/init.d/network-manager restart  # Bis Ubuntu Intrepid

…kurz neu starten. Dann sollte der Verbindungsaufbau klappen. Dies sollte eigentlich nur direkt nach Installation des Network-Manager-Plugins nötig sein. Später könnt Ihr die VPN-Verbindung auf jedem Fall ohne ein Terminal starten.

Im Folgenden gehe ich von diesem Szenario aus. Ein Laptop ist per WLAN mit dem DSL-Router im Nebenzimmer verbunden. Neben dem Laptop steht ein weiterer Rechner ohne WLAN. Dieser soll per Crossover-Kabel an den Laptop angeschlossen werden und dann über das Laptop ins Internet gehen. Die nötigen Einstellungen müsst Ihr nun am „Internet-Rechner“ vornehmen.

Die benötigte Funktion ist von Haus aus im NetworkManager eingebaut. In aktuellen Ubuntu-Versionen (wenn ich mich nicht irre, müsste Ubuntu Intrepid Ibex 8.10 die erste Version sein, die diese ICS-Funktion kennt) öffnet Ihr dazu die Einstellungen des NetworkManagers über einen Rechtsklick auf das NM-Icon im Panel und die Option „Verbindungen bearbeiten“.

Hier wählt ihr die Netzwerkschnittstelle, die mit dem anderen Rechner verbunden ist, aus. Zugegeben, das ist etwas verwirrend… Hängt ihr also per Laptop und WLAN am DSL-Router und möchtet den per Crossover-Kabel verbundenen Desktop-Rechner ins Netz bringen, dann gebt ihr nicht die WLAN-Verbindung des Laptops frei, sondern dessen kabelgebundenen Netzwerkkarte. Wählt hier in den IPv4-Einstellungen die Option „Gemeinsam mit anderen Rechnern“ aus.

Sobald Ihr diesen Dialog mit „Anwenden“ geschlossen habt, könnt Ihr das Crossover-Kabel zwischen Laptop und Desktop anschließen. Habt Ihr die Netzwerkkonfiguration des Desktops nicht geändert, dann müsste dieser nun automatisch via DHCP die Netzwerkdaten bekommen und ins Internet gehen können.

Theoretisch müsste sich die selbe Vorgehensweise auch mit zwei Laptops, von denen einer per UMTS im Internet hängt und der andere per WLAN die UMTS-Verbindung des ersten Laptops verwendet, wiederholen lassen. Doch mangels UMTS-Adapter kann ich das nicht testen.

Generell eignet sich die Internetfreigabe per NetworkManager gut für eine „schnelle“ und vorübergehende Aktion. Solltet ihr Euren eigenen Hardware-Router aufsetzen, dann würde ich nicht diesen Weg gehen, da der NM die Verbindungen nur aufbaut, wenn ein Benutzer eingeloggt ist.

Damit dies funktioniert, muss man meinen Beitrag zu vpnc bis inklusive dem Abschnitt Das Zertifikat durchmachen. Man muss also vpnc compilieren und das Zertifikat der Universität holen. Ohne die selbst compilierte Version von vpnc fehlt dem NM die Grundlage die VPN-Verbindung aufbauen zu können. Danach kann man hier weiter machen. Man muss nun diese Paketquelle zu seiner Paketverwaltung hinzufügen. Also die Zeilen…

deb http://ppa.launchpad.net/sroecker/ppa/ubuntu jaunty main
deb-src http://ppa.launchpad.net/sroecker/ppa/ubuntu jaunty main

…mittels bspw…

$ sudo gedit /etc/apt/sources.list

…oder jedem anderen Editor mit Root-Rechten in die /etc/apt/sources.list einfügen. Die Paketquelle ist mit einem Schlüssel signiert, so dass die Paketverwaltung meckert, falls dieser Schlüssel nicht auf dem System zu finden ist. Mittels…

$ sudo apt-key adv --recv-keys --keyserver keyserver.ubuntu.com 588AC16B

…holt man den Schlüssel vom Keyserver. Nun kann man das Paket aus dem PPA installieren. Wer mag, der benutzt apt-get:

$ sudo apt-get update
$ sudo apt-get install network-manager-vpnc 

Nun ist alles nötige installiert. Klickt man auf das Icon des NetworkManagers im Panel, so erscheint der Eintrag VPN-Verbindungen | VPN konfigurieren… Klickt man darauf, so kann man nun das VPN der Uni hinzufügen. Als Verbindungstyp gibt man vpnc an.

