VPN on Demand auf dem iPhone.

von

VPN on Demand ist eine Ă€usserst praktische Funktion, wenn man tĂ€glich öfter wechselnde NetzzugĂ€nge hat (WLAN, Mobilfunknetz) und abhĂ€ngig vom aktuell eingebuchten Netz eine automatische VPN-Verbindung aufbauen möchte, ohne dies jedesmal manuell und umstĂ€ndlich ĂŒber die iPhone Einstellungen tun zu mĂŒssen. Das lĂ€sst sich relativ einfach mit einem entsprechenden Configuration Profile auf dem iPhone realisieren.

Profilerstellung mit Apple Configurator.

Zur Erstellung eines Configuration Profiles fĂŒr das iPhone installiert man zunĂ€chst den kostenlosen Apple Configurator auf dem Mac. In der Regel benutzt man diese App, um zentral auf mehreren iDevices gleichzeitig verschiedenste Einstellung, Berechtigungen oder Apps zu konfigurieren, zu verwalten und auszurollen.

Über Ablage → Neues Profil → VPN erstellt man sich zunĂ€chst ein einfaches Profil, das im Kern die Zugangs- und Authentifizierungsinformationen eures VPN-Zugangs enthĂ€lt.
SpĂ€ter werden noch manuell die On Demand Regeln hinzugefĂŒgt, ĂŒber die das automatisierte Ein- u. Ausschalten einer VPN-Verbindung gesteuert wird. Diese Profil-Datei mit der Endung .mobileconfig ist nichts anderes als ein simples XML-File im .plist Format, das problemlos in TextEdit oder einem anderen Editor bearbeitet werden kann.

Meine VPN on Demand Use Cases.

In meinen tĂ€glichen Gebrauch kommen folgende drei Use Cases regelmĂ€ĂŸig vor:
– Im Heim-WLAN benötige ich in der Regel keine VPN-Verbindung, weshalb sie dort immer abgeschaltet sein soll.
– Sobald ich in einem anderen WLAN eingebucht bin (z.B. öffentlicher Access Point, Restaurant u.Ă€), soll automatisch eine  VPN-Verbindung aufgebaut werden.
– Im Mobilfunknetz soll keine VPN-Verbindung aufgebaut werden bzw. eine aufgebaute Verbindung wieder getrennt werden, wenn ich ein WLAN eines öffentlichen Access Points, Restaurants o.Ă€. wieder verlasse.

Es gibt noch einen vierten Use Case, den ich aber (noch) nicht zum Laufen bekommen habe bzw. der die Regeln fĂŒr die anderen Szenarien aushebelt. Aber dazu komme ich noch spĂ€ter.

On Demand Rules erstellen und Profil einspielen.

Dazu kann man entweder die Configuration Profile Key Reference von Apple heranziehen und die Regeln “zu Fuss” erstellen oder man sucht im Netz nach den fertigen Codeblöcken, die in das vorher rudimentĂ€r erstellte Profil eingefĂŒgt werden. In dieser Dokumentation sind alle Configuration Keys beschrieben, um ein Profil auf dem iPhone oder auch Mac zu steuern.

Die Regeln fĂŒr meine Szenarien habe ich hier zusammengefĂŒgt:
[crayon-5df386d3a3cfd995496736/]
Die einzige Anpassung, die hier noch notwendig ist, ist die Angabe der SSID eures WLANs (Zeile 13 oder 14). Wollt ihr in weiteren WLANs keine VPN-Verbindung aufgebaut haben oder nutzt mehrere SSIDs, so könnt ihr diese innerhalb des Arrays entsprechend ergÀnzen.

