VPN on Demand auf dem iPhone.

von

VPN on Demand ist eine äusserst praktische Funktion, wenn man täglich öfter wechselnde Netzzugänge hat (WLAN, Mobilfunknetz) und abhängig vom aktuell eingebuchten Netz eine automatische VPN-Verbindung aufbauen möchte, ohne dies jedesmal manuell und umständlich über die iPhone Einstellungen tun zu müssen. Das lässt sich relativ einfach mit einem entsprechenden Configuration Profile auf dem iPhone realisieren.

Profilerstellung mit Apple Configurator.

Zur Erstellung eines Configuration Profiles für das iPhone installiert man zunächst den kostenlosen Apple Configurator auf dem Mac. In der Regel benutzt man diese App, um zentral auf mehreren iDevices gleichzeitig verschiedenste Einstellung, Berechtigungen oder Apps zu konfigurieren, zu verwalten und auszurollen.

Über Ablage → Neues Profil → VPN erstellt man sich zunächst ein einfaches Profil, das im Kern die Zugangs- und Authentifizierungsinformationen eures VPN-Zugangs enthält.
Später werden noch manuell die On Demand Regeln hinzugefügt, über die das automatisierte Ein- u. Ausschalten einer VPN-Verbindung gesteuert wird. Diese Profil-Datei mit der Endung .mobileconfig ist nichts anderes als ein simples XML-File im .plist Format, das problemlos in TextEdit oder einem anderen Editor bearbeitet werden kann.

Meine VPN on Demand Use Cases.

In meinen täglichen Gebrauch kommen folgende drei Use Cases regelmäßig vor:
– Im Heim-WLAN benötige ich in der Regel keine VPN-Verbindung, weshalb sie dort immer abgeschaltet sein soll.
– Sobald ich in einem anderen WLAN eingebucht bin (z.B. öffentlicher Access Point, Restaurant u.ä), soll automatisch eine  VPN-Verbindung aufgebaut werden.
– Im Mobilfunknetz soll keine VPN-Verbindung aufgebaut werden bzw. eine aufgebaute Verbindung wieder getrennt werden, wenn ich ein WLAN eines öffentlichen Access Points, Restaurants o.ä. wieder verlasse.

Es gibt noch einen vierten Use Case, den ich aber (noch) nicht zum Laufen bekommen habe bzw. der die Regeln für die anderen Szenarien aushebelt. Aber dazu komme ich noch später.

On Demand Rules erstellen und Profil einspielen.

Dazu kann man entweder die Configuration Profile Key Reference von Apple heranziehen und die Regeln “zu Fuss” erstellen oder man sucht im Netz nach den fertigen Codeblöcken, die in das vorher rudimentär erstellte Profil eingefügt werden. In dieser Dokumentation sind alle Configuration Keys beschrieben, um ein Profil auf dem iPhone oder auch Mac zu steuern.

Die Regeln für meine Szenarien habe ich hier zusammengefügt:
[crayon-5f5dd312cf8f4755376652/]
Die einzige Anpassung, die hier noch notwendig ist, ist die Angabe der SSID eures WLANs (Zeile 13 oder 14). Wollt ihr in weiteren WLANs keine VPN-Verbindung aufgebaut haben oder nutzt mehrere SSIDs, so könnt ihr diese innerhalb des Arrays entsprechend ergänzen.

Nun wird der Codeblock einfach in das vorher erstellte Configuration Profile eingefügt und gespeichert. Und zwar VOR dieser Stelle:
[crayon-5f5dd312cf906930669275/]
Das Einspielen des .mobileconfig Files kann man entweder wieder einfach über die Apple Configuration App vornehmen, oder indem man alternativ das File per Email ans iPhone sendet und dort den Anhang öffnet.
Das neu installierte On Demand Profil erkenn man auch daran, dass unter den Verbindungseigenschaften ein grüner Schiebeschalter mit der Bezeichnung “Bei Bedarf verbinden” zu sehen ist.

vpn-on-demand-switch

Nach der Installation des Profils werden nun die drei oben genannten Use Cases wie gewünscht abgedeckt!

Wenn ihr das Profil später anpassen wollt, dann solltet ihr erst das aktuelle Profil auf dem iPhone löschen. Das geht einfach über Einstellungen → Allgemein → Profil.

Das fehlende Sahnehäubchen.

Zugegeben, es ist wirklich ein nice-to-have Feature, an dem ich immernoch noch erfolglos experimentiere. Und zwar soll ein VPN aufgemacht werden, sobald ich auf Ressourcen in meinem lokalen Netzwerk zugreife, sei es mein NAS, mein MacMini oder die FritzBox.