Danach kann man die für die Uni benötigten Daten eingeben

• Gateway: vpn.uni-karlsruhe.de
• Gruppenname: vpn
• Benutzerpasswort: Euer Passwort vom RZ
• Gruppenpasswort: vpnvpn
• Benutzername: Euer RZ Account
• Hybrid authentification: Aktivieren
• CA-File: /etc/ssl/certs/rootcert.crt

Weiteres muss man nicht angeben. Nun kann man das VPN über den NM

auf- und wieder abbauen. Wer an einem automatischen Verbindungsaufbau interessiert ist, also bspw. dass das VPN automatisch startet, wenn man sich ins WLAN der Uni einloggt, der sollte sich noch die weiteren Tipps aus VPN der Uni-Karlsruhe mit vpnc ansehen. Diese können nach wie vor optional umgesetzt werden.

Ab Monatg den 29.09.2008 ist der VPN Verbindungsaufbau (aus dem WLANoder unterwegs) zum Campus Sued nur noch mit dem neuen Root Zertifikat der dt. Telekom moeglich. Dieses Zertifikat ist in dem Installationspaketdes RZ bereits enhalten, kann aber auch nachtraeglich heruntergeladen und importiert werden.

siehe: http://www.rz.uni-karlsruhe.de/rd/vpn.php

Juhu! Es ist also mal wieder Bastelarbeit angesagt. Meine alten Lösungen bzgl. vpnc und Uni-Karlsruhe sind wohl (zumindest teilweise) obsolet. Zeit das Thema wieder mal komplett neu aufzurollen…

vpnc selber compilieren

Nach wie vor gilt es vpnc selber zu compilieren, da vpnc mit Unterstützung für openssl (Zertifikate) gebraucht wird. Aufgrund von Problemen mit den Lizenzen bauen das die Distributoren üblicherweise jedoch nicht ein. Zuerst gilt es sich daher den Quellcode von vpnc herunterzuladen und das Archiv zu entpacken.

$ wget http://www.unix-ag.uni-kl.de/~massar/vpnc/vpnc-0.5.3.tar.gz
$ tar -xzf vpnc-0.5.3.tar.gz

Damit die Paketverwaltung das selbst compilierte vpnc später nicht mit der Version aus den Paketquellen ersetzt, fügt man an das Ende des Verzeichnisnamens, noch ein Kürzel an. Später beim Compilieren wird dieses Kürzel mit in die Versionsnummer übernommen. So ist das eigene vpnc-Paket vor der Paketverwaltung “sicher”.

$ mv vpnc-0.5.3 vpnc-0.5.3-christoph1
$ cd vpnc-0.5.3-christoph1

Anschließend muss der besagte, gegen die GPL verstoßende Teil, einkommentiert werden. Dazu öffnet man das Makefile in einem Editor. Also beispielsweise

$ gedit Makefile

und entfernt die Raute “#” vor den Zeilen 49 und 50, so dass dieser Abschnitt am Ende wie unten stehend aussieht.

OPENSSL_GPL_VIOLATION = -DOPENSSL_GPL_VIOLATION
OPENSSLLIBS = -lcrypto

aus. Nun muss man die zum Compilieren nötigen Pakete installieren. Dieses kann man bei Ubuntu über die Paketverwaltung machen. Dazu einfach

$ sudo apt-get install libssl-dev build-essential dh-make fakeroot
$ sudo apt-get build-dep vpnc

ausführen. Alle benötigten Pakete werden automatisch installiert. Nun geht es an das Compilieren. Der Reihe nach führt man diese Befehle aus.