Nun wird der Codeblock einfach in das vorher erstellte Configuration Profile eingefĂŒgt und gespeichert. Und zwar VOR dieser Stelle:
[crayon-5df386d3a3d0e593204325/]
Das Einspielen des .mobileconfig Files kann man entweder wieder einfach ĂŒber die Apple Configuration App vornehmen, oder indem man alternativ das File per Email ans iPhone sendet und dort den Anhang öffnet.
Das neu installierte On Demand Profil erkenn man auch daran, dass unter den Verbindungseigenschaften ein grĂŒner Schiebeschalter mit der Bezeichnung “Bei Bedarf verbinden” zu sehen ist.

vpn-on-demand-switch

Nach der Installation des Profils werden nun die drei oben genannten Use Cases wie gewĂŒnscht abgedeckt!

Wenn ihr das Profil spĂ€ter anpassen wollt, dann solltet ihr erst das aktuelle Profil auf dem iPhone löschen. Das geht einfach ĂŒber Einstellungen → Allgemein → Profil.

Das fehlende SahnehÀubchen.

Zugegeben, es ist wirklich ein nice-to-have Feature, an dem ich immernoch noch erfolglos experimentiere. Und zwar soll ein VPN aufgemacht werden, sobald ich auf Ressourcen in meinem lokalen Netzwerk zugreife, sei es mein NAS, mein MacMini oder die FritzBox.

Dazu habe ich folgenden Codeblock als Regel mehrfach im Netz gefunden.
[crayon-5df386d3a3d1f220897905/]
FĂŒr sich allein funktioniert diese Regel tadellos. Das Problem ist nur, wenn ich diese in das Profil einbaue, dann baut sich kein VPN mehr automatisch auf in “fremden” WLANs (also ausserhalb der spezifizierten WLANs). Ich habe bereits versucht die Reihenfolge der Regeln zu Ă€ndern oder die “Schaltlogik” zu invertieren, aber leider ohne Erfolg bzw. zum Teil mit nicht-gewĂŒnschten Querwirkungen auf andere Regeln.

Falls jemand eine Lösung dafĂŒr hat, so kann er sie mir gern in den Kommentaren oder per Email zukommen lassen.

UPDATE 16.5.2017:
Dank meines Lesers Markus (s. Kommentare unten), habe ich das SahnehÀubchen nun draufbekommen.
Den kompletten Codeblock findet ihr hier.

Bedanken möchte ich mich gern an dieser Stelle bei meintechblog.de und iphone-ticker.de fĂŒr einige Hilfestellungen zur Erstellung der Profildatei.

‎Apple Configurator 2
‎Apple Configurator 2
Download QR-Code
‎Apple Configurator 2
Entwickler: Apple
Preis: Kostenlos
Share:

35 Gedanken zu „VPN on Demand auf dem iPhone.“

  1. Hallo,

    zuerst vielen Dank fĂŒr Deine Anleitung. Hat mir sehr geholfen.

    Hast Du das Problem des “SahnehĂ€ubchens” schon gelöst? Ich wĂŒrde auch sehr gern auf mein NAS zurĂŒckgreifen und komme nicht weiter.

    Danke!

    Gruß
    KaMa

    Antworten

  2. Das SahnehÀubchen habe ich dem ganzen leider nicht aufsetzen können und eine Lösung konnte ich nicht finden. Leider.
    Insgesamt habe ich nun nach einigen Wochen auch feststellen mĂŒssen, dass es bei den anderen Use Cases sporadisch sehr lange dauern kann bis eine VPN-Verbindung ĂŒberhaupt zu Stande kommt. Meistens jedoch klappt es jedoch sofort. Das kann aber auch daran liegen, dass einige Hot-Spots die benötigten Ports fĂŒr VPN blockieren.

    Antworten

  3. Hallo,

    danke fĂŒr Deine Antwort. Nach vielen Versuchen scheint es jetzt zu laufen.? Ich habe Deine Einstellungen genommen.

    Hier sind meine Einstellungen wie folgt:

    Action
    EvaluateConnection
    ActionParameters

    Domains

    *.local
    *.Name meiner NAS im Heimnetz lt. Fritzbox.DynDnsName.synology.me
    Name meiner NAS im Heimnetz lt. Fritzbox.DynDnsName.synology.me/string>

    DomainAction
    ConnectIfNeeded

    VPN Server ist auf der NAS eingerichtet. DynDNS ist von Synology mit Zertifikat von Let’s Encrypt.