Dazu habe ich folgenden Codeblock als Regel mehrfach im Netz gefunden.
[crayon-5f5dd312cf916972944004/]
Für sich allein funktioniert diese Regel tadellos. Das Problem ist nur, wenn ich diese in das Profil einbaue, dann baut sich kein VPN mehr automatisch auf in “fremden” WLANs (also ausserhalb der spezifizierten WLANs). Ich habe bereits versucht die Reihenfolge der Regeln zu ändern oder die “Schaltlogik” zu invertieren, aber leider ohne Erfolg bzw. zum Teil mit nicht-gewünschten Querwirkungen auf andere Regeln.

Falls jemand eine Lösung dafür hat, so kann er sie mir gern in den Kommentaren oder per Email zukommen lassen.

UPDATE 16.5.2017:
Dank meines Lesers Markus (s. Kommentare unten), habe ich das Sahnehäubchen nun draufbekommen.
Den kompletten Codeblock findet ihr hier.

Bedanken möchte ich mich gern an dieser Stelle bei meintechblog.de und iphone-ticker.de für einige Hilfestellungen zur Erstellung der Profildatei.

[appbox appstore 1037126344]

Share:

35 Gedanken zu „VPN on Demand auf dem iPhone.“

  1. Hallo,

    zuerst vielen Dank für Deine Anleitung. Hat mir sehr geholfen.

    Hast Du das Problem des “Sahnehäubchens” schon gelöst? Ich würde auch sehr gern auf mein NAS zurückgreifen und komme nicht weiter.

    Danke!

    Gruß
    KaMa

    Antworten

  2. Das Sahnehäubchen habe ich dem ganzen leider nicht aufsetzen können und eine Lösung konnte ich nicht finden. Leider.
    Insgesamt habe ich nun nach einigen Wochen auch feststellen müssen, dass es bei den anderen Use Cases sporadisch sehr lange dauern kann bis eine VPN-Verbindung überhaupt zu Stande kommt. Meistens jedoch klappt es jedoch sofort. Das kann aber auch daran liegen, dass einige Hot-Spots die benötigten Ports für VPN blockieren.

    Antworten

  3. Hallo,

    danke für Deine Antwort. Nach vielen Versuchen scheint es jetzt zu laufen.? Ich habe Deine Einstellungen genommen.

    Hier sind meine Einstellungen wie folgt:

    Action
    EvaluateConnection
    ActionParameters

    Domains

    *.local
    *.Name meiner NAS im Heimnetz lt. Fritzbox.DynDnsName.synology.me
    Name meiner NAS im Heimnetz lt. Fritzbox.DynDnsName.synology.me/string>

    DomainAction
    ConnectIfNeeded

    VPN Server ist auf der NAS eingerichtet. DynDNS ist von Synology mit Zertifikat von Let’s Encrypt.

    Ich bin absoluter Laie, hoffe aber, Du kommst mit meiner Anleitung klar.

    Antworten

    • Hi,
      vielen Dank für deine Anleitung, ich werds in jedem Fall ausprobieren!
      An welcher Stelle hast du dies im Skript eingefügt? Bei mir hatte ich festgestellt, daß es (zumindest in meinem Fall) Auswirkungen auf die anderen Use Cases gab in Abhängigkeit der Reihenfolge bzw. an welcher Stelle ich das Skript eingefügt hatte.

  7. Leider funktioniert es weiterhin nicht bei mir. Im Mobilfunknetz aktiviert sich VPN zwar sofort, wenn ich z.B. fritz.box im Browser aufrufe, in sonstigen WLAN-Netzten dann aber nicht nicht mehr.

    Vielen Dank aber für deine Hilfe!

    Antworten

  8. Tolle Konfiguration – auch ohne das Sahnehäubchen.
    Ich hab das Problem:
    Verbinden mit WLAN – VPN soll aktiviert werden.
    Das WLAN zeigt im Browser eine Anmeldeseite. Hier stockt das ganze weil der VPN erst dann aufgebaut werden kann wenn die Browser Anmeldung durch ist. D.h. Man müsste ein Wait einbauen. Wie ginge das

    Danke für Rückmeldung

    Antworten

    • Hallo Hans,
      sorry für die späte Reaktion erstmal!
      Ich glaube ich habe das Problem noch nicht ganz verstanden. Kannst du es etwas konkreter beschreiben?

  9. Guten Tag
    Erstmals Danke für die gute Anleitung.
    Ich habe ein Problem, sobald ich das erstellte Profil mit dem Texteditor bearbeite / ergänze, kann ich danach das Profil nicht mehr auf das iPhone rüberspielen. Ohne Bearbeitung geht das ohne Problem.
    Ich füge den Codeschnipsel von dir an angegebener Stelle ein und ergänze noch meinen Wifi Name. Danach sichere ich die Datei. Muss ich das in einem speziellen Format absichern?
    Was mache ich falsch?

