VPN mit iOS und Fritzbox

[MacFlieger]

Mit einem iOS-Gerät unterwegs ein VPN (Virtual Private Network) zum eigenen Router zu Hause zu benutzen, hat einige Vorteile.

Ist man mit einem iOS-Gerät unterwegs, dann gibt es oft die Möglichkeit ein fremdes oder freies WLAN zu benutzen. Ist das ein unverschlüsseltes WLAN, kann jeder unverschlüsselte Übertragungen mitlesen. Aber auch wenn das WLAN verschlüsselt ist, kann zumindestens der Betreiber des WLANs unverschlüsselte Übertragungen mitlesen. Bei Benutzung eines VPN wird der komplette Datenverkehr verschlüsselt und über den VPN-Server geleitet. In dem Fall kann niemand den Datenverkehr mitlesen und auch die eigentlichen Kommunikationspartner nicht erkennen.

Eine weitere Anwendung ist, dass das Gerät direkten Kontakt zum eigenen LAN hat. Für das iOS-Gerät ist es so, als ob man zu Hause im WLAN angemeldet ist. So kann man auch von unterwegs alle heimischen Geräte nutzen, ohne dass diese direkt aus dem Internet erreichbar sind.

Einen VPN-Server auf der eigenen Fritzbox einzurichten und diese Verbindung im iOS-Gerät einzustellen, ist recht einfach. Diese Methode hat allerdings einen großen Nachteil. Man muss jeweils selber manuell eine VPN-Verbindung aufbauen und sobald das gerät einmal in den Ruhezustand geht, wird diese automatisch wieder beendet. D.h. man vergisst es schnell, die Verbindung wieder aufzubauen, man muss es immer machen und automatische Verbindungen, sind oft ungeschützt.

Es gibt allerdings auch die Möglichkeit das iOS-Gerät so zu konfigurieren, dass es bei wählbaren Bedingungen automatisch die Verbindung aufbaut.

In den folgenden Beiträgen fasse ich die Schritte jeweils thematisch zusammen.

1. Voraussetzungen

2. Einen VPN-Zugang in der Fritzbox anlegen

3. Manuellen VPN-Zugang in iOS konfigurieren

4. Automatischen VPN-Zugang in iOS konfigurieren

[MacFlieger]

1. Voraussetzungen

Auf der Fritzbox-Seite ist es notwendig, dass diese über den MyFritz-Dienst aus dem Internet erreichbar ist. Dieser muss eingerichtet sein und funktionieren.

Auf iOS-Seite habe ich das momentan nur mit iOS 9 getestet.

[MacFlieger]

2. Einen VPN-Zugang in der Fritzbox anlegen

Für jedes iOS-Gerät muss ein eigener Zugang eingerichtet werden.
In der Benutzeroberfläche der eigenen Fritzbox ruft man den Menüpunkt System/Fritz!Box-Benutzer auf. Dort klickt man dann auf "Benutzer hinzufügen".

Im folgenden Dialog macht man folgende Einstellungen:
- Nutzernamen und Kennwort auswählen.
- E-Mail-Adresse ist nicht notwendig.
- Das Häkchen bei "Zugang auch aus dem Internet erlaubt" muss gesetzt sein.
- Unter "Berechtigungen" muss nur das Häkchen bei "VPN" gesetzt sein

Nach Klick auf "OK" wird der neue Zugang eingerichtet und man bekommt die Möglichkeit, sich die VPN-Einstellungen und eine Anleitung zur Einrichtung unter iOS und Android anzeigen zu lassen. Diese Einstellungen lassen sich auch nachträglich anzeigen, in dem man sich die Einstellungen des jeweiligen Benutzers anzeigen lässt. Dort erscheint unter dem Punkt "VPN" auch ein Link mit dem Text "VPN-Einstellungen anzeigen".

Von den VPN-Einstellungen sind folgende Einträge wichtig:
- Server
- Account (das ist der oben gewählte Benutzername)
- Kennwort (wird nicht angezeigt und ist das oben gewählte Kennwort)
- Gruppenname
- Shared Secret

[MacFlieger]

3. Manuellen VPN-Zugang in iOS konfigurieren

Diesen Zugang trägt man nur dann ein, wenn man später die VPN-Verbindung jedes Mal manuell starten will.