    Ich bin absoluter Laie, hoffe aber, Du kommst mit meiner Anleitung klar.

    Antworten

    • Hi,
      vielen Dank fĂŒr deine Anleitung, ich werds in jedem Fall ausprobieren!
      An welcher Stelle hast du dies im Skript eingefĂŒgt? Bei mir hatte ich festgestellt, daß es (zumindest in meinem Fall) Auswirkungen auf die anderen Use Cases gab in AbhĂ€ngigkeit der Reihenfolge bzw. an welcher Stelle ich das Skript eingefĂŒgt hatte.

  7. Leider funktioniert es weiterhin nicht bei mir. Im Mobilfunknetz aktiviert sich VPN zwar sofort, wenn ich z.B. fritz.box im Browser aufrufe, in sonstigen WLAN-Netzten dann aber nicht nicht mehr.

    Vielen Dank aber fĂŒr deine Hilfe!

    Antworten

  8. Tolle Konfiguration – auch ohne das SahnehĂ€ubchen.
    Ich hab das Problem:
    Verbinden mit WLAN – VPN soll aktiviert werden.
    Das WLAN zeigt im Browser eine Anmeldeseite. Hier stockt das ganze weil der VPN erst dann aufgebaut werden kann wenn die Browser Anmeldung durch ist. D.h. Man mĂŒsste ein Wait einbauen. Wie ginge das

    Danke fĂŒr RĂŒckmeldung

    Antworten

    • Hallo Hans,
      sorry fĂŒr die spĂ€te Reaktion erstmal!
      Ich glaube ich habe das Problem noch nicht ganz verstanden. Kannst du es etwas konkreter beschreiben?

  9. Guten Tag
    Erstmals Danke fĂŒr die gute Anleitung.
    Ich habe ein Problem, sobald ich das erstellte Profil mit dem Texteditor bearbeite / ergĂ€nze, kann ich danach das Profil nicht mehr auf das iPhone rĂŒberspielen. Ohne Bearbeitung geht das ohne Problem.
    Ich fĂŒge den Codeschnipsel von dir an angegebener Stelle ein und ergĂ€nze noch meinen Wifi Name. Danach sichere ich die Datei. Muss ich das in einem speziellen Format absichern?
    Was mache ich falsch?

    Antworten

    • Hallo Andi,
      prĂŒf bitte mal folgendes:
      – Hat das File die Endung “.mobileconfig”?
      – Speichere das modifizierte File im Unix-Format ab, also mit LF statt CR.
      Damit solltes es in jedem Fall funktionieren.

  10. Das mit dem SahnehĂ€ubchen hat bei mir geklappt. Ich hab dazu lediglich den Block “VPN beim Zugriff auf Heimnetz-Adressen aufbauen” vor den Block “VPN im Mobilfunknetz nicht aktivieren” gesetzt.

    Antworten

    • Danke fĂŒr den Tipp, Markus!
      ICh werde das morgen gleich mal testen, da ich momentan geschÀftlich noch unterwegs bin.

    • Hallo Markus, es hat jetzt endlich geklappt!! ICh hatte bereits sĂ€mtliche Kombinationen der Reihenfolge durchprobiert, bilde ich mir ein, aber diese entwerder ausgelassen oder ĂŒbersehen. Egal, es funktioniert jetzt dank deines Tipps. Herzlichen Dank dafĂŒr!

      Den obigen Blogpost habe ich angepasst und in diesem neuen Post den kompletten Codeblock aufgelistet.
      https://nsign.net/das-vpn-sahnehaubchen-ist-endlich-drauf/

  11. Hallo zusammen,
    ich habe meine Profildatei mit dem unten stehenden Code ergÀnzt. Verhalten:
    1. Kein VPN in bekannten WLANs (ssid ergÀnzen) mit VPN Aufbau bei Zugriff auf lokale Adressen xyz.fritz.box
    2. VPN im fremden WLAN mit Zugriff auf lokale Adressen xyz.fritz.box
    3. Kein VPN im Mobilfunk-Netz mit VPN Aufbau bei Zugriff auf lokale Adressen xyz.fritz.box

    Funktioniert bei mir mit IOS 10 wunderbar. Evtl ist ja was hilfreiches dabei.