    Antworten

    • Hallo Andi,
      prüf bitte mal folgendes:
      – Hat das File die Endung “.mobileconfig”?
      – Speichere das modifizierte File im Unix-Format ab, also mit LF statt CR.
      Damit solltes es in jedem Fall funktionieren.

  10. Das mit dem Sahnehäubchen hat bei mir geklappt. Ich hab dazu lediglich den Block “VPN beim Zugriff auf Heimnetz-Adressen aufbauen” vor den Block “VPN im Mobilfunknetz nicht aktivieren” gesetzt.

    Antworten

    • Danke für den Tipp, Markus!
      ICh werde das morgen gleich mal testen, da ich momentan geschäftlich noch unterwegs bin.

    • Hallo Markus, es hat jetzt endlich geklappt!! ICh hatte bereits sämtliche Kombinationen der Reihenfolge durchprobiert, bilde ich mir ein, aber diese entwerder ausgelassen oder übersehen. Egal, es funktioniert jetzt dank deines Tipps. Herzlichen Dank dafür!

      Den obigen Blogpost habe ich angepasst und in diesem neuen Post den kompletten Codeblock aufgelistet.
      https://nsign.net/das-vpn-sahnehaubchen-ist-endlich-drauf/

  11. Hallo zusammen,
    ich habe meine Profildatei mit dem unten stehenden Code ergänzt. Verhalten:
    1. Kein VPN in bekannten WLANs (ssid ergänzen) mit VPN Aufbau bei Zugriff auf lokale Adressen xyz.fritz.box
    2. VPN im fremden WLAN mit Zugriff auf lokale Adressen xyz.fritz.box
    3. Kein VPN im Mobilfunk-Netz mit VPN Aufbau bei Zugriff auf lokale Adressen xyz.fritz.box

    Funktioniert bei mir mit IOS 10 wunderbar. Evtl ist ja was hilfreiches dabei.


    OnDemandEnabled
    1
    OnDemandRules


    Action
    EvaluateConnection
    ActionParameters

    Domains

    *.local
    *.fritz.box
    fritz.box

    DomainAction
    ConnectIfNeeded

    InterfaceTypeMatch
    WiFi
    SSIDMatch

    ssid1
    ssid2
    ssid3
    ssid4
    ssid5
    ssid6


    Action
    Connect
    InterfaceTypeMatch
    WiFi


    Action
    EvaluateConnection
    ActionParameters

    Domains

    *.local
    *.fritz.box
    fritz.box

    DomainAction
    ConnectIfNeeded


    Action
    Disconnect
    InterfaceTypeMatch
    Cellular


    Action
    Disconnect

    Antworten

    • Hallo Bulk,
      vielen Dank für deine Config!
      Ich denke auch ohne Tags ist verständlich, wie die Config aussehen soll.
      Heute Abend werde ich es mal ausprobieren, ob sie auch bei mir klappt.

  13. Hi ,

    wie darf ich mir dein Sahnehäubchen vorstellen ?

    Wenn ich extern meinen router/nas zuhause erreichen will (fritz.box) baut er erst ne VPN Verbindung auf und zeigt mir dann die Startseite meines Routers ?

    Aber ansonsten eine super Anleitung :)

    Antworten

    • Hallo Felix,
      genau so ist es. Du gibst in den Browser “fritz.box” ein und das iPhone baut automatisch eine VPN-Verbindung auf und du kommst auf die Login-Seite der FritzBox.

      Viele Grüße
      Fozi

  16. Hallo zusammen,

    Leider funktioniert das Installieren der Config datei nach dem Ändern nicht.
    Ich habe es mit Notepad++ abgespeichert bzw vorher in UNIX-Sprache “konvertiert” (LF)
    Eingefügt habe ich es vor IPv4 im dict Abschnitt (bei mir ist das IPSec).

    War das korrekt?
    Welchen Editor nehmt ihr?

    Danke,
    Peter

    Antworten

    • Hallo Peter,
      das sollte eigentlich funktionieren. Vom Editor sollte das nicht abhängen, wobei die Speicherung im “LF-Format” nicht verkehrt ist. Auf meinem Mac benutze ich BBEdit als Editor (wenn dir das weiterhilft).

      Prüf mal Zeile für Zeile, ob du nicht irgendwo eine spitze Klammer oder “/” in einem Tag vergessen oder einen Schreibfehler versehentlich eingebaut hast. Das kann schon mal passieren.

