VPN

Mit der Konfiguration VPN werden VPN-Profile auf Android Classic-Geräte übertragen. Unterstützt werden PPTP, L2TP über IPSec und IPSec mit XAuth, Hybrid-RSA oder IKEv2, jeweils mit Pre-Shared Key oder Zertifikat. Zusätzlich legt die Konfiguration fest, ob ein Profil als Always-on VPN dauerhaft verbunden bleibt und ob Benutzer eigene Profile anlegen oder die übertragenen ändern dürfen.

Voraussetzungen #

• Die Konfiguration steht in Android-Richtlinien für Android Classic-Geräte zur Verfügung und ist einmal pro Richtlinie möglich. Eine Konfiguration kann beliebig viele VPN-Profile enthalten.
• Die Richtlinie benötigt zusätzlich eine aktivierte Konfiguration Passwort →. Fehlt sie oder ist sie deaktiviert, lässt sich die Richtlinienversion weder veröffentlichen noch testen; die Schaltflächen Veröffentlichen und Test nennen als Grund „Eine Passwort-Konfiguration fehlt, um die VPN-Konfiguration hinzuzufügen“.
• Gelten für ein Gerät mehrere Richtlinien mit einer aktivierten VPN-Konfiguration, überträgt Relution nur eine davon. Die Profile mehrerer Konfigurationen werden nicht zusammengeführt.
• Welche VPN-Typen und Einstellungen ein Gerät umsetzt, hängt von Hersteller und Android-Version ab.

Allgemeine Einstellungen #

Die Seite der Konfiguration zeigt im Abschnitt Allgemein drei Schalter, die für alle Profile gelten. Alle drei sind standardmäßig deaktiviert.

• Nur sichere Verbindungen zulassen: Das Gerät lässt nur VPN-Verbindungen zu, die es als sicher einstuft.
• Benutzer darf Profile hinzufügen: Der Benutzer darf auf dem Gerät eigene VPN-Profile anlegen.
• Benutzer darf Profile ändern oder löschen: Der Benutzer darf die VPN-Profile auf dem Gerät bearbeiten oder entfernen.

VPN Profile #

Der Abschnitt VPN Profile listet die Profile der Konfiguration mit Name, VPN Type und Servername. Über Hinzufügen wird ein neues Profil angelegt, über das Kontextmenü eines Eintrags wird es bearbeitet oder gelöscht. Änderungen an Profilen werden erst mit Speichern der Konfiguration übernommen; der Profildialog führt nur zur Liste zurück.

• Always-on VPN: Auswahl eines Profils aus der Liste, das dauerhaft verbunden bleiben soll. Optional.
• Benutzer darf Always-on VPN ändern: Der Benutzer darf die Always-on-Einstellung auf dem Gerät ändern. Standardmäßig deaktiviert.

Beide Felder sind erst verfügbar, wenn die Konfiguration mindestens ein Profil enthält. Das unter Always-on VPN gewählte Profil muss beim Speichern in der Liste vorhanden sein. Wird es gelöscht oder umbenannt, lehnt Relution das Speichern ab, bis die Auswahl angepasst ist.

VPN-Profil #

Der Dialog Profil hinzufügen bzw. Profil bearbeiten enthält die Abschnitte Allgemein und Erweiterte Optionen. Im Abschnitt Allgemein stehen folgende Felder:

• Name: Name des Profils. Pflichtfeld. Der Name dient auch als Auswahl für Always-on VPN.
• Servername: Hostname oder IPv4-Adresse des VPN-Servers ohne Protokoll, z. B. vpn.example.com. Pflichtfeld.
• VPN Type: Verbindungstyp. Pflichtfeld, Standardwert PPTP. Je nach Typ erscheinen weitere Felder (siehe unten).
• Benutzername und Passwort: Zugangsdaten für die Anmeldung am VPN-Server. Optional. Bei IPSec (IKEv2 PSK) und IPSec (IKEv2 RSA) werden die beiden Felder zwar angezeigt, ihre Werte aber nicht gespeichert.

VPN-Typen #

• IPSec Pre Shared Key: gemeinsamer Schlüssel für die IPSec-Verbindung. Pflichtfeld, solange noch kein Schlüssel gespeichert ist.
• IPSec Identifikator: Kennung, mit der sich das Gerät beim IPSec-Server ausweist.
• L2TP Secret: gemeinsames Geheimnis für den L2TP-Tunnel.
• OCSP Server URL: Adresse des OCSP-Servers, über den der Sperrstatus von Zertifikaten geprüft wird. Pflichtfeld; der Wert muss eine gültige URL sein.

Wird der VPN Type gewechselt, übernimmt Relution beim Speichern nur die Felder des neuen Typs. Gespeicherte Schlüssel, die der neue Typ nicht verwendet, werden verworfen.

Zertifikate #

Bei den RSA-Typen werden zwei Zertifikate benötigt. Die Auswahl erfolgt über Auswählen aus der Zertifikatsverwaltung →; Zertifikatsvorlagen stehen nicht zur Auswahl.

• IPