Cisco VPN-Einwahl mit S60 3rd Handy

Hangman 22.12.2007, 18:12

Bewertung: (8 votes - 4,50 average)

Hallo Community,

hier befindet sich ein Tutorial, wie man sich via WLAN an einem Cisco VPN Netzwerk (Cisco Concentrator 3000) anmeldet. Diese Cisco Netzwerke sind an vielen Universitäten und Firmen zu finden. An anderen Gateways sind möglicherweise weitere Einstellungen vorzunehmen, hierbei kann Nokias VPN-Client Dokumentation zu Rate gezogen werden.


Ich beschreibe hier die exakte Vorgehensweise, um eine funktionierende Verbindung aufzubauen.

Testumgebung:

• N95
• Nokia VPN-Client vom N71
• Einwahlknoten der Bauhaus Uni Weimar

benötigte Programme:

• Nokia VPN-Client
• makesis.exe oder [Link nur für registrierte Mitglieder sichtbar.]
• Cisco VPN-Policy eures Netzwerkadmins (*.pcf Datei)
• blanko VPN Policies für den Nokia VPN-Client oder [Link nur für registrierte Mitglieder sichtbar.]
• Signierungstool

Schritt 1: VPN-Client auf dem Handy installieren

Schritt 2: VPN-Policy des Einwahlknotens in die Konfiguration des Nokia VPN-Clients übertragen

Dazu öffnet die Datei "VPN-policy-preshared-Cisco.pol" aus dem Archiv "VPN-policy-preshared-Cisco.rar" und bearbeitet sie mit einem Editor eurer Wahl.



Nun öffnet die .pcf Datei, die ihr von eurem Netzwerkadmin bekommt oder, zumindest an Unis von einem Uni-Server, heruntergeladen werden kann. Dies ist die Policy, die ihr in den Cisco VPN-Client auf dem PC/MAC importieren müßt.



Wichtig sind folgende Zeilen:
"Host="
"GroupName="
"GroupPwd= oder enc_GroupPwd="

Liegt das GroupPwd in verschlüsselter Form vor (enc_GroupPwd=), muss es zunächst entschlüsselt werden. Entweder ihr fragt euren VPN-Admin oder entschlüsselt es selbst. Folgt dazu diesem Link: [Link nur für registrierte Mitglieder sichtbar.]

Nun übernehmt die Daten aus der .pcf Datei und fügt sie in die "VPN-policy-preshared-Cisco.pol" Datei ein. In dieser Tabelle seht ihr, welche Zeilen wohin übertragen werden müssen: (die zu ändernden Stellen sind rot markiert)


In der ersten Zeile müssen die XX.XX.XX.XX durch die IP in "Host=" ersetzt werden. Sollte in der .pcf Datei nur ein Hostname stehen, muss dieser mittels "ping hostname" erst in eine IP aufgelöst werden. In der zweiten Zeile muss das Wort "Gruppe" durch den GroupName aus der .pcf ersetzt werden. In der dritten Zeile "KEY: 8 PASSWORT" muß die Zahl durch die Anzahl der Zeichen des Passworts ersetzt werden und dahinter das richtige Passwort eingegeben werden. Beispiel: das entschüsselte Passwort aus "enc_GroupPwd=" ist "vpnpasswort", dann entspricht die Zeile "KEY:" diesem: "KEY: 11 vpnpasswort". Abspeichern, fertig.

Schritt 3. Policy kompilieren

Hierzu benötigt ihr die zuvor heruntergeladene "makesis.exe". Angenommen ihr habt die "VPN-policy-preshared-Cisco.rar" und die "makesis.rar" in das Verzeichnis "C:\VPN" entpackt, dann lautet der Aufruf "makesis.exe VPN-policy-preshared-Cisco.pkg".

Dazu in die Eingabeaufforderung wechseln (Start -> Ausführen -> cmd.exe) und mit "cd \vpn" in das Verzeichnis C:\VPN wechseln. Dann "makesis.exe VPN-policy-preshared-Cisco.pkg" eingeben und fertig ist die "VPN-policy-preshared-Cisco.sis"

Das Programm quittiert ein erfolgreiches kompilieren mit folgender Meldung:

Schritt 4. VPN-policy-preshared-Cisco.sis signieren

Nun muss die Policy noch signiert werden. Wer nicht weiß, wie das geht oder damit Probleme hat, sollte sich einmal diese FAQ: Symbiansigneds neuestes Online Signing Tool ansehen.

Schritt 5. Policy installieren und VPN-Knotenpunkt erstellen

Installation der .sis Datei sollte klar sein und funktioniert wie bei jedem anderen Programm auch. Die erstellte .sis Datei ist allerdings nicht ganz S60 3rd kompatibel, weshalb das Telefon eine Fehlermeldung ausgibt. Die Datei kann aber trotzdem installiert werden.

Nach der Installation muß noch ein neuer VPN-Zugangspunkt definiert werden (Menü > System > Einstellungen > Verbindung > VPN > VPN-Zugangspunkte). Der Verbindungsname ist dabei frei wählbar.