$ make
$ dh_make -f ../vpnc-0.5.3.tar.gz
$ fakeroot debian/rules binary
$ sudo dpkg -i ../vpnc*.deb

Dies erstellt ein .deb Paket das sich über die Paketverwaltung installieren, und somit auch wieder einfach deinstallieren lässt. Die Frage bei dh_make, nach der Art des Binaries kann man mit s für eine single binary beantworten. Ob die Installation nun erfolgreich war, kann man mittels

$ vpnc --version
[...]
Built with openssl (certificate) support. Be aware of the
license implications.

Supported DH-Groups: nopfs dh1 dh2 dh5
Supported Hash-Methods: md5 sha1
Supported Encryptions: null des 3des aes128 aes192 aes256
Supported Auth-Methods: psk psk+xauth hybrid(rsa)

überprüfen. Hier muss von vpnc die Meldung „Built with openssl (certificate) support“ ausgeben werden. Erst dann wurde vpnc korrekt mit Unterstützung für openssl gebaut.

Das Zertifikat

Seit Anfang Oktober 2008 benutzt die Universität Karlsruhe ein neues Root-Zertifikat der deutschen Telekom. Dieses Root-Zertifikat kann man sich wieder von der Uni herunterladen. Der Einfachheit halber hier der Weg über ein Terminal.

$ sudo wget --no-check-certificate https://pki.pca.dfn.de/uni-karlsruhe-ca/pub/cacert/rootcert.crt -O /etc/ssl/certs/rootcert.crt

Dies lädt das Zertifikat herunter und kopiert es gleich an die richtige Stelle im Dateisystem. [UPDATE 27.04.09: Der nun folgende Abschnitt dieses Beitrages richtet sich an Anwender, die die Verbindung zum VPN der Uni Karlsruhe automatisieren wollen. Will man die Verbindung nur bei Bedarf aufbauen, so kann man dazu ein angepasstes Modul für den NetworkManager benutzen. Für viele Anwender ist dies sicherlich ausreichen. Weitere Informationen dazu findet man hier in meinem Blog unter NetworkManager, vpnc und HybridAuth.]

Konfiguration

Schließlich muss noch vpnc konfiguriert werden. Dies geschieht über die Datei /etc/vpnc/default.conf. Über einen Editor sudo gedit /etc/vpnc/default.conf fügt man den Inhalt…

IPSec gateway vpn.uni-karlsruhe.de
IPSec ID vpn
IPSec secret vpnvpn
IKE Authmode hybrid
Xauth username u...
Xauth password xxx
CA-File /etc/ssl/certs/rootcert.crt

…ein. Natürlich müssen der Benutzername und das Passwort noch angepasst werden. Damit diese Daten vor dem Einblick Dritter geschützt sind, sollte man mit sudo chmod 600 /etc/vpnc/default.conf die Dateirechte entsprechend setzen.

Verbindungsaufbau

Von nun an kann man die Verbindung zum VPN über einen einfachen Befehl

$ sudo vpnc
$ sudo vpnc-disconnect

auf bzw. wieder abbauen. Da es sich in letzter Zeit gezeigt hat, dass die VPN Verbindung sehr instabil sein kann, sollte man den so genannten „DPD idle timeout“ deaktivieren. Die Verbindung sollte man daher so…

$ sudo vpnc --dpd-idle 0

…aufbauen.

Skripte zum automatischen Aufbau des VPNs

Die VPN Verbindung via vpnc auf- und abzubauen ist nun alles andere als komfortabel. Ich habe mir ein kleines Skript für den Network-Manager geschrieben. Diese so genannten „Dispatcher“-Skript für den Network-Manager werden beim Auf- bzw. Abbau einer Netzwerkverbindung automatisch ausgeführt.

Das Skript wird also beim Aufbau der Netzwerkverbindung automatisch aus ausgeführt und überprüft, ob man sich im Netzwerk der Uni-Karlsruhe befindet. Sollte dies der Fall sein, so wird automatisch die VPN-Verbindung gestartet. Dies klappt wunderbar innerhalb der Bibliothek und auch beim WLAN-Zugang über die ESSID „VPN/WEB“.

