Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 25 replies
  • Subscribers 1 subscriber
  • Views 8826 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

iPhone 5 und CiscoVPN - erneuter Versuch

ChristophKlahn
Hallo,

ich scheitere immer noch an der Einrichtung einer funktionierenden VPN-Verbindung von meinem iPhone 5 (Cisco-Client) zur Astaro mit aktueller UTM 9.

Ich habe "iPhone5" als Benutzer angelegt und zusätzlich eine Gruppe "iOS-Devices". "iPhone5" dann in die Gruppe "iOS-Devices" gelegt.

Es wird dabei ein X509-Zertifikat für den Benutzer "iPhone5" erzeugt.

Dann gehe ich im WLAN mit meinem iPhone auf das Benutzerportal, wähle "Fremdzugriff" und wähle den Download für Cisco-Clients.

Mein iPhone lädt das Zertifikat und ich muß es bestätigen, damit es installiert wird.

Auf der Astaro habe ich unter "Remote Access/CISCO VPN-Client" als Local Network mein lokales Netzwerk angegeben und unter "Users &Groups" "iOS-Devices".

Unter dem Reiter "iOS Devices" habe ich unter "Override Hostname" meine DynDNS-Adresse eingetragen.

Wenn ich jetzt mit dem iPhone die VPN-Verbindung aufbauen will, kommt immer die Fehlermeldung "Serverzertifikat konnte nicht überprüft werden.".

Was mache ich falsch?

Gruß
Christoph


This thread was automatically locked due to age.
  • 0 in reply to MrSonei6
    Trage in der UTM 9 unter Cisco-VPN, zweite Lasche unter "Override Hostname" Deine dyndns-Adresse ein.

    Alles andere klingt ersteinmal vernünftig.

    Gruß
    Christoph
  • 0 in reply to MrSonei6
    Komisch ist das es mit dem Dyndns Zertifikat auch vom PC über einen CISCO  VPN Client nicht geht.

    Wenn ich am PC über CISCO VPN das Admin Zertifikat verwende gehts
    Egal was ich in der Sophos UTM angebe

    Was mir auffällt ist das ich in Sophos UTM  "Fernzugriff/CISCO VPN Client" 
    unter Serverzertifikat dasAdmin oder das Dyndns Zertifikat angeben kann ich bekomm immer eine VPN Verbindung vom PC mit dem Admin zertifikat zustande! Das dürfte ja auch nciht sein oder?

    In der Sophos UTM Konsole
    Reiter iOs

    hat der Verbindungsname auch eine Funktion oder ist der frei wählbar?
    Ich habe jetzt Hostname übergehen meine dyndns Adresse eingetragen
    Und im ersten reiter wieder als Serverzertifikat das von der DYNDNS angegeben!
    geht immer noch nicht!
  • 0
    Hier mal in Bildern meine Setting und die Fehlermeldungen vom PC und vom iPhone

    Bild1: Neues Dyndns Zertifikat anlegen
    Bild2: UTM9 VPN Settings 
    Bild3: IOs Settings
    Bild4: PC Cisco VPN Client verbinung über Dyndns Cert
    Bild5: Fehlermeldung die mit dem Dyndns Cert kommt
  • 0
    6: C Cisco VPN Client Verbinung über Admin Cert (Obwohl in UTM das Dyndns angegeben ist!)
    7: Es funktioniert Obwohl in UTM das Dyndns angegeben ist!)
    8: iPhone mit Dyndns cert
    9: iPhone mit error  mit Dyndns cert (kommt nach 10 sec)
    10: iphone mit Admin cert
  • 0
    11: iPhone Fehler mit admin cert (kommt innerhalb von 1er sec)
  • 0 in reply to MrSonei6
    Deine Einstellungen sehen soweit korrekt aus.

    Da das iPhone anzeigt, daß das Serverzertifikat nicht überprüft werden kann, wird auf jeden Fall schonmal ein Verbindungsversuch gestartet.

    Damit können wir ausschließen, daß Deine Dyndns-Adresse zum Zeitpunkt der Verbindung die richtige IP hat.

    Lösche mal den User admin und erzeuge ein neues Zertifikat. Dann das Zertifikat im iPhone löschen und über das UserPortal neu installieren.

    Bei mir ging es auch erst, nachdem ich ein UTM-Zertifikat mit der dyndns-Adresse erzeugt hatte und erst danach das Zertifikat für das iPhone erstellt habe.