Nun sind noch die Eingabe der Daten und Auswahl der VPN-Policy sowie des zu verwendenden Internet-Zugangspunktes erforderlich:



Jetzt kann der Browser gestartet werden. Dieser fragt nun nach dem Zugangspunkt und dort ist jetzt der, zuvor angelegte, VPN-Zugangspunkt auszuwählen. Nach dem Verbindungsaufbau wird nun nach den Zugangsdaten gefragt:



Hier noch die, vom Netzwerkadmin vergebenen, Logindaten eingeben und voilá, wir sind drin.

Gruß,
Hangman

__________________
lesen - denken - posten

SexyCyberBoy

Hangman

Doch jetzt geht der link. Und im ersten post gibts ein "oder" hinter dem link.

__________________
lesen - denken - posten

SexyCyberBoy

@ Hangman

Also ich hab die Datei runtergelanden und entpackt...

Anschließend die POL-Datei angepasst...

mit MAKESIS eine SIS-Datei erstellen ging nicht...da kam ne Fehlermeldung, dass er die PKG-Datei nicht lesen kann.

Also hab ich meine alte PKG-Datei verwendet, um die SIS-Datei zu erstellen.

Diese hab ich dann noch signiert und installiert.

Leider kam es zur gleichen Fehlermeldung!

Muss ich bei der neuen POL-Datei etwa noch zusätzliche Änderungen beachten?


Folgende Informationen wurden nachträglich hinzugefügt:
SexyCyberBoy schrieb nach 7 Minuten und 4 Sekunden:

Das hier is die ReadMe zu unserem VPN-Client für den PC:
(evtl. überseh ich da was, das wichtig sein könnte?!)

================================================== =======================
Readme zum VPN Client Release 6_01.102 (29. September 2006)
================================================== =======================

This client release supports the following Microsoft operating systems:
- Windows XP Home, Windows XP Professional, and Windows XP Tablet
- Windows 2000 Professional
The client works with all service packs available for each operating
system.

================================================== =======================
1. Client Profile
================================================== =======================

Der Contivity VPN Client für den Frankfurt University Secure Entrypoint
(aka FUSE) enthält drei vordefinierte Profile. Jedes Client-Profil ist
mit einem Einwahl-Standort der Universität identisch. Alle drei Profile
ermöglichen den Zugang zum VPN und damit zu den Ressourcen des HRZ und
der Universität.

Diese drei Profile können als gleichberechtigt angesehen werden und
können praktisch immer verwendet werden, gleichgültig von welchem Ort
aus und auf welche Art der Netzzugang erfolgt. Als Beispiele seien der
heimische DSL-Anschluss, das Wireless-LAN FLUG der Universität Frankfurt,
oder das drahtgebundene Ethernet einer anderen Hochschule, genannt.

Die Profile unterscheiden sich grundsätzlich im Einwahlstandort:

================================================== =======================
1.1. CB - FUSE
================================================== =======================

Die Einwahl erfolgt über den Campus Bockenheim (CB). Es stehen zwei
VPN-Server im Lastverteilungs-Verfahren zur Verfügung:
- vpn.server.uni-frankfurt.de
- vpn2.server.uni-frankfurt.de

Die Einwahl sollte generell für den Zugriff auf folgende universitären
Ressourcen genutzt werden:
- Campus Bockenheim
- Campus Niederrad
- Institut für Sportwissenschaften
- Bio-Campus in der Siesmayerstraße

Die Einwahl sollte speziell genutzt werden für:
- Einwahl von ausserhalb der Universität.
- das Wireless-Netz FLUG am Campus Bockenheim.
- VPN-Netzwerkdosen am Campus Bockenheim (Beispielsweise in der
Universitätsbibliothek).

================================================== =======================
1.2. CW - FUSE
================================================== =======================

Die Einwahl erfolgt über den Campus Westend (CW). Es steht ein VPN-Server
zur Verfuegung:
- vpn7.server.uni-frankfurt.de

Die Einwahl sollte generell für den Zugriff auf folgende universitären
Ressourcen genutzt werden:
- Campus Westend

Die Einwahl sollte speziell genutzt werden für:
- Einwahl von ausserhalb der Univesität.
- das Wireless-Netz FLUG am Campus Westend.
- VPN-Netzwerkdosen am Campus Westend.

================================================== =======================
1.3. CR - FUSE
================================================== =======================

Die Einwahl erfolgt über den Campus Riedberg (CR). Es steht ein
VPN-Server zur Verfügung:
- vpn4.server.uni-frankfurt.de

Die Einwahl sollte generell für den Zugriff auf folgende universitären
Ressourcen genutzt werden:
- Campus Riedberg

Die Einwahl sollte speziell genutzt werden für:
- Einwahl von ausserhalb der Univesität.
- das Wireless-Netz FLUG am Campus Riedberg.
- VPN-Netzwerkdosen am Campus Riedberg.

================================================== =======================
1.4. Hinweise zu den alten Profilen (bis Oktober 2006)
================================================== =======================

Das Profil FLUG, welches die Nutzung der Ressourcen der Universitäts-
bibliothek aus dem WLAN FLUG ermöglichte, wird nicht mehr benötigt und
wird aus diesem Grund auch nicht mehr angeboten.

