Wer mit einem Manjaro Linux auf dem Rechner die verschiedenen angebotenen scc.ovpn Konfigurationsdateien ausprobiert, der bekommt nur eine Reihe von Fehlermeldungen zu Gesicht — zu einem Verbindungsversuch kommt es erst gar nicht. Entweder fehlt das Zertifikat deutsche-telekom-root-ca-2.pem oder es scheitert am Fehlen des Skripts /etc/openvpn/update-resolv-conf. Bei erster Fehlermeldung habt ihr euch die falsche Konfigurationsdatei besorgt, die Zweite lässt sich relativ einfach mit dem Arch-Linux-Wiki lösen.

Verbindungsaufbau zum OpenVPN scheitert

$ sudo openvpn scc.ovpn
Sat Dec 13 19:12:26 2014 DEPRECATED OPTION: --tls-remote, please update your configuration
Options error: --ca fails with '/etc/ssl/certs/deutsche-telekom-root-ca-2.pem': No such file or directory
Options error: Please correct these errors.
Use --help for more information.

$ sudo openvpn scc.ovpn
Options error: --up script fails with '/etc/openvpn/update-resolv-conf': No such file or directory
Options error: Please correct this error.
Use --help for more information.

Bei Manjaro (und vermutlich auch bei Arch selber und den anderen Arch-Derivaten wie Antergos oder Netrunner) müsst ihr nun ein wenig mehr Arbeit investieren. Ist diese allerdings einmal getan, funktioniert der VPN-Zugang ohne Probleme. Installiert daher nun das Paket Openresolv aus den Paketquellen und spielt dann das im Arch-Wiki verlinkte Skript update-resolv-conf.sh ein. Zum Abschluss besorgt ihr euch noch die OpenVPN-Konfiguration für Debian Jessie und Ubuntu ab 13.10, damit sollte der VPN-Zugang dann eigentlich stehen.

OpenVPN der Uni-Karlsruhe einrichten

### Openresolv aus den Paketquellen installieren...
$ sudo pacman -S openresolv

### Resolv-Skript herunterladen und nach /etc/openvpn schieben...
$ wget https://raw.githubusercontent.com/masterkorp/openvpn-update-resolv-conf/master/update-resolv-conf.sh
$ sudo mv update-resolv-conf.sh /etc/openvpn/update-resolv-conf
$ sudo chmod +x /etc/openvpn/update-resolv-conf

### VPN-Konfiguration herunterladen und testen...
$ wget http://www.scc.kit.edu/scc/sw/openvpn/linux/scc.ovpn
$ sudo openvpn scc.ovpn
Sat Dec 13 19:14:25 2014 OpenVPN 2.3.6 x86_64-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Dec 2 2014
Sat Dec 13 19:14:25 2014 library versions: OpenSSL 1.0.1j 15 Oct 2014, LZO 2.08
Enter Auth Username: *****
Enter Auth Password: *******
Sat Dec 13 19:14:31 2014 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
...

Funktioniert der OpenVPN-Zugang zur Uni Karlsruhe über den Openvpn-Kommando im Terminal, könnt ihr die Verbindung natürlich auch im Networkmanager einrichten. Öffnet dazu unter Menü | Einstellungen die Netzwerkverbindungen und fügt eine neue Verbindung hinzu. Als Verbindungungstyp lasst ihr eine Gespeicherte VPN-Konfiguration importieren, hier wählt ihr wieder die zuvor abgespeicherte scc.ovpn-Datei des Terminal-Tests aus. Nun gebt ihr der Verbindung einen ordentlichen Namen und gebt eure Zugangsdaten ein. Anschließend ruft ihr die Verbindung dann über das Netzwerk-Icon im Panel auf.

Unter Ubuntu-Linux oder auch Debian ist der Zugang jetzt wirklich trivial. Da der Network-Manager der graphischen Desktopumgebung auch mit VPNs umgehen kann, braucht es zum Einrichten der Verbindung nur ein paar Minuten. Allerdings muss nach einer Standard-Installation noch ein Paket nachinstalliert werden, um dem NetworkManager auch den Umgang mit OpenVPN zu erklären. Alle anderen Pakete werden automatisch nachgezogen.

$ sudo apt-get install network-manager-openvpn-gnome

Hab ihr die GNOME-Shell auf dem Rechner, dann ruft ihr über den Network-Manager aus dem Panel das „modern“ Konfigurationswerkzeug auf, leider kann das keine Konfigurationsdateien importieren. Ruft daher entweder die Anwendung „Netzwerkeinstellungen“ aus der Anwendungsübersicht auf, oder tippt einfach $ nm-connection-editor in einem Terminal ein, das ruft das gute alte Konfigurations-Backend auf.