    OnDemandEnabled
    1
    OnDemandRules


    Action
    EvaluateConnection
    ActionParameters

    Domains

    *.local
    *.fritz.box
    fritz.box

    DomainAction
    ConnectIfNeeded

    InterfaceTypeMatch
    WiFi
    SSIDMatch

    ssid1
    ssid2
    ssid3
    ssid4
    ssid5
    ssid6


    Action
    Connect
    InterfaceTypeMatch
    WiFi


    Action
    EvaluateConnection
    ActionParameters

    Domains

    *.local
    *.fritz.box
    fritz.box

    DomainAction
    ConnectIfNeeded


    Action
    Disconnect
    InterfaceTypeMatch
    Cellular


    Action
    Disconnect

    Antworten

    • Hallo Bulk,
      vielen Dank fĂŒr deine Config!
      Ich denke auch ohne Tags ist verstÀndlich, wie die Config aussehen soll.
      Heute Abend werde ich es mal ausprobieren, ob sie auch bei mir klappt.

  13. Hi ,

    wie darf ich mir dein SahnehÀubchen vorstellen ?

    Wenn ich extern meinen router/nas zuhause erreichen will (fritz.box) baut er erst ne VPN Verbindung auf und zeigt mir dann die Startseite meines Routers ?

    Aber ansonsten eine super Anleitung :)

    Antworten

    • Hallo Felix,
      genau so ist es. Du gibst in den Browser “fritz.box” ein und das iPhone baut automatisch eine VPN-Verbindung auf und du kommst auf die Login-Seite der FritzBox.

      Viele GrĂŒĂŸe
      Fozi

  16. Hallo zusammen,

    Leider funktioniert das Installieren der Config datei nach dem Ändern nicht.
    Ich habe es mit Notepad++ abgespeichert bzw vorher in UNIX-Sprache “konvertiert” (LF)
    EingefĂŒgt habe ich es vor IPv4 im dict Abschnitt (bei mir ist das IPSec).

    War das korrekt?
    Welchen Editor nehmt ihr?

    Danke,
    Peter

    Antworten

    • Hallo Peter,
      das sollte eigentlich funktionieren. Vom Editor sollte das nicht abhĂ€ngen, wobei die Speicherung im “LF-Format” nicht verkehrt ist. Auf meinem Mac benutze ich BBEdit als Editor (wenn dir das weiterhilft).

      PrĂŒf mal Zeile fĂŒr Zeile, ob du nicht irgendwo eine spitze Klammer oder “/” in einem Tag vergessen oder einen Schreibfehler versehentlich eingebaut hast. Das kann schon mal passieren.

      GrĂŒĂŸe
      Fozi

  17. Moin,

    danke erstmal fĂŒr die super Anleitung!

    Habe jedoch zwei Fragen:

    – wie bekommt man die Konfiguration ggf. wieder runter vom iPhone?
    – und wie kann man in der Konfiguration nachtrĂ€glich weitere bekannte Netze hinzufĂŒgen? Also kann ich die Konfiguration auf dem Rechner erweitern und die alte wird einfach ĂŒberschrieben? Oder hab ich dann irgendwann 100 VPN Konfigurationen aufm phone?

    beste GrĂŒĂŸe!

    Antworten

    • Hi,
      Das Profil kannst du löschen, indem du zu Einstellungen –> Allgemein –> Profil gehst und das Profil einfach löschst.
      Im array unter dem Tag SSIDMatch kannst du in deiner vorhandenen Configuration weitere bekannte Netze einfach hinzufĂŒgen und dann abspeichern. Diese neue Config lĂ€dst du dann per Apple Configurator wieder auf das iPhone. Die bereits auf dem iPhone gespeicherte Configuration unter Einstellungen –> Allgemein –> Profil löscht du am besten vorher. Dann hast du auch nicht zig Profile, sondern nur eines, das alle bekannten Netze enthĂ€lt.