Die UB hat im Herbst 2005 ein neues Verfahren für Benutzer außerhalb des
Campus eingeführt, um auf lizensierte Angebote wie E-Journals oder
Datenbanken zuzugreifen. Dieses Verfahren führt jetzt über einen Login
auf die Homepage der UB. VPN- oder andere Software außer einem Browser
ist nicht notwendig. Dieses Login Verfahren kann auch aus dem WLAN FLUG
heraus genutzt werden.

================================================== =======================
2. Hilfestellung
================================================== =======================

im Web:

VPN-Client Fehlermeldungen:
[Link nur für registrierte Mitglieder sichtbar.]

Download und Installationshinweise:
[Link nur für registrierte Mitglieder sichtbar.]

VPN - FUSE FAQ:
[Link nur für registrierte Mitglieder sichtbar.]

VPN-Client Profilauswahl:
[Link nur für registrierte Mitglieder sichtbar.]

per E-Mail:

[Link nur für registrierte Mitglieder sichtbar.] - Fragen rund um FUSE (VPN).
[Link nur für registrierte Mitglieder sichtbar.] - Fragen rund um das WLAN FLUG und
FLUGHAFEN.
[Link nur für registrierte Mitglieder sichtbar.] - Fragen rund um VPN, WLAN und dem Rest.
Die PC- und Unixberatung am HRZ.


================================================== ======================
HRZ, 29. September 2006
================================================== ======================

screamer980

Hi! Danke für die Antwort!

Aber genau das ist mein Problem! Dort steht nichts von vpn-policy!
Im Programmmanager ist sie aber aufgeführt?

Hab rausgefunden, dass in der pkg datei definiert wird, wo die pol auf dem handy geschrieben werden muss.

Kann mir mal einer den genauen pfad dazu nennen?

Danke für eure Hilfe

AnselmG

BTW: kann mir jemand sagen, wie ich an das GROUP-passwort der uni weimar komme?

danke

Hangman

Wo wählst du dich ein? WLAN an der Uni oder von zu Hause?

BTW stehts auch in der FAQ über der kleinen Tabelle.

Gruß,
Hangman

__________________
lesen - denken - posten

AnselmG

ich will mich via wlan in der uni anmelden - am besten dann auch damit ins netz, wenn das funktioniert...


kann ich leider nicht finden (welche tabelle, wo?)

Anett

[Link nur für registrierte Mitglieder sichtbar.] meinte Hangman und der ist über der kleinen Tabelle.

__________________

Hangman

Wenn dort oder bei Installation eine Fehlermeldung erscheint dann stimmt an der .pol etwas nicht.

Ich hab jetzt grad mal sämtliche Möglichkeiten durchprobiert und bekomme auch keinen funktionierenden Connect hin. Mit dem PDA und dem Bluefire Client gehts anstandslos und gleich beim ersten Mal.

Ihr verwendet keinen Cisco sondern einen Nortel Gateway. Ich denke da klemmts. Ich werd demnächst nochmal ein bißchen probieren...


Erscheinen denn irgendwelche Fehlermeldungen oder kommt am Ende der Installation "Installation erfolgreich abgeschlossen"? Wenn Fehler, dann siehe oben.

Gruß,
Hangman

__________________
lesen - denken - posten

SexyCyberBoy

@ Hangman

Ja, das wäre nett! Mein Wissen um VPN-Verbindungen und die Programmierung von Policys is relativ beschränkt...und nach einer ziemlich langen Nacht, in der ich jede mir denkbare Möglichkeit ausprobiert habe, auch im warsten Sinne des Wortes erschöpft!

Im HRZ hat man heute auf die Frage nach der Korrekten Gestaltung der POL-Datei für den Nokia VPN-Klient mit Achselzucken reagiert. Offenbar is das noch keinem gelungen, bei uns an der Uni über ein Nokia ins Uni-Netzwerk zu gelangen, oder es hat noch niemand versucht!
Auf jeden Fall kann ich mir net vorstellen, dass es technisch unmöglich sein soll... :-P

Nochmal zu den POL-Dateien...

Also ich hab's ja letztlich auch mit der POL-Datei hinbekommen, ne installierbare SIS zu erstellen, welche Du mir vorgeschlagen hast. Der Unterschied zu der von mir ursprünglich verwendeten bestand wohl hauptsächlich darin, dass Deine zusätzlich noch Verschlüsselung enthielt.
Leider hab ich auch mit der daraus generierten SIS keinen Zugang bekommen.

Ich hab auch mal den Versuch gemacht, den Eintrag "GROUP_DESCRIPTION: MODP_1024" durch " GROUP_DESCRIPTION: GRP2_DH-1024" zu ersetzen (ebenso bei GROUP_DESCRIPTION_II), weil davon was in den Vorgaben unseres HRZ stand. Weiterhin habe ich als Gruppenname statt "pda" aus den selben Gründen mal "Group2" versucht.
Beides führte jedoch leider nur dazu, dass die VPN-Policy beim Installieren der SIS nicht mehr installiert werden konnte...