      Grüße
      Fozi

  17. Moin,

    danke erstmal für die super Anleitung!

    Habe jedoch zwei Fragen:

    – wie bekommt man die Konfiguration ggf. wieder runter vom iPhone?
    – und wie kann man in der Konfiguration nachträglich weitere bekannte Netze hinzufügen? Also kann ich die Konfiguration auf dem Rechner erweitern und die alte wird einfach überschrieben? Oder hab ich dann irgendwann 100 VPN Konfigurationen aufm phone?

    beste Grüße!

    Antworten

    • Hi,
      Das Profil kannst du löschen, indem du zu Einstellungen –> Allgemein –> Profil gehst und das Profil einfach löschst.
      Im array unter dem Tag SSIDMatch kannst du in deiner vorhandenen Configuration weitere bekannte Netze einfach hinzufügen und dann abspeichern. Diese neue Config lädst du dann per Apple Configurator wieder auf das iPhone. Die bereits auf dem iPhone gespeicherte Configuration unter Einstellungen –> Allgemein –> Profil löscht du am besten vorher. Dann hast du auch nicht zig Profile, sondern nur eines, das alle bekannten Netze enthält.

  18. Moin!
    Danke! Und cool, dass du so schnell geantwortet hast! :-)

    Ich habe das an anderer Stelle zu dem Thema auch schon mal gelesen und das gleiche Problem: bei HotSpots von der Telekom o.ä., die eine vorgeschaltete Login-Seite haben, kommt leider keine Verbindung zu Stande, weil der VPN Server anscheinend zu früh versucht eine Verbindung aufzubauen. Irgendwo hat schon jemand gefragt, ob man in diese Konfiguration auch eine Art “Delay” einbauen kann, sodass die VPN Verbindung erst nach X Sekunden oder so aufgebaut wird.

    Sowas funzt vermutlich nicht oder? Oder gibt es einen anderen Trick um dieses Problem mit den Login Seiten bei HotSpots zu umgehen?

    Grüße!

    Antworten

  19. Hallo,

    ich habe das Script noch nicht installiert und verwende die VPN Standardeinstellung mit der Fritzbox. Leider bricht die VPN Verbindung sofort ab wen ich das Handy sperre und ich muss sie manuell wieder aktivieren.
    Fragen:
    Bleibt die Verbindung mit dem Script dann dauerhaft verbunden?
    Klappt es unter iOS11.2?

    VG
    Alex

    Antworten

    • Hi Alex,
      wenn das iPhone länger gesperrt ist oder im Hintergrund keine Downloads laufen (z.b. App Updates), kann es sein dass die Verbindung getrennt wird. Unmittelbar nach dem Sperren bricht zumindest bei mir die VPN-Verbindung nicht ab, auch nicht wenn das iPhone gesperrt ist oder noch etwas downloaded.
      Das Script baut die Verbindung jedoch sofort wieder auf, sobald die Regeln für den Aufbau einer VPN-Verbindung zutreffen. Das funktioniert auch mit 11.2.

  20. Hi Fozi,

    ok habe es nun installiert, funktioniert soweit. Problem ist nur, wenn ich alles Apps aus dem Taskmanager schmeisse und ich das Iphone sperre dauert es ca. 10 sec und die Wlan Verbindung wird disconnected. Entsperre ich den Bildschirm verbindet sich das VPN direkt wieder. Wenn ich aber nun z.B. eine Whatappnachricht bekomme und das Handy ist gesperrt, ist ja keine Verbindung da und ich bekomme die Nachricht nicht, richtig?
    Gibt es auch eine Möglichkeit die Verbindung dauerhaft zu halten?

    Antworten

    • Zunächst einmal musst du nicht Apps aus dem Taskmanager schmeissen. Das ist eine hartnäckige Legende :-). Die Für das Empfangen oder Senden von WhatsApp Messages benötigst du keine WLAN-Verbindung. Die Nachrichten kommen/gehen dann ganz normal über das mobile Netz, d.h. du verpasst keine Nachrichten (ausser du hast auch kein mobiles Netz mehr). Die Möglichkeit eine dauerhafte VPN-Verbindung zu halten wenn das iPhone gesperrt ist, kenne ich leider nicht.

  21. Das Problem ist, dass ich kein GSM-Empfang habe und somit immer im Flugmodus bin und mich nur in ein öffentliches WLAN einloggen kann.
    Komischerweise gibt es Tage, da bleibt die Verbindung nach dem Sperren aktiv, an anderen Tagen bricht sie sofort nach dem Sperren des Handys ab. Bewusst mache ich nichts anders….woran kann das liegen. Apps sind immer die selben, die ich verwende….

    Antworten

Schreibe einen Kommentar