VPN on Demand ist eine äusserst praktische Funktion, wenn man täglich öfter wechselnde Netzzugänge hat (WLAN, Mobilfunknetz) und abhängig vom aktuell eingebuchten Netz eine automatische VPN-Verbindung aufbauen möchte, ohne dies jedesmal manuell und umständlich über die iPhone Einstellungen tun zu müssen. Das lässt sich relativ einfach mit einem entsprechenden Configuration Profile auf dem iPhone realisieren.
Profilerstellung mit Apple Configurator.
Zur Erstellung eines Configuration Profiles für das iPhone installiert man zunächst den kostenlosen Apple Configurator auf dem Mac. In der Regel benutzt man diese App, um zentral auf mehreren iDevices gleichzeitig verschiedenste Einstellung, Berechtigungen oder Apps zu konfigurieren, zu verwalten und auszurollen.
Über Ablage → Neues Profil → VPN erstellt man sich zunächst ein einfaches Profil, das im Kern die Zugangs- und Authentifizierungsinformationen eures VPN-Zugangs enthält.
Später werden noch manuell die On Demand Regeln hinzugefügt, über die das automatisierte Ein- u. Ausschalten einer VPN-Verbindung gesteuert wird. Diese Profil-Datei mit der Endung .mobileconfig ist nichts anderes als ein simples XML-File im .plist Format, das problemlos in TextEdit oder einem anderen Editor bearbeitet werden kann.
Meine VPN on Demand Use Cases.
In meinen täglichen Gebrauch kommen folgende drei Use Cases regelmäßig vor:
– Im Heim-WLAN benötige ich in der Regel keine VPN-Verbindung, weshalb sie dort immer abgeschaltet sein soll.
– Sobald ich in einem anderen WLAN eingebucht bin (z.B. öffentlicher Access Point, Restaurant u.ä), soll automatisch eine VPN-Verbindung aufgebaut werden.
– Im Mobilfunknetz soll keine VPN-Verbindung aufgebaut werden bzw. eine aufgebaute Verbindung wieder getrennt werden, wenn ich ein WLAN eines öffentlichen Access Points, Restaurants o.ä. wieder verlasse.
Es gibt noch einen vierten Use Case, den ich aber (noch) nicht zum Laufen bekommen habe bzw. der die Regeln für die anderen Szenarien aushebelt. Aber dazu komme ich noch später.
On Demand Rules erstellen und Profil einspielen.
Dazu kann man entweder die Configuration Profile Key Reference von Apple heranziehen und die Regeln “zu Fuss” erstellen oder man sucht im Netz nach den fertigen Codeblöcken, die in das vorher rudimentär erstellte Profil eingefügt werden. In dieser Dokumentation sind alle Configuration Keys beschrieben, um ein Profil auf dem iPhone oder auch Mac zu steuern.
Die Regeln für meine Szenarien habe ich hier zusammengefügt:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 | <!-- VPN-On-Demand Codeblock START --> <key>OnDemandEnabled</key> <integer>1</integer> <key>OnDemandRules</key> <array> <!-- VPN in bestimmten WLAN-Netzen *DE-AKTIVIEREN* --> <dict> <key>InterfaceTypeMatch</key> <string>WiFi</string> <key>SSIDMatch</key> <array> <string>Home WiFi</string> <string>Company WiFi</string> </array> <key>Action</key> <string>Disconnect</string> </dict> <!-- VPN in sonstigen WLAN-Netzen *AKTIVIEREN* --> <dict> <key>InterfaceTypeMatch</key> <string>WiFi</string> <key>Action</key> <string>Connect</string> </dict> <!-- VPN im Mobilfunknetz nicht aktivieren --> <dict> <key>InterfaceTypeMatch</key> <string>Cellular</string> <key>Action</key> <string>Disconnect</string> </dict> <!-- VPN Default state --> <dict> <key>Action</key> <string>Disconnect</string> </dict> </array> <!-- VPN-On-Demand Codeblock ENDE --> |
Die einzige Anpassung, die hier noch notwendig ist, ist die Angabe der SSID eures WLANs (Zeile 13 oder 14). Wollt ihr in weiteren WLANs keine VPN-Verbindung aufgebaut haben oder nutzt mehrere SSIDs, so könnt ihr diese innerhalb des Arrays entsprechend ergänzen.