$ sudo wget http://www.linuxundich.de/static/02uni-ka-vpn-1.4.sh -O /etc/NetworkManager/dispatcher.d/02uni-ka-vpnc
$ chmod +x /etc/NetworkManager/dispatcher.d/02uni-ka-vpnc

Eventuell muss in den Skript noch die Zeile…

[...]
WLANINTERFACE="eth1"
[...]

…an die eigenen Bedürfnisse angepasst werden. Hier muss das WLAN-Interface eingetragen werden, also eventuell wlan0, ra0, ath0 usw. Wer möchte, kann sich dabei auch Benachrichtigungen ausgeben lassen. So bekommt man im Fehlerfall Informationen ausgegeben, warum die VPN-Verbindung nicht aufgebaut werden konnte.

Voraussetzung dafür ist, dass das Paket libnotify-bin installiert wurde. Meines Wissens nach funktioniert die Ausgabe von dieser kleinen Popups leider nur mit der GNOME Desktopumgebung. Das Skript an sich funktioniert auf allen Systemen, die den Network Manager benutzen. Also auf jeden Fall bei allen Ubuntu Derivaten [UPDATE 25.04.09: Auf vpnc 0.5.3 aktualisiert[/UPDATE].

$ sudo apt-get install libnotify-bin

[UPDATE: Dieser Artikel ist veraltet! Sollten Sie über eine Internetsuche auf diesen Artikel gestoßen sein, so schauen Sie sich bitte besser den Artikel VPN der Uni-Karlsruhe mit vpnc (überarbeitet)… an. Dieser enthält die selben Informationen, ist jedoch auf einem aktuellen Stand! [/UPDATE]

#!/bin/bash

## 02uni-ka-vpnc 1.1 by Christoph Langner
## 2008 by Christoph Langner, published under the GPL v3
##
## Changelog
## 1.1: Ermöglicht nun auch den automatischen Aufbau des VPN über WLAN
##      Sollte man eine andere ESSID als "VPN/WEB" nutzen, so passt man dazu
##      die Variable $ESSID_VPN an.
## 1.0: Erstes Release. VPN Zugang nur via Kabel.

## INITIALISIERUNG
#Diese Werte werden vom NetworkManager an das Skript übergeben
INTERFACE=$1
ACTION=$2

## DEBUGGING
# Falls DBG_MODE=1 werden verschiedene Angaben nach $LOG ausgegeben
DBG_MODE=0
LOG=/tmp/dispatcher.log

## ESSID des Universitäts Netzwerkes
# In diesem Fall das VPN WLAN der Universität Karlsruhe
ESSID_VPN="VPN/WEB"

## NETWORKING
#IP des Rechners herausfinden
IP=$(ifconfig $INTERFACE | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://')
IP_START=$(echo $IP | awk -F. '{print $1}')

#ESSID des verbundenen Netzwerks bestimmen
ESSID=$(iwconfig $INTERFACE | grep ESSID | awk {'print $4'} | sed -e 's/ESSID://g' | sed -e 's/"//g')


## DEBUG Funktionen
log() {
if [ $DBG_MODE=1 ]; then
	echo IP: $IP >> $LOG
	echo IP_START: $IP_START >> $LOG
	echo ESSID: $ESSID >> $LOG
fi
}

log_action() {
if [ $DBG_MODE=1 ]; then
	echo ========= >> $LOG
	echo $(date) >> $LOG
	echo ACTION: $ACTION, Device: $INTERFACE >> $LOG
fi
}

