AW: Digibox Premium, IPSec mit mehreren iOS-Peers – wie geht das?

[#1]

Hallo zusammen,

ich habe an der Digibox Premium ein IPSec für mein iPhone eingerichtet, nach Video-Anleitung, was problemlos geklappt hat und funktioniert.

Dann habe ich als zweites einen weiteren Peer (mit einem anderen Pre-Shared-Key und einer anderen Schlüssel-ID) angelegt für mein iPad. Das hingegen klappt nicht. Das iPad bekommt keine Verbindung. Es sei denn … ich deaktiviere den Peer für das iPhone, oder ändere die Reihenfolge der Peers so daß das iPad oben steht. Warum ist das so? Nach meinem Verständnis müsste die Digibox doch den Peer anhand der Schlüssel-ID auswählen, oder?

Ich habe mir jetzt erstmal so beholfen, daß ich den Peer einfach von "iPhone" in "iOS-Devices" umbenannt habe, und an beiden Geräten denselben Pre-Shared-Key eingetragen habe. Dabei ist mir auch aufgefallen, daß es offenbar völlig gleichgültig ist, was man als Schlüssel-ID einträgt. Die Digibox nimmt immer den PSK des ersten Peers.

Hab ich einen Denk/Verständnisfehler, oder ist das ein Bug?

[#2 · Accepted solution]

So, ich glaube ich habe es jetzt herausgefunden, nach zahlreichen weiteren Tests.

Also das Video von bintec-elmeg ist gut gemeint, enthält aber einige Fehler oder zumindest Irreführungen.

Zum einen soll man als Peer-ID ja "zentrale" eintragen. Das ist natürlich für sich gesehen schon mal unsinnig, denn mit Peer ist ja die Gegenstelle gemeint. Zeugt schon mal davon, daß der Tutor selber nur Kochrezeptmäßig vorgegangen ist ohne zu verstehen was er da eigentlich macht.

Dann soll man die Lokale ID leer lassen. Dabei ist die lokale ID das, was gegen die Einstellung "Entfernte ID" auf dem iOS-Device gematcht wird. Dort gehört also eigentlich "zentrale" rein, wenn überhaupt.

Daß es trotzdem funktioniert, ist vermutlich eine Art "Eingebaute Fehlertoleranz"/Fallback der Digibox. Denn sobald ein Eintrag vorhanden ist, bei dem der entferte ID-Typ auf "Schlüssel-ID" gestellt ist, wird dieser Eintrag aktiv egal was man als fqdn mitsendet.

Also: Bei iOS den Typ der Peer-ID auf Full qualified domain name lassen, ebenso für die lokale ID, und dann als lokale ID meinetwegen "zentrale". Das ist der Wert, den man im VPN-Profil unter iOS als "Entfernte ID" eintragen muß. Das, was man als Peer-ID auf der Digibox eingetragen hat, ist auf iOS die "Lokale ID".

[#3]

Hallo @AndréKöthur,

ich habe mit mehreren Android Geräten keine Probleme.

Was steht denn in den Systemmeldungen der Digitalisierungsbox im Subsystem IPSec?

Da sollte bei der Verbindungsaufnahme ein Eintrag in dieser Art vorhanden sein:

P1: peer 3 (Android1_VPN) sa 88 (R): done id fqdn(any:0,[0..1]=DB) <- id key_id(any:0,[0..11]=Android1_VPN) AG[30650c56 4a0d5b4f : d37d9519 e8684f57]

peer 3 ist der 3.Eintrag bei den IPSec Peers.

P1: peer 2 (Android_VPN) sa 89 (R): done id fqdn(any:0,[0..1]=DB) <- id key_id(any:0,[0..10]=Android_VPN) AG[8011ddb2 7b86c5e4 : 9a702de0 e10bb871]

peer 2 ist der 2.Eintrag bei den IPSec Peers.

[#4]

Hallo @wari1957,

danke für die Antwort!

Ich schaue gleich mal in die Logs.

Wie ist das denn bei Dir eingestellt? So wie es aussieht, hast Du als Lokale ID auf der Digibox bei beiden Peers "DB" eingetragen, und  als Peer-ID bei einem dann "Android1_VPN" und bei dem anderen "Android_VPN"; korrekt?

[#5]

@AndréKöthur

Gut erkannt.

[#6 · Accepted solution]

So, ich glaube ich habe es jetzt herausgefunden, nach zahlreichen weiteren Tests.

Also das Video von bintec-elmeg ist gut gemeint, enthält aber einige Fehler oder zumindest Irreführungen.

Zum einen soll man als Peer-ID ja "zentrale" eintragen. Das ist natürlich für sich gesehen schon mal unsinnig, denn mit Peer ist ja die Gegenstelle gemeint. Zeugt schon mal davon, daß der Tutor selber nur Kochrezeptmäßig vorgegangen ist ohne zu verstehen was er da eigentlich macht.

Dann soll man die Lokale ID leer lassen. Dabei ist die lokale ID das, was gegen die Einstellung "Entfernte ID" auf dem iOS-Device gematcht wird. Dort gehört also eigentlich "zentrale" rein, wenn überhaupt.

Daß es trotzdem funktioniert, ist vermutlich eine Art "Eingebaute Fehlertoleranz"/Fallback der Digibox. Denn sobald ein Eintrag vorhanden ist, bei dem der entferte ID-Typ auf "Schlüssel-ID" gestellt ist, wird dieser Eintrag aktiv egal was man als fqdn mitsendet.

Also: Bei iOS den Typ der Peer-ID auf Full qualified domain name lassen, ebenso für die lokale ID, und dann als lokale ID meinetwegen "zentrale". Das ist der Wert, den man im VPN-Profil unter iOS als "Entfernte ID" eintragen muß. Das, was man als Peer-ID auf der Digibox eingetragen hat, ist auf iOS die "Lokale ID".

[#7]

Hallo @AndréKöthur,

herzlich willkommen in unserer Community.

Da Sie Ihren Beitrag als Lösung gekennzeichnet haben, vermute ich, dass sich Ihr Anliegen erledigt hat.

Sollte das nicht der Fall sein, melden Sie sich bitte bei uns.

Mit freundlichen Grüßen
Kerstin Si.