Nun wird der Codeblock einfach in das vorher erstellte Configuration Profile eingefügt und gespeichert. Und zwar VOR dieser Stelle:
1 2 3 4 5 6 7 | <dict> ... ... HIER CODEBLOCK EINFÜGEN ... </dict> <key>IPv4</key> ... |
Das Einspielen des .mobileconfig Files kann man entweder wieder einfach über die Apple Configuration App vornehmen, oder indem man alternativ das File per Email ans iPhone sendet und dort den Anhang öffnet.
Das neu installierte On Demand Profil erkenn man auch daran, dass unter den Verbindungseigenschaften ein grüner Schiebeschalter mit der Bezeichnung “Bei Bedarf verbinden” zu sehen ist.
Nach der Installation des Profils werden nun die drei oben genannten Use Cases wie gewünscht abgedeckt!
Wenn ihr das Profil später anpassen wollt, dann solltet ihr erst das aktuelle Profil auf dem iPhone löschen. Das geht einfach über Einstellungen → Allgemein → Profil.
Das fehlende Sahnehäubchen.
Zugegeben, es ist wirklich ein nice-to-have Feature, an dem ich immernoch noch erfolglos experimentiere. Und zwar soll ein VPN aufgemacht werden, sobald ich auf Ressourcen in meinem lokalen Netzwerk zugreife, sei es mein NAS, mein MacMini oder die FritzBox.
Dazu habe ich folgenden Codeblock als Regel mehrfach im Netz gefunden.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 | <!-- VPN beim Zugriff auf lokales Netzwerk aufbauen --> <dict> <key>Action</key> <string>EvaluateConnection</string> <key>ActionParameters</key> <array> <dict> <key>Domains</key> <array> <string>*.local</string> <string>*.fritz.box</string> <string>fritz.box</string> </array> <key>DomainAction</key> <string>ConnectIfNeeded</string> </dict> </array> </dict> |
Für sich allein funktioniert diese Regel tadellos. Das Problem ist nur, wenn ich diese in das Profil einbaue, dann baut sich kein VPN mehr automatisch auf in “fremden” WLANs (also ausserhalb der spezifizierten WLANs). Ich habe bereits versucht die Reihenfolge der Regeln zu ändern oder die “Schaltlogik” zu invertieren, aber leider ohne Erfolg bzw. zum Teil mit nicht-gewünschten Querwirkungen auf andere Regeln.
Falls jemand eine Lösung dafür hat, so kann er sie mir gern in den Kommentaren oder per Email zukommen lassen.
UPDATE 16.5.2017:
Dank meines Lesers Markus (s. Kommentare unten), habe ich das Sahnehäubchen nun draufbekommen.
Den kompletten Codeblock findet ihr hier.
Bedanken möchte ich mich gern an dieser Stelle bei meintechblog.de und iphone-ticker.de für einige Hilfestellungen zur Erstellung der Profildatei.
Hallo,
zuerst vielen Dank für Deine Anleitung. Hat mir sehr geholfen.
Hast Du das Problem des “Sahnehäubchens” schon gelöst? Ich würde auch sehr gern auf mein NAS zurückgreifen und komme nicht weiter.
Danke!
Gruß
KaMa
Das Sahnehäubchen habe ich dem ganzen leider nicht aufsetzen können und eine Lösung konnte ich nicht finden. Leider.
Insgesamt habe ich nun nach einigen Wochen auch feststellen müssen, dass es bei den anderen Use Cases sporadisch sehr lange dauern kann bis eine VPN-Verbindung überhaupt zu Stande kommt. Meistens jedoch klappt es jedoch sofort. Das kann aber auch daran liegen, dass einige Hot-Spots die benötigten Ports für VPN blockieren.
Hallo,
danke für Deine Antwort. Nach vielen Versuchen scheint es jetzt zu laufen.? Ich habe Deine Einstellungen genommen.
Hier sind meine Einstellungen wie folgt:
Action
EvaluateConnection
ActionParameters
Domains
*.local
*.Name meiner NAS im Heimnetz lt. Fritzbox.DynDnsName.synology.me
Name meiner NAS im Heimnetz lt. Fritzbox.DynDnsName.synology.me/string>
DomainAction
ConnectIfNeeded
VPN Server ist auf der NAS eingerichtet. DynDNS ist von Synology mit Zertifikat von Let’s Encrypt.