Im iOS-Gerät ruft man die Einstellungen auf und wählt das Menü "Allgemein/VPN" und tippt auf "VPN hinzufügen".
In dem folgenden Dialog werden folgende Daten eingegeben:
- Typ: IPSec
- Beschreibung: Irgendeinen Text
- Server: aus der Anzeige der Fritzbox
- Account: aus der Anzeige der Fritzbox, der gewählte Benutzername
- Passwort: das gewählte Kennwort
- Gruppenname: aus der Anzeige der Fritzbox
- Shared Secret: aus der Anzeige der Fritzbox
- Proxy: "aus"
Nun die Einstellungen sichern.

In der App "Einstellungen" gibt es nun einen neuen Menüpunkt "VPN", mit dem die VPN-Verbindung gestartet werden kann. Solange die Verbindung aktiv ist, erscheint in der oberen Statuszeile "VPN".

[MacFlieger]

4. Automatischen VPN-Zugang in iOS konfigurieren

Diesen Zugang richtet man ein, wenn das iOS-Gerät in Zukunft automatisch bei bestimmten Bedingungen eine VPN-Verbindung aufbauen soll ("VPN-on-demand"). Leider gibt es dafür keine so einfache Einrichtungsmöglichkeit wie bei einem manuellen VPN-Zugang.
Es muss ein Konfigurationsprofil erstellt und auf das iOS-Gerät kopiert werden.

Konfigurationsprofil anlegen
Zum Anlegen und Verwalten eines Konfigurationsprofiles kann man das Programm "Apple Configurator 2" aus dem Mac AppStore verwenden.

Als erstes wird mit dem Menü "Ablage/Neues Profil" ein neues Profil angelegt. In dem sich öffnenden Fenster wird folgendes eingetragen:
im Bereich "Allgemein":
- Name: Irgendein Name unter dem das Profil später auf dem iOS-Gerät erscheint.
im Bereich "VPN/Konfigurieren":
- Verbindungsname: Irgendein Name unter dem das VPN später auf dem iOS-Gerät erscheint.
- Verbindungstyp: IPSec
- Server: aus der Anzeige der Fritzbox
- Account: aus der Anzeige der Fritzbox, der gewählte Benutzername
- Passwort: das gewählte Kennwort
- Gruppenname: aus der Anzeige der Fritzbox
- Shared Secret: aus der Anzeige der Fritzbox
- Proxy: "ohne"
Jetzt die Profildatei auf dem Computer speichern und den Configurator beenden.

manuelle Änderungen des Profils
Leider können die notwendigen Einträge für VPN-on-demand nicht mit dem Apple Configurator in das Profil eingetragen werden. Da das Profil aber nur eine Textdatei ist, können wir die mit jedem beliebigem Texteditor bearbeiten.
Dazu öffnet man nun das Profil mit einem Texteditor und sucht die Zeile (wobei "xxx" das gewählte Kennwort ist):

Code: [Auswählen]

  <key>XAuthPassword</key>
  <string>xxx</string>
</dict>

Vor der Zeile "</dict>" müssen wir nun die notwendigen Bedingungen einfügen.

Wenn in fremden WLANs und bei Mobilfunkverbindungen eine VPN-Verbindung benutzt werden soll, dann wird folgender Block eingefügt:

Code: [Auswählen]