    MfG
    Christoph
  • 0
    Hi ich habe schon ein Zertifikat mit meiner DynDNS adresse erstellt siehe den ersten screenshot oben da siehst du was ich alles angegeben habe beim erstellen des dyndns Zertifikats. Was hast du dort alles angegeben? 
    Evtl habe ich irgendwo eine Ziffer drinn die er nicht mag zB einen Punkt im namen?

    Danach habe ich das dyndns Cert per E-Mail auf das iPhone geholt und dort installiert. 
    Dann neues ip sec VPN Profil auf dem iPhone angelegt mit dem DYNDNS Cert und als User habe ich den Admin. (Siehe Bild 8)
    Dann kommt ein Fehler nach 10 sec. (sihe Bild 9)
    Er kann nicht mal zugreifen bzw bekommt eine Verbindung??!

    Auch an einem PC mit einem Cico VPN Client mit dem Dyndns Cert funktioniert es nicht!
    Es muss also an diesem DYNDNS cert liegen denn am PC geht es z.B mit dem Admin Cert am iPhone nicht. 
    Ich hatte das Dyndns Cert im iPhone und in der UTM schon mal komplett gelöscht und neu angelegt und installier am iPhone. 
    Und alles von vorn gamacht, selbe in grün!

    Am PC wenn ich zum Beispiel das Admin Cert verwende dann gehts 
    Am iPone kommt mit dem Admin Cert Der Fehler Bild 10 und 11

    Irgendwo beim anlegen des Dyndns Certs oder im Sophos URM Cisco VPN Client Bereich müsste der Hund begraben sein! aber wo?

    Könnte mir jemand erklären warum man im Reiter iOS noch mal die DYNDNS Adresse beim Punkt "Hostname übergehen" angeben muss? Und spielt hier Verbindungsname in diesem Reiter auch eine Rolle? Muss ich mein VPN Profil im iPhone genau so nenen wie der Verbindungsname in der UTM ist?

    Muss ich in der UTM unter "Vernzugriff/iPSec" auch etwas angeben?
    Wenn nein was ist das warum zwei mal iPSEC denn iPsec ist docha uch unter CISCO VPN?


    Was habt Ihr beim dyndns Cert anlegen angegeben als "Algemeiner Name" 
    Ich hab dort wie im Bild 1 zu sehen ist noch mal meine Dyndns adresse eingetragen!

    Was soll ich euch noch geben damit ich mehr klarheit rein bringe? [[;)]]
    Ich tu alles [[;)]]

    LG

    EDIT: Warum solle ich den User Admin löschen?
    Du meinst ich soll das Certifikat Admin löschen?
    Es geht ja mit dem Admin Cert und Admin User am PC also denke ich das damit alles in ordnung ist?

    Soll ich mir auch einen User dyndns anlegen?
    Ich verbinde mich nähmich mit dem Dyndns Cert und anmelden tu ich mich mit dem User Admin!

    Wo muss ich auf welche namensgebung aufpassen?
    Welches Cert mit welchen User muss ich verwenden?

    Das ist echt schlimm wie schwehr das ist!!


    Gibts nicht irgedwo ein HowTo 
    Ich kriegs einfach nicht hin!?
    Irgendwas mach ich anders!
  • 0
    Ich habe das gleiche Problem... Allerdings mit einer zusätzlichen Facette. Mein Iphone 5 kann VPN aufbauen mit dem gleichen Benutzer und Zertifikat auf dem Ipad bekomme ich die gleiche Fehlermeldung wie MrSonei6
  • 0
    @MrSonei6

    konfigurier Dein iPhone mal über das Benutzerportal. Deine Einstellungen sehen ja soweit gut aus, nur die Konfig über Mail scheint mir nicht richtig zu sein.
  • 0
    Das hatte ich mir damals auch gedacht das es evtl an E-Mail liegt deshalb bin ich per iPhone auf die Weboberfläche und 
    Fernzugriff/zertifikatsverwaltung/ dann habe ich bei meinen dyndns Cert auf downloade geklickt ein PW eingegeben und dann auf dem iPhone installiert.Ging auch nicht!

    Kann es an der Namensgebung des DYNDS Certs liegen?
    Ich habe es ja so wie meine Dyndns Adresse lautet genannt also mit Punkt.
    Oder an dem Namen des VPN Settings im iPhone? Es ist ja auch komisch das es auch vom PC nicht funzt mit dem DYNDS Cert.

