E61 + Cisco VPn

Thomas4711 · 5. September 2006

Tag,

Zitat

Nur leider kommt diese Abfrage immer wieder. Es gibt also noch Hoffnung!!! Werde die Tage mal weiter forschen

Dann schlägt entweder die Authorisierung fehlt, was etliche Gründe haben kann, oder der Client baut keine saubere Verbindung zum Concentrator auf.

snoopy_ca · 5. September 2006

Hallo!

Ich glaube ich habe mein Problem eingekreist, allerdings keine Lösung gefunden. Im meiner Datei mit den Einstellungen von Nokia ist Perfect Forward Secrecy angeschaltet mit Group 5 (1536-bits). Bei uns in der Uni ist es allerdings deaktiviert. Ich habe schon versucht die Group Description auf ANY zu setzten, allerdings kann ich es dann nicht mehr installieren.
Kennt sich hier jemand mit dem Config Dateien aus? Anscheinend sind viele Einstellungen von den Linux Konfiguartionsdateien übernommen worden. Ich würde mich sehr freuen wenn mir jemand helfen kann.

Code

SECURITY_FILE_VERSION: 3
[INFO]
VPN-policy-preshared-cisco.pol for Nokia Mobile VPN Client v3.0.
[POLICY]
sa ipsec_1 = {
esp
encrypt_alg 3
auth_alg 2
identity_remote 0.0.0.0/0
pfs
src_specific
hard_lifetime_bytes 0
hard_lifetime_addtime 3600
hard_lifetime_usetime 3600
soft_lifetime_bytes 0
soft_lifetime_addtime 3600
soft_lifetime_usetime 3600
}
remote 0.0.0.0 0.0.0.0 = { ipsec_1(130.83.253.21) }
inbound = { }
outbound = { }
[IKE]
ADDR: 130.83.253.21 255.255.255.255
MODE: Main
SEND_NOTIFICATION: TRUE
ID_TYPE: 11
FQDN: mobiletu
GROUP_DESCRIPTION_II: MODP_1024
USE_COMMIT: FALSE
IPSEC_EXPIRE: FALSE
SEND_CERT: FALSE
INITIAL_CONTACT: FALSE
RESPONDER_LIFETIME: TRUE
REPLAY_STATUS: TRUE
USE_INTERNAL_ADDR: FALSE
USE_NAT_PROBE: FALSE
ESP_UDP_PORT: 0
NAT_KEEPALIVE: 60
USE_XAUTH: TRUE
USE_MODE_CFG: TRUE
REKEYING_THRESHOLD: 90
PROPOSALS: 1
ENC_ALG: 3DES-CBC
AUTH_METHOD: PRE-SHARED
HASH_ALG: MD5
GROUP_DESCRIPTION: MODP_1024
GROUP_TYPE: DEFAULT
LIFETIME_KBYTES: 10000
LIFETIME_SECONDS: 28800
PRF: NONE
PRESHARED_KEYS: 
FORMAT: STRING_FORMAT
KEY: 5 tu2go

Alles anzeigen

olli_g · 7. September 2006

Leute, habt ihr schon mal den VPN-Client anthaVPN/movianVPN ausprobiert? Laut dieser Heise-Seite:
http://www.heise.de/mobil/artikel/68814/2
sollen deren Clients auf Symbian laufen. Da steht auch noch "der Symbian-Client ist sehr eingeschränkt und funktioniert nur mit Cisco und Nortel" was aber in unserem Fall (ich selbst bin an der Uni Zürich mit Cisco-VPN und daher Cisco-Concentrator-3030-Geschädigter) ja gerade richtig ist

Hatte den movianVPN mal auf Windows Mobile 2003SE auf nem MDA compact erfolgreich mit dem Cisco-VPN in Verwendung!

EDIT: Hab grad gelesen: ist nicht mit Symbian 3rd Edition kompatibel. So'n Mist.

faro · 12. Oktober 2006

Es funktioniert!....zumindest manchmal!

Hallo, ich habe eine funktionierende Lösung für Series60 3rd Edition gefunden. Wenn man alles befolgt UND von der Uni die richtigen Einstellungen hat, bzw. sie irgendwie errät (meistens immer irgendwo ein paar Informationen), bekommt man eine Verbindung hin. Leider ist - und das liegt wohl am E61 - diese nicht sehr stabil. Bzw. Wenn ich die Verbindung trenne und nochmal connecten will stürzt das E61 jedes mal mit einem reboot ab. Auch wenn ich nur das Wlan selbst connecte (nicht den VPN Zugangspunkt). Wann es dann wieder geht, bzw nach welchem Schema, habe ich noch nicht herausgefunden. Es ging zumindest jetzt immer jeden Tag mindestens ein mal...