        <!-- VPN-On-Demand Codeblock -->
        <key>OnDemandEnabled</key>
        <integer>1</integer>
        <key>OnDemandRules</key>
        <array>
          <dict>
            <!-- VPN bei ausgewählten WLAN-Netzen deaktivieren -->
            <key>Action</key>
            <string>Disconnect</string>
            <key>InterfaceTypeMatch</key>
            <string>WiFi</string>
            <key>SSIDMatch</key>
            <array>
              <string>eigenes_WLAN</string>
            </array>
          </dict>
          <dict>
            <!-- VPN bei aktiver WLAN-Verbindung aktivieren -->
            <key>Action</key>
            <string>Connect</string>
            <key>InterfaceTypeMatch</key>
            <string>WiFi</string>
          </dict>
          <dict>
            <!-- VPN im Mobilfunknetz aktivieren -->
            <key>Action</key>
            <string>Connect</string>
            <key>InterfaceTypeMatch</key>
            <string>Cellular</string>
          </dict>
          <dict>
            <!-- VPN Default state -->
            <key>Action</key>
            <string>Disconnect</string>
          </dict>
        </array>
        <!-- VPN-On-Demand Codeblock ENDE-->

Wenn nur in fremden WLANs, aber nicht bei Mobilfunkverbindungen eine VPN-Verbindung benutzt werden soll, dann wird folgender Block eingefügt:

Code: [Auswählen]

        <!-- VPN-On-Demand Codeblock -->
        <key>OnDemandEnabled</key>
        <integer>1</integer>
        <key>OnDemandRules</key>
        <array>
          <dict>
            <!-- VPN bei ausgewählten WLAN-Netzen deaktivieren -->
            <key>Action</key>
            <string>Disconnect</string>
            <key>InterfaceTypeMatch</key>
            <string>WiFi</string>
            <key>SSIDMatch</key>
            <array>
              <string>eigenes_WLAN</string>
            </array>
          </dict>
          <dict>
            <!-- VPN bei aktiver WLAN-Verbindung aktivieren -->
            <key>Action</key>
            <string>Connect</string>
            <key>InterfaceTypeMatch</key>
            <string>WiFi</string>
          </dict>
          <dict>
            <!-- VPN Default state -->
            <key>Action</key>
            <string>Disconnect</string>
          </dict>
        </array>
        <!-- VPN-On-Demand Codeblock ENDE-->

In beiden Fällen muss "eigenes_WLAN" durch den Namen des eigenen WLANs ersetzt werden. Hat man mehrere vertrauenswürdige WLANs, dann kann man die betreffende Zeile einfach mehrfach mit den jeweiligen Namen eintragen.

Das so nun geänderte Profil wird wieder gespeichert und der Texteditor beendet.

Konfigurationsprofil auf das iOS-Gerät kopieren

Am besten kopiert man das neue Profil nun mit dem Programm Apple Configurator auf das iOS-Gerät.
- Man schliesst das iOS-Gerät per USB an den Computer an. Dann erscheint dieses im Apple Configurator.
- Die geänderten Profile zieht man nun per Drag'n'Drop auf das iOS-Gerät in dieser Ansicht. Dieses muss dabei entsperrt sein.
- Das Profil wird auf dem iOS-Gerät angezeigt und man wählt die Option "Installieren" und bestätigt alle Fragen.

Ab jetzt verbindet sich das Gerät immer bei den gewählten Bedingungen automatisch mit dem heimischen VPN und schickt alle Daten verschlüsselt über diese Verbindung.

Falls man dieses automatische Verbinden mal abschalten möchte, geht man folgendermaßen vor:
- Einstellungen/Allgemein/VPN aufrufen
- auf das "i" hinter dem Namen des VPN tippen
- die Option "Bei Bedarf verbinden" deaktivieren

[MacFlieger]

Platz für Ergänzungen

[MacFlieger]

Ich habe jetzt seit ein paar Wochen bei meinem iPhone das automatische Verbinden mit dem VPN aktiv und es funktioniert wie gewünscht. Bei Mobilfunkverbindungen merkt man es teilweise, weil zunächst VPN verbunden wird, bevor die eigentliche Verbindung genutzt wird. Besonders bei langsamen Verbindungen (Edge oder GPRS) fällt es am stärksten auf.

[Florian]

Ich nutze auch schon lange VPN, aber nicht mit einer Fritzbox. Kleine Verzögerungen finde ich nicht schlimm. Mancherorts sind aber selbst die T-Masten scheinbar derart weit verteilt, dass es auch ohne VPN schon ein Geduldsspiel ist. Da lasse ich das iPhone dann möglichst oft stecken statt mich zu ärgern. 