    Hier mal ein Logging was die UTM protokolliert wenn ich mit dem dyndns Cert und User damin anmelden will! (IP Adressen/IDs E-Mail und Name vor ab geändert)


    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: received Vendor ID payload [RFC 3947] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [4df37922e9fc2fd1b3262170d515c662] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [8f8d83226d226b6fc7a8a6a428c11de8] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [439b59f8ba276c4c7737ae22eab8f582] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [421e1e126daafaf4cff3e19f121c7182] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [80d0bb3def54565ee14645e4c85de3ee] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [1909b64eed937c6573de51aae952fa6b] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: received Vendor ID payload [XAUTH] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [Cisco-Unity] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: ignoring Vendor ID payload [FRAGMENTATION 80000000] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: packet from 103.81.0.92:62075: received Vendor ID payload [Dead Peer Detection] 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: responding to Main Mode from unknown peer 103.81.0.92:62075 
    2013:02:05-13:45:23 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: NAT-Traversal: Result using RFC 3947: both are NATed 
    2013:02:05-13:45:24 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: ignoring informational payload, type IPSEC_INITIAL_CONTACT 
    2013:02:05-13:45:24 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: Peer ID is ID_DER_ASN1_DN: 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:24 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: crl not found 
    2013:02:05-13:45:24 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: certificate status unknown 
    2013:02:05-13:45:24 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: no suitable connection for peer 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:24 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: sending encrypted notification INVALID_ID_INFORMATION to 103.81.0.92:62075 
    2013:02:05-13:45:27 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: ignoring informational payload, type IPSEC_INITIAL_CONTACT 
    2013:02:05-13:45:27 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: Peer ID is ID_DER_ASN1_DN: 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:27 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: crl not found 
    2013:02:05-13:45:27 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: certificate status unknown 
    2013:02:05-13:45:27 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: no suitable connection for peer 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:27 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: sending encrypted notification INVALID_ID_INFORMATION to 103.81.0.92:62075 
    2013:02:05-13:45:30 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: ignoring informational payload, type IPSEC_INITIAL_CONTACT 
    2013:02:05-13:45:30 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: Peer ID is ID_DER_ASN1_DN: 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:30 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: crl not found 
    2013:02:05-13:45:30 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: certificate status unknown 
    2013:02:05-13:45:30 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: no suitable connection for peer 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:30 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: sending encrypted notification INVALID_ID_INFORMATION to 103.81.0.92:62075 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: ignoring informational payload, type IPSEC_INITIAL_CONTACT 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: Peer ID is ID_DER_ASN1_DN: 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: crl not found 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: certificate status unknown 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: no suitable connection for peer 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: sending encrypted notification INVALID_ID_INFORMATION to 103.81.0.92:62075 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: ISAKMP version of ISAKMP Message has an unknown value: 19 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: sending notification INVALID_MINOR_VERSION to 103.81.0.92:44035 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: ISAKMP version of ISAKMP Message has an unknown value: 19 
    2013:02:05-13:45:33 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: sending notification INVALID_MINOR_VERSION to 103.81.0.92:44035 
    2013:02:05-13:45:34 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #2: max number of retransmissions (2) reached STATE_MAIN_R2 
    2013:02:05-13:45:46 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: ignoring informational payload, type IPSEC_INITIAL_CONTACT 
    2013:02:05-13:45:46 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: Peer ID is ID_DER_ASN1_DN: 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:46 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: crl not found 
    2013:02:05-13:45:46 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: certificate status unknown 
    2013:02:05-13:45:46 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: no suitable connection for peer 'C=de, ST=Berlin, L=Berlin, O=Nachname, OU=Privat, CN=dyndns.selfip.net, E=MeineEmail@mail.de' 
    2013:02:05-13:45:46 SophosUTM pluto[5286]: "D_for admin to Internal (Network)"[2] 103.81.0.92:62075 #3: sending encrypted notification INVALID_ID_INFORMATION to 103.81.0.92:62075 
    2013:02:05-13:45:53 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: ISAKMP version of ISAKMP Message has an unknown value: 19 
    2013:02:05-13:45:53 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: sending notification INVALID_MINOR_VERSION to 103.81.0.92:44035 
    2013:02:05-13:45:53 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: ISAKMP version of ISAKMP Message has an unknown value: 19 
    2013:02:05-13:45:53 SophosUTM pluto[5286]: packet from 103.81.0.92:44035: sending notification INVALID_MINOR_VERSION to 103.81.0.92:44035
Cookie Information Banner