Geht dort dann in die Lasche „VPN“ und importiert über die entsprechende Schaltfläche die zuvor von der Homepage des SCC heruntergeladene ovpn-Datei. Achtet bitte drauf, dass es im Moment zwei Varianten der Datei gibt, einmal für aktuelle Ubuntus und einmal für ältere Ausgaben der Distribution.

Danach hat sich der Keks gegessen. Ihr findet sofort euren VPN-Eintrag in der Liste eurer Netzwerkverbindungen. Von dort aus könnt ihr dann das VPN aktivieren und findet euch im Netz des KIT wieder. Falls ihr wollt, dass nur Verbindungen zum KIT über das VPN laufen und der Rest nach wie vor direkt ins Internet geht, dann aktiviert ihr in den Routing-Optionen der IPv4-VPN-Einstellung eurer OpenVPN-Verbindung noch die Option „Diese Verbindung nur für Ressourcen dieses Netzwerks verwenden“.

Mein kleiner Server zuhause läuft leider gerade nicht, so dass ich es selber testen könnte, aber Ihr könnt es ja selber mal probieren und dann berichten. OpenVPN für Android lässt sich bereits aus dem Google Play Store installieren, die App trägt sich wie gewohnt in den App-Drawer ein, von dort aus lässt sie sich konfigurieren.

Der Import von OpenVPN-Konfigurationen – wie man es vom Linux-Desktop her kennt – ist leider bislang noch nicht möglich, auch wird bislang nur der TAP-Modus (Bridging) unterstützt, TUN (Routing) ist noch nicht implementiert (Siehe wiki.openvpn.eu zu den Unterschieden).

Der Entwickler sucht noch Unterstützung bei der Übersetzung des OpenVPN-Clients in verschiedene Sprachen, auch die deutschsprachige Lokalisierung ist noch nicht komplett, daher können wir recht leicht etwas zum Projekt beitragen. Informationen – leider in ziemlich knapper Form- zur Übersetzung, findet man auf der Homepage des Projekts.

Kleiner Disclaimer: Bitte beachtet dass der Betreiber des VPNs unverschlüsselten Traffic einsehen kann. Es ist nicht offenkundig wer hinter UltraVPN steckt und warum der Dienst kostenlos angeboten wird. Im Forum von UltraVPN und bei Gulli gibt es dazu bereits Diskussionen. Ich möchte keine Panik oder Misstrauen schüren. Der Dienst eignet sich sicherlich dazu um etwas einen Geo-IP Filter zu umgehen, doch ich persönlich würde keine vertrauliche Daten über UltraVPN schicken.

[UPDATE 16.12.2010: Anscheinend hat UltraVPN seinen Dienst eingestellt. Man kann sich nicht mehr zu den UltraVPN-Servern verbinden und im UltraVPN-Forum häufen sich die Aussagen, dass der Betrieb eingestellt wurde. Diese Anleitung kann daher getrost ignoriert werden.]

Account bei UltraVPN erzeugen

In einem ersten Schritt müsst Ihr euch einen Account bei UltraVPN erzeugen. Auf der Homepage findet Ihr die passende Maske dafür. Ihr müsst nicht zwingend eine E-Mail-Adresse angeben, es funktioniert auch ohne. Allerdings könnt Ihr euch dann natürlich bei Verlust der Zugangsdaten diese nicht zuschicken lassen.

Plugin für Network-Manager installieren

Nun könnt Ihr euch an die Konfiguration unter Ubuntu/Debian machen. UltraVPN benutzt wie eingangs erwähnt das quelloffene VPN-Backend OpenVPN. Der Network-Manager aus GNOME bzw. KDE kann damit umgehen, allerdings kann er von Haus aus keine VPN-Verbindungen aufbauen. Dafür müsst Ihr ein passendes Plugin installieren, was mit Hilfe der Paketverwaltung schnell gemacht ist…

$ sudo apt-get install network-manager-openvpn

Diese VPN-Plugins besitzen keinen Eintrag im Startmenü, sie sorgen lediglich dafür, dass Ihr in der Netzwerkverwaltung VPN-Zugänge einrichten könnt.

Zertifikate

Etwas frickelig sind leider die benötigten Zertifikate. Sie werden von UltraVPN nicht zum Download angeboten. Ihr müsst sie aus dem Windows-Client extrahieren. Solltet Ihr einen Windows-Rechner (oder eine virtuelle Maschine mit Windows) zur Verfügung haben, so installiert den Windows-Client und kopiert dann die Dateien client.ovpn sowie ca.crt aus dem Verzeichnis C:\Programme\UltraVPN\config auf euer Linux-System. Der Speicherort ist relativ egal, ich persönlich habe die zwei Dateien in ~/.openvpn abgelegt.