Vorher noch einen kurzen Kommentar zu snoopy_ca:
Die meistnes Cisco VPNs verwenden diese Perfect Forward Secrecy nicht. Bin ich auch schon drüber gestolpert. Aber rate mal, wofür die Zeile

Code

pfs

steht...?
Entfernst Du diese ist PFS nicht aktiv!

Aber nun zu Sache:

Für die, die es nicht wissen, der oben angesprochene Thread im Nokia forum hilft sehr viel weiter und erklärt einiges. Zudem ist dieser Usenet Beitrag sehr wichtig, da hier die entsprechenden möglichen Parameter für die Richtliniendatein verraten werden (Jeweils in den Kommentaren).

Wir erstellen also zuerst 3 Dateien. Ich habe Sie

VPN-policy-preshared-cisco.pin
VPN-policy-preshared-cisco.pgk
VPN-policy-preshared-cisco.pol

genannt. Jetzt benötigt man noch das S60 Platform SDKs for Symbian OS, for C++ (mit kostenloser Anmeldung unter forum.nokia.com) und wenn nicht vorhanden Active Perl (auch frei verfügbar).

Die VPN-policy-preshared-cisco.pin sieht bei mir folgendermassen aus:

Code

[POLICYNAME]
UH WLAN
[POLICYDESCRIPTION]
VPN-policy-preshared-cisco.pol for Nokia Mobile VPN Client v3.0.
[POLICYVERSION]
1.1
[ISSUERNAME]
Do not edit
[CONTACTINFO]
Do not edit

die .pgk Datei:

Code

;
; A VPN POLICY PACKAGE
;
%{"Vendor-EN"}


:"Acme ltd"


; LANGUAGES


&EN


; INSTALLATION HEADER
; - Only one component name is needed to support English only
; - UID is the UID of the VPN Policy Installer application
#{"VPN Policy"},(0x1000597E),1,0,0,TYPE = SISCONFIG




; LIST OF FILES


; Policy file
"VPN-policy-preshared-cisco.pol"-"C:\System\Data\Security\Install\VPN-polic_y-preshared-Cisco.pol"


"VPN-policy-preshared-cisco.pin"-"C:\System\Data\Security\Install\VPN-polic_y-preshared-Cisco.pin", FM, "application/x-ipsec-policy-info"




; REQUIRED FILES
; - The VPN Policy Installer application
(0x1000597E), 1, 0, 0, {"VPN Policy Installer"}

Alles anzeigen

und schliesslich am wichtigsten, die Policy Datei:

Code

SECURITY_FILE_VERSION: 3
[INFO]
VPN-policy-preshared-cisco.pol for Nokia Mobile VPN Client v3.0.
[POLICY]
sa ipsec_1 = {
esp
encrypt_alg 3
max_encrypt_bits 256
auth_alg 2
identity_remote 0.0.0.0/0
src_specific
hard_lifetime_bytes 0
hard_lifetime_addtime 3600
hard_lifetime_usetime 3600
soft_lifetime_bytes 0
soft_lifetime_addtime 3600
soft_lifetime_usetime 3600
}


remote 0.0.0.0 0.0.0.0 = { ipsec_1(192.168.0.XXX) }


inbound = { }
outbound = { }


[IKE]
ADDR: 192.168.0.XXX 255.255.255.255
MODE: Aggressive
SEND_NOTIFICATION: TRUE
ID_TYPE: 11
FQDN: wlanv
GROUP_DESCRIPTION_II: MODP_1024
USE_COMMIT: FALSE
IPSEC_EXPIRE: FALSE
SEND_CERT: FALSE
INITIAL_CONTACT: FALSE
RESPONDER_LIFETIME: TRUE
REPLAY_STATUS: TRUE
USE_INTERNAL_ADDR: FALSE
USE_NAT_PROBE: FALSE
ESP_UDP_PORT: 0
NAT_KEEPALIVE: 60
USE_XAUTH: TRUE
USE_MODE_CFG: TRUE
REKEYING_THRESHOLD: 90
PROPOSALS: 1
ENC_ALG: 3DES-CBC
AUTH_METHOD: PRE-SHARED
HASH_ALG: MD5
GROUP_DESCRIPTION: MODP_1024
GROUP_TYPE: DEFAULT
LIFETIME_KBYTES: 0
LIFETIME_SECONDS: 28800
PRF: NONE
PRESHARED_KEYS:
FORMAT: STRING_FORMAT
KEY: 11 ein11zeichenlangesgruppenpasswort

Alles anzeigen

Hierzu ein paar Anmerkungen/Tipps, die euch vielleicht helfen könnten:

Das Gruppenkennwort kann man entweder höflich erfragen oder aus den, meistens beim Cisco Client mitbeigelegten .pcf dateien, enschlüsseln (Was Cisco sich dabei gedacht hat...aber gut, anderes Thema)

Verwendet das VPN einen Cisco Conentrator oder ähnliches ist meistens xauth aktiv. Ob der Client auch mit einem Token klarkommt...hm... wohl eher nicht.
dementsprechend die Einträge

USE_XAUTH: TRUE
USE_MODE_CFG: TRUE

setzen.