#Funktionen durchführen, je nach Aktion eine andere
case "$2" in
    up)
        #vpnc starten, falls im Uni Netzwerk
        log_action
        log
        if [ $IP_START=129 ]; then
                vpnc
        elif [ $ESSID=$ESSID_VPN ]; then
        	sleep 15
         	vpnc
        fi
        ;;

    down)
        #vpnc stoppen
        log_action
        if [ "$(pidof vpnc)" ]; then
                vpnc-disconnect
        fi
        ;;

    pre-up)
        #einen vorher laufenden vpnc stoppen
        log_action
        if [ "$(pidof vpnc)" ]; then
                vpnc-disconnect
                killall vpnc
        fi
        ;;

    post-down)
        #vpnc wirklich stoppen, falls abgestürzt
        log_action
        if [ "$(pidof vpnc)" ]; then
                vpnc-disconnect
                killall -9 vpnc
        fi
        ;;

     *)
        echo $"Usage: $0 {up|down|pre-up|post-down}"
        exit 1
esac

Das Skript habe ich auch zum Download hochgeladen. Via…

$ sudo wget -P  /etc/NetworkManager/dispatcher.d/ http://www.linuxundich.de/static/2uni-ka-vpnc
$ sudo chmod +x /etc/NetworkManager/dispatcher.d/02uni-ka-vpnc

…kann man es herunterladen und ausführbar machen. Spätestens bei einem Neustart wird nun das Dispatcher Skript ausgeführt. Achtung: vpnc muss neu compiliert werden. Das bei Ubuntu aus den Paketquellen installierte vpnc kann sich nicht zu Cisco VPN Router mit hybrider Verschlüsselung verbinden. Daher bitte diesen Artikel VPN der Universität Karlsruhe über vpnc beachten.

UPDATE: Dieser Artikel ist veraltet! Sollten Sie über eine Internetsuche auf diesen Artikel gestoßen sein, so schauen Sie sich bitte besser den Artikel VPN der Uni-Karlsruhe mit vpnc (überarbeitet)… an. Dieser enthält die selben Informationen, ist jedoch auf einem aktuellen Stand!

Ich möchte es nochmal kurz betonen. Es ist für den Zugang zum VPN der Uni Karlsruhe zwingend notwendig eine selbst kompilierte Version von vpnc zu nutzen. Eine Anleitung dazu findet sich im oben beschriebenen Artikel. Ist vpnc in der aktuellen Version installiert, legt man über…

$ gksudo gedit /etc/NetworkManager/dispatcher.d/02uni-vpnc

…ein Skript an, dass beim Aufbau einer Verbindung über den NetworkManager automatisch ausgeführt wird. Als Inhalt fügt man dieses hier ein.

#!/bin/bash
#/etc/NetworkManager/dispatcher.d/02uni-vpnc

# Aktion einlesen
INTERFACE=$1
ACTION=$2

# IP herausfinden
IP=$(ifconfig eth0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://')
IP_START=$(echo $IP | awk -F. '{print $1}')

# Funktionen durchführen, je nach Aktion eine andere
case "$2" in
  up)
    # vpnc starten, falls im Uni Netzwerk
    if [ $IP_START = 129 ]; then
      vpnc
    fi
    ;;
    
  down)
    # vpnc stoppen
    if [ "$(pidof vpnc)" ]; then
      vpnc-disconnect
    fi
    ;;
    
  pre-up)
    # einen vorher laufenden vpnc stoppen
    if [ "$(pidof vpnc)" ]; then
      vpnc-disconnect
      killall vpnc
    fi
    ;;
    
  post-down)
    # vpnc wirklich stoppen, falls abgestürzt
    if [ "$(pidof vpnc)" ]; then
      vpnc-disconnect
      killall -9 vpnc
    fi
    ;;
    
  *)
    echo $"Usage: $0 {up|down|pre-up|post-down}"
    exit 1
    ;;
esac

Hat man die Dateirechte über…

$ sudo chmod +x /etc/NetworkManager/dispatcher.d/02uni-vpnc

…angepasst, dann wird spätestens nach einem Neustart des System bei einem Verbindungsaufbau überprüft, ob man eine IP aus dem Bereich 192.* bekommen hat. Falls dies der Fall sein sollte, wird vpnc ausgeführt und die Verbindung zum VPN steht. Man muss jetzt also keinen Finger mehr krümmen um in das Netzwerk der Uni zu kommen. Rechner anschließen und Fertig.