Alternativ könnt Ihr das Windows-Programm auch mittels Wine installieren und/oder, falls Ihr mir Vertrauen schenken solltet, dieses Archiv ultravpn_certs.tar.gz herunterladen und entpacken. Um den Überblick nicht zu verlieren habe ich die client.ovpn in ultravpn.ovpn umbenannt, ich hoffe dass ich dadurch keine Verwirrung stifte.

VPN-Zugang einrichten

Nun könnt Ihr den VPN-Zugang zu UltraVPN einrichten. Öffnet dazu das Konfigurationswerkzeug des Network-Managers über „System -> Einstellungen -> Netzwerkverbindungen“ bzw. einen Rechtsklick im Panel auf das Icon des NM und „Verbindungen bearbeiten“.

Importiert nun die zuvor aus der Windows-Installation geklaute (oder von hier heruntergeladene) Konfiguration für UltraVPN. Geht dazu auf „Importieren“ [1], navigiert in das passende Verzeichnis [2] und wählt dann die .ovpn-Datei aus [3]. Dadurch werden alle nötigen Daten aus der Konfigurationsdatei geholt, Ihr müsst nur noch eure Zugangsdaten eingeben. (Soweit die Theorie, bitte beachtet den Abschnitte bzgl. Troubleshooting am Ende des Beitrages…)

VPN-Zugang zu UltraVPN starten

Nun könnt Ihr die Verbindung zum VPN starten. Euer soeben erstellter Eintrag sollte direkt im Network-Manager aufgelistet sein. Ein Klick auf den Eintrag und die Verbindung wird aufgebaut.

Überprüft danach am besten über eine Webseite wie Geo IP Tool, ob Ihr nun wirklich im VPN von UltraVPN seid. Alternativ könnt Ihr die Verbindung auch von Hand über sudo openvpn ~/.openvpn/ultravpn.ovpn aufbauen.

Troubleshooting

Netzwerkverbindung verursacht Zeitüberschreitung

Ich bin auf das Problem gestoßen, dass der Network-Manager bei OpenVPN nicht mit mehreren VPN-Gateways umgehen kann. In der .opvn-Datei sind mehrere Gateways hinterlegt, die OpenVPN beim Verbindungsaufbau per Zufall anwählt bzw. auch überspringt wenn ein Gateway offline ist. Der NM schnappt sich jedoch nur das letzte Gateway „servers443.ultravpn.net“ aus dieser Liste und missachtet den Rest.

Und anscheinend gerade dieses Gateway will nicht so recht. Ich habe bei diesem Gateway immer die Meldung…

VPN-Verbindung fehlgeschlagen
Die VPN-Verbindung „UltraVPN“ konnte nicht hergestellt werden, weil die Netzwerkverbindung eine Zeitüberschreitung verursacht hat.

…bekommen. Schaut daher kurz in die .ovpn-Datei und sucht euch eines der anderen Gateways raus. Viele der Gateways stehen in Frankreich, das eine oder andere aber auch in den USA. Die Gateways findet Ihr in den „remote …“-Zeilen.

$ grep remote ultravpn.ovpn
remote-random
remote servers443.ultravpn.fr 443
remote servers24.ultravpn.fr 24
remote servers21.ultravpn.fr 21
remote servers54.ultravpn.fr 54
remote servers24.ultravpn.net 24
remote servers443.ultravpn.net 443

Solltet Ihr also nachher beim Verbindungsaufbau die Meldung bekommen dass es zu einer Zeitüberschreitung gekommen ist, so sucht euch ein anderes VPN-Gateway aus und ändert die importierte Einstellung ab [1]…

…Dieser Umstand ist leider etwas schade. Denn wenn das von euch per Hand eingetragene Gateway gerade offline ist, dann müsst Ihr die Einstellung erneut von Hand ändern.

Keine gültigen VPN-Geheimnisse

Ein zweites Problemchen ist der Umstand dass eventuell nach dem Einrichten der VPN-Verbindung kein Verbindungsaufbau möglich ist.

Der Network-Manager quittiert den Verbindungsaufbau mit der Meldung…

VPN-Verbindung fehlgeschlagen
Die VPN-Verbindung „UltraVPN“ konnte nicht hergestellt werden, weil keine gültigen VPN-Geheimnisse vorliegen.

In diesem Fall müsst Ihr den Dienst des Network-Managers via…

$ sudo service network-manager restart      # Ab Ubuntu Lucid
$ sudo /etc/init.d/network-manager restart  # Bis Ubuntu Intrepid

…kurz neu starten. Dann sollte der Verbindungsaufbau klappen. Dies sollte eigentlich nur direkt nach Installation des Network-Manager-Plugins nötig sein. Später könnt Ihr die VPN-Verbindung auf jedem Fall ohne ein Terminal starten.