Zur Verschlüsselung, in meinen .pcf Dateien finden sich der Hinweis DHGroup=2. Dies bedeutet, dass wir in den Group Description jeweils MODP_1024 setzen müssen. Würde Private Forware Secrecy verwendet werden käme hier ein entsprechender anderer Eintrag hinein.

Woher man jetzt die Verschlüsselungsalgorithmen weiss, muss man wohl die Uni Fragen. Bei mir hatte ich gelesen, dass 3DES verwendet wird und MD5. Dementsprechend:

Code

ncrypt_alg 3                 2=DES, 3=3DES, 12=AES 
auth_alg 2                    2=MD5, 3=SHA-1

Bei der IP-Adresse ist mir noch etwas interessantes aufgefallen. Mit der im CiscoClientProfil angegebenen Ip Adresse hat es nciht geklappt. Es klappt aber mit der IP, mit der bei Aufbau der Verbindung (im Cisco Client) das balancing gestartet wird. Ich vermute mal das hinter der IP sich der Radius Server versteckt. Die IP dafür müsst ihr den dem Verbindungslogbuch im Ciscoclient herausfinden. Aber besser erstmal die Standardip versuchen, vielleicht klappts ja damit.

Wer jetzt noch Probleme hatte die .sis Datei zu generieren und installieren, dazu noch folgende Anleitung mit der man die sis Datei signiert.

1. Die .pin .pgk .pol Dateien genauso wie beschrieben erzeugen und in ein Verzeichnis packen
2. Unter symbiansigned.com das CertRequest Programm herunterladen
3. csr und key datei mit der dem Assistenten der Software erstellen. Dabei umbedingt die IMEI Nummer des Handies angeben. Dann nimmt das Handy auch das Sis an
4. Account auf symbiansigned beantragen und csr hochladen.
5. Signierte cer Datei herunterladen
6. nun: in der kommandozeile 'makesis VPN-policy-preshared-cisco.pkg vpnpolicy.sis'
7. run 'signsis vpnpolicy.sis signedpolicy.sisx certificate.cer keyfile.key PASSWORD'
8. ab damit aufs Handy

Tja viel Glück dabei. Wie gesagt ich denke mal es liegt an der Firmware, dass es so oft abstürzt, aber Grundsätzlich funktioniert es.

Gruss Faro

macfly610 · 21. Oktober 2006

zertifizierung

hi,
ich hab die sisx datei erstellt und erfolgreich auf dem handy installiert.
wenn ich die vpn verbindung auswähle und name und passwort eingebe
versucht der browser die seite zu öffnen, bringt aber dann die fehlermeldung
"gateway nicht gefunden".
was kann ich da machen?
würde mich über einen tipp freuen.

mfg
macfly

Horstbert · 24. Oktober 2006

nach seeehr langer Zeit mal wieder zurück...

Bin inzwischen auch unter die Studenten gegangen, mein Problem könnt ihr sicher schon erraten

Der Unterschied ist, dass ich ein 9500 besitze, mit dem es laut pdf ja sogar problemlos möglich sein sollte, auf das cisco-netzwerk meiner uni (duisburg-essen) zuzugreifen. Allerdings scheitere ich schon am erstellen der .SIS makesis meckert die ganze zeit rum, dass er die datei nicht öffnen kann! Hat jemand eine Idee oder ist sogar so nett, mir die fertige .SIS zukommen zu lassen?

Danke im Vorraus!

Tho · 5. November 2006

Hat schon jemand eine Lösung für das Problem?

Wollte mir eigentlich ein E61 zulegen. Aber wenn ich an der FH dann wegen VPN keinen Zugang hab, muss ich mir das nocheinmal überlegen.

Hab noch folgende Links zum Thema gefunden:
http://discussion.forum.nokia.…um/showthread.php?t=84306

http://discussions.europe.noki…=1920&query.id=1178#M1920

blizz4ever · 13. November 2006

Hallo,

ich hab leider auch keine Lösung für das Problem, wollte aber mal fragen ob jemand zufällig in München an der Lmu studiert und weiß ob man sich dort auch via http anmelden kann.

Schöne Grüße

struuunz · 13. November 2006

http://discussion.forum.nokia.…um/showthread.php?t=80837

Auf diesen Forumsseiten findet ihr Lösungen. In Freiburg hats bei mir funktioniert!
Braucht allerdings gewisse Einarbeitung...

Viele Grüße

Panikente · 17. November 2006

Edit:

Fehlalarm: Tut doch!

E61 + Cisco VPn

Jetzt mitmachen!

Teilen