Ich bin absoluter Laie, hoffe aber, Du kommst mit meiner Anleitung klar.
Hi,
vielen Dank für deine Anleitung, ich werds in jedem Fall ausprobieren!
An welcher Stelle hast du dies im Skript eingefügt? Bei mir hatte ich festgestellt, daß es (zumindest in meinem Fall) Auswirkungen auf die anderen Use Cases gab in Abhängigkeit der Reihenfolge bzw. an welcher Stelle ich das Skript eingefügt hatte.
Hallo,
ohne darüber nachzudenken, habe ich es einfach ans Ende gesetzt und zwar hier:
Action
Disconnect
Action
…….
neuer Versuch:
Action
Disconnect
Action ….
Also hinter … VPN Default state…
Leider funktioniert es weiterhin nicht bei mir. Im Mobilfunknetz aktiviert sich VPN zwar sofort, wenn ich z.B. fritz.box im Browser aufrufe, in sonstigen WLAN-Netzten dann aber nicht nicht mehr.
Vielen Dank aber für deine Hilfe!
Tolle Konfiguration – auch ohne das Sahnehäubchen.
Ich hab das Problem:
Verbinden mit WLAN – VPN soll aktiviert werden.
Das WLAN zeigt im Browser eine Anmeldeseite. Hier stockt das ganze weil der VPN erst dann aufgebaut werden kann wenn die Browser Anmeldung durch ist. D.h. Man müsste ein Wait einbauen. Wie ginge das
Danke für Rückmeldung
Hallo Hans,
sorry für die späte Reaktion erstmal!
Ich glaube ich habe das Problem noch nicht ganz verstanden. Kannst du es etwas konkreter beschreiben?
Guten Tag
Erstmals Danke für die gute Anleitung.
Ich habe ein Problem, sobald ich das erstellte Profil mit dem Texteditor bearbeite / ergänze, kann ich danach das Profil nicht mehr auf das iPhone rüberspielen. Ohne Bearbeitung geht das ohne Problem.
Ich füge den Codeschnipsel von dir an angegebener Stelle ein und ergänze noch meinen Wifi Name. Danach sichere ich die Datei. Muss ich das in einem speziellen Format absichern?
Was mache ich falsch?
Hallo Andi,
prüf bitte mal folgendes:
– Hat das File die Endung “.mobileconfig”?
– Speichere das modifizierte File im Unix-Format ab, also mit LF statt CR.
Damit solltes es in jedem Fall funktionieren.
Das mit dem Sahnehäubchen hat bei mir geklappt. Ich hab dazu lediglich den Block “VPN beim Zugriff auf Heimnetz-Adressen aufbauen” vor den Block “VPN im Mobilfunknetz nicht aktivieren” gesetzt.
Danke für den Tipp, Markus!
ICh werde das morgen gleich mal testen, da ich momentan geschäftlich noch unterwegs bin.
Hallo Markus, es hat jetzt endlich geklappt!! ICh hatte bereits sämtliche Kombinationen der Reihenfolge durchprobiert, bilde ich mir ein, aber diese entwerder ausgelassen oder übersehen. Egal, es funktioniert jetzt dank deines Tipps. Herzlichen Dank dafür!
Den obigen Blogpost habe ich angepasst und in diesem neuen Post den kompletten Codeblock aufgelistet.
https://nsign.net/das-vpn-sahnehaubchen-ist-endlich-drauf/
Hallo zusammen,
ich habe meine Profildatei mit dem unten stehenden Code ergänzt. Verhalten:
1. Kein VPN in bekannten WLANs (ssid ergänzen) mit VPN Aufbau bei Zugriff auf lokale Adressen xyz.fritz.box
2. VPN im fremden WLAN mit Zugriff auf lokale Adressen xyz.fritz.box
3. Kein VPN im Mobilfunk-Netz mit VPN Aufbau bei Zugriff auf lokale Adressen xyz.fritz.box
Funktioniert bei mir mit IOS 10 wunderbar. Evtl ist ja was hilfreiches dabei.