  18. Moin!
    Danke! Und cool, dass du so schnell geantwortet hast! :-)

    Ich habe das an anderer Stelle zu dem Thema auch schon mal gelesen und das gleiche Problem: bei HotSpots von der Telekom o.Ă€., die eine vorgeschaltete Login-Seite haben, kommt leider keine Verbindung zu Stande, weil der VPN Server anscheinend zu frĂŒh versucht eine Verbindung aufzubauen. Irgendwo hat schon jemand gefragt, ob man in diese Konfiguration auch eine Art “Delay” einbauen kann, sodass die VPN Verbindung erst nach X Sekunden oder so aufgebaut wird.

    Sowas funzt vermutlich nicht oder? Oder gibt es einen anderen Trick um dieses Problem mit den Login Seiten bei HotSpots zu umgehen?

    GrĂŒĂŸe!

    Antworten

  19. Hallo,

    ich habe das Script noch nicht installiert und verwende die VPN Standardeinstellung mit der Fritzbox. Leider bricht die VPN Verbindung sofort ab wen ich das Handy sperre und ich muss sie manuell wieder aktivieren.
    Fragen:
    Bleibt die Verbindung mit dem Script dann dauerhaft verbunden?
    Klappt es unter iOS11.2?

    VG
    Alex

    Antworten

    • Hi Alex,
      wenn das iPhone lÀnger gesperrt ist oder im Hintergrund keine Downloads laufen (z.b. App Updates), kann es sein dass die Verbindung getrennt wird. Unmittelbar nach dem Sperren bricht zumindest bei mir die VPN-Verbindung nicht ab, auch nicht wenn das iPhone gesperrt ist oder noch etwas downloaded.
      Das Script baut die Verbindung jedoch sofort wieder auf, sobald die Regeln fĂŒr den Aufbau einer VPN-Verbindung zutreffen. Das funktioniert auch mit 11.2.

  20. Hi Fozi,

    ok habe es nun installiert, funktioniert soweit. Problem ist nur, wenn ich alles Apps aus dem Taskmanager schmeisse und ich das Iphone sperre dauert es ca. 10 sec und die Wlan Verbindung wird disconnected. Entsperre ich den Bildschirm verbindet sich das VPN direkt wieder. Wenn ich aber nun z.B. eine Whatappnachricht bekomme und das Handy ist gesperrt, ist ja keine Verbindung da und ich bekomme die Nachricht nicht, richtig?
    Gibt es auch eine Möglichkeit die Verbindung dauerhaft zu halten?

    Antworten

    • ZunĂ€chst einmal musst du nicht Apps aus dem Taskmanager schmeissen. Das ist eine hartnĂ€ckige Legende :-). Die FĂŒr das Empfangen oder Senden von WhatsApp Messages benötigst du keine WLAN-Verbindung. Die Nachrichten kommen/gehen dann ganz normal ĂŒber das mobile Netz, d.h. du verpasst keine Nachrichten (ausser du hast auch kein mobiles Netz mehr). Die Möglichkeit eine dauerhafte VPN-Verbindung zu halten wenn das iPhone gesperrt ist, kenne ich leider nicht.

  21. Das Problem ist, dass ich kein GSM-Empfang habe und somit immer im Flugmodus bin und mich nur in ein öffentliches WLAN einloggen kann.
    Komischerweise gibt es Tage, da bleibt die Verbindung nach dem Sperren aktiv, an anderen Tagen bricht sie sofort nach dem Sperren des Handys ab. Bewusst mache ich nichts anders….woran kann das liegen. Apps sind immer die selben, die ich verwende….

    Antworten

Schreibe einen Kommentar