[MacFlieger]

Ja, die Funkabdeckung in D ist nicht so besonders, finde ich...

VPN nutzen mit oder ohne Fritzbox ist ziemlich simpel (Schritt 2 und 3). Das knifflige war die Nutzung von VPN-on-demand (Schritt 4). Da könntest Du die Anleitung auch nutzen, da es nichts mit der Fritzbox selber zu tun hat.

VPN manuell einschalten ist echt nervig. Man darf nicht vergessen, jedes Mal, wenn man das Gerät neu in die Hand nimmt, die Einstellungen zu öffnen und VPN zu aktivieren, da im Standby automatisch getrennt wird. Auch zwischendurch ist es möglich, dass man getrennt wird und man muss immer das "VPN"-Zeichen in der Statusleiste im Auge behalten. Und alle Verbindungen, die automatisch im Hintergrund (Standby) benutzt werden, gehen auch nicht über das VPN.
Deshalb finde VPN-on-demand eine wichtige Option. In iOS taucht, wenn man es einmal eingerichtet hat, auch ein Schalter auf "Bei Bedarf verbinden", d.h. iOS selber ist auch in der GUI darauf vorbereitet. Nur das Anlegen der Konfiguration wird nicht unterstützt, noch nicht mal im Programm Apple Configurator. 

[Florian]

Das knifflige war die Nutzung von VPN-on-demand (Schritt 4). Da könntest Du die Anleitung auch nutzen, da es nichts mit der Fritzbox selber zu tun hat.

Ja, vielen Dank, ist wirklich höchst informativ.

[MacFlieger]

Ich habe das jetzt einige Zeit laufen und auch im Ausland getestet. Funktioniert gut und problemlos.
Ich habe das überall, auch für Mobilfunknetze, aktiviert.

[radneuerfinder]

ct.23.09.:
verwundert es aber, wie viele normal anmutende Apple-Dienste an VPN-Tunneln vorbeireden:
die App-Store-App,
Clips,
Files,
Find My,
Health,
Maps,
Settings und
Wallet. Das geht aus Wireshark-Analysen von Tommy Mysk an iOS 16 hervor (ct.de/yjay). Daraus muss man folgern, dass Apple fremden VPNs generell misstraut. Wenn das so ist, dann sollte Apple seine Kunden über seine Beweggründe informieren, um möglichen Schaden abzuwenden. Wir haben Apple um Stellungnahme gebeten.
Konsequent scheint Apple aber nicht zu handeln. Denn in einem Dokument von 2021 versichert der Konzern, dass Geräte, die per Mobile Device Manage- ment verwaltet werden, wirklich sämtlichen Verkehr über das Firmen-VPN schicken. Dabei wünscht man sich das als Option für alle Betriebsarten.

https://support.apple.com/de-de/guide/security/sec802e8ab55/web

[fränk]

Ich kann das nicht im Einzelnen beurteilen.
Ich habe versucht das FRITZ!Box-VPN im Ausland zu nutzen... es funktionierte selten sehr schlecht und die allermeiste Zeit gar nicht. Weder am Telefon, noch am Mac... Murks.

[MacFlieger]

Kann es sein, dass Du in den Fällen, in denen es nicht funktionierte, keine IPv6 am Telefon hast?
Da Du zu Hause nur IPv6 hast, funktioniert es von reinen IPv4-Verbindungen aus nicht. VPN funktioniert bei Deiner Fritzbox auch erst seit kurzem, als die VPN für IPv6 eingebaut haben.

Ich habe zum Glück noch eine echte IPv4-Verbindung zu Hause und daher funktioniert das VPN der Fritzbox auch von überall aus. Nur in einigen öffentlichen WLANs (Geschäfte etc.) funktioniert es nicht, weil die VPN absichtlich blockieren.

[fränk]

Das kann ich nicht beantworten.
Ich kam selten online, das dauerte aber so lange und so zäh, dass ich VPN einfach nur ausgeschaltet habe.
Ich habe es dann am nächsten Tag noch einmal probiert, mit dem gleichen Resultat: Es dauerte ewig und alles war sehr langsam.