OnDemandEnabled
1
OnDemandRules
Action
EvaluateConnection
ActionParameters
Domains
*.local
*.fritz.box
fritz.box
DomainAction
ConnectIfNeeded
InterfaceTypeMatch
WiFi
SSIDMatch
ssid1
ssid2
ssid3
ssid4
ssid5
ssid6
Action
Connect
InterfaceTypeMatch
WiFi
Action
EvaluateConnection
ActionParameters
Domains
*.local
*.fritz.box
fritz.box
DomainAction
ConnectIfNeeded
Action
Disconnect
InterfaceTypeMatch
Cellular
Action
Disconnect
Sorry, die entscheidenden Codezeilen wurden beim übertragen herausgefiltert. So ist das natürlich keine Hilfe.
Hallo Bulk,
vielen Dank für deine Config!
Ich denke auch ohne Tags ist verständlich, wie die Config aussehen soll.
Heute Abend werde ich es mal ausprobieren, ob sie auch bei mir klappt.
Hi ,
wie darf ich mir dein Sahnehäubchen vorstellen ?
Wenn ich extern meinen router/nas zuhause erreichen will (fritz.box) baut er erst ne VPN Verbindung auf und zeigt mir dann die Startseite meines Routers ?
Aber ansonsten eine super Anleitung :)
Hallo Felix,
genau so ist es. Du gibst in den Browser “fritz.box” ein und das iPhone baut automatisch eine VPN-Verbindung auf und du kommst auf die Login-Seite der FritzBox.
Viele Grüße
Fozi
Hi, alles schön und gut aber wie bekommt ihr die Datei auf das iPhone und Fritzbox?
Hallo Ochi,
wie in der Anleitung beschrieben, überträgst du das Konfigurationsfile mit dem Apple Configurator 2 (s.o den Link in den Appstore). Für die Einrichtung von VPN auf der Fritzbox gibt es unzählige Anleitungen, z.B. diese https://avm.de/service/vpn/praxis-tipps/vpn-verbindung-zur-fritzbox-unter-windows-einrichten-fritzfernzugang/
Ich habe das ganze mit mehreren Profilen nochmal etwas optimiert: https://thomas-witt.com/auto-connect-your-ios-device-to-a-vpn-when-joining-an-unknown-wifi-d1df8100c4ba
Hallo Thomas,
vielen Dank für den ergänzenden Beitrag!
Hallo zusammen,
Leider funktioniert das Installieren der Config datei nach dem Ändern nicht.
Ich habe es mit Notepad++ abgespeichert bzw vorher in UNIX-Sprache “konvertiert” (LF)
Eingefügt habe ich es vor IPv4 im dict Abschnitt (bei mir ist das IPSec).
War das korrekt?
Welchen Editor nehmt ihr?
Danke,
Peter
Hallo Peter,
das sollte eigentlich funktionieren. Vom Editor sollte das nicht abhängen, wobei die Speicherung im “LF-Format” nicht verkehrt ist. Auf meinem Mac benutze ich BBEdit als Editor (wenn dir das weiterhilft).
Prüf mal Zeile für Zeile, ob du nicht irgendwo eine spitze Klammer oder “/” in einem Tag vergessen oder einen Schreibfehler versehentlich eingebaut hast. Das kann schon mal passieren.
Grüße
Fozi
Moin,
danke erstmal für die super Anleitung!
Habe jedoch zwei Fragen:
– wie bekommt man die Konfiguration ggf. wieder runter vom iPhone?
– und wie kann man in der Konfiguration nachträglich weitere bekannte Netze hinzufügen? Also kann ich die Konfiguration auf dem Rechner erweitern und die alte wird einfach überschrieben? Oder hab ich dann irgendwann 100 VPN Konfigurationen aufm phone?
beste Grüße!
Hi,
Das Profil kannst du löschen, indem du zu Einstellungen –> Allgemein –> Profil gehst und das Profil einfach löschst.
Im array unter dem Tag SSIDMatch kannst du in deiner vorhandenen Configuration weitere bekannte Netze einfach hinzufügen und dann abspeichern. Diese neue Config lädst du dann per Apple Configurator wieder auf das iPhone. Die bereits auf dem iPhone gespeicherte Configuration unter Einstellungen –> Allgemein –> Profil löscht du am besten vorher. Dann hast du auch nicht zig Profile, sondern nur eines, das alle bekannten Netze enthält.
Moin!
Danke! Und cool, dass du so schnell geantwortet hast! :-)
Ich habe das an anderer Stelle zu dem Thema auch schon mal gelesen und das gleiche Problem: bei HotSpots von der Telekom o.ä., die eine vorgeschaltete Login-Seite haben, kommt leider keine Verbindung zu Stande, weil der VPN Server anscheinend zu früh versucht eine Verbindung aufzubauen. Irgendwo hat schon jemand gefragt, ob man in diese Konfiguration auch eine Art “Delay” einbauen kann, sodass die VPN Verbindung erst nach X Sekunden oder so aufgebaut wird.
Sowas funzt vermutlich nicht oder? Oder gibt es einen anderen Trick um dieses Problem mit den Login Seiten bei HotSpots zu umgehen?
Grüße!
Meiner Erfahrung nach (z.B. mit den Telekom Hotspots bei McDonalds oder Burgerking oder Stadtwerke München) funktioniert der VPN-Aufbau automatisch und problemlos nachdem man die Captive-Seite erstmalig “überwunden” hat und innerhalb von z.B. 30 Tagen wieder dort ist. Das iPhone baut die VPN-Verbindung automatisch auf, ohne daß die Captive-Seite dies verhindert. Bei anderen Hotspots (z.B. in einigen Möbelhäusern) kann es aber auch sein, daß die VPN-Ports abgeschaltet sind. Dann ist es natürlich Essig mit VPN.
Aber wirf mal einen blick in die Configuration Profile Reference von Apple, vielleicht hilft dir das weiter (https://developer.apple.com/library/ios/featuredarticles/iPhoneConfigurationProfileRef/Introduction/Introduction.html#//apple_ref/doc/uid/TP40010206)
Hallo,
ich habe das Script noch nicht installiert und verwende die VPN Standardeinstellung mit der Fritzbox. Leider bricht die VPN Verbindung sofort ab wen ich das Handy sperre und ich muss sie manuell wieder aktivieren.
Fragen:
Bleibt die Verbindung mit dem Script dann dauerhaft verbunden?
Klappt es unter iOS11.2?
VG
Alex
Hi Alex,
wenn das iPhone länger gesperrt ist oder im Hintergrund keine Downloads laufen (z.b. App Updates), kann es sein dass die Verbindung getrennt wird. Unmittelbar nach dem Sperren bricht zumindest bei mir die VPN-Verbindung nicht ab, auch nicht wenn das iPhone gesperrt ist oder noch etwas downloaded.
Das Script baut die Verbindung jedoch sofort wieder auf, sobald die Regeln für den Aufbau einer VPN-Verbindung zutreffen. Das funktioniert auch mit 11.2.
Hi Fozi,
ok habe es nun installiert, funktioniert soweit. Problem ist nur, wenn ich alles Apps aus dem Taskmanager schmeisse und ich das Iphone sperre dauert es ca. 10 sec und die Wlan Verbindung wird disconnected. Entsperre ich den Bildschirm verbindet sich das VPN direkt wieder. Wenn ich aber nun z.B. eine Whatappnachricht bekomme und das Handy ist gesperrt, ist ja keine Verbindung da und ich bekomme die Nachricht nicht, richtig?
Gibt es auch eine Möglichkeit die Verbindung dauerhaft zu halten?
Zunächst einmal musst du nicht Apps aus dem Taskmanager schmeissen. Das ist eine hartnäckige Legende :-). Die Für das Empfangen oder Senden von WhatsApp Messages benötigst du keine WLAN-Verbindung. Die Nachrichten kommen/gehen dann ganz normal über das mobile Netz, d.h. du verpasst keine Nachrichten (ausser du hast auch kein mobiles Netz mehr). Die Möglichkeit eine dauerhafte VPN-Verbindung zu halten wenn das iPhone gesperrt ist, kenne ich leider nicht.
Das Problem ist, dass ich kein GSM-Empfang habe und somit immer im Flugmodus bin und mich nur in ein öffentliches WLAN einloggen kann.
Komischerweise gibt es Tage, da bleibt die Verbindung nach dem Sperren aktiv, an anderen Tagen bricht sie sofort nach dem Sperren des Handys ab. Bewusst mache ich nichts anders….woran kann das liegen. Apps sind immer die selben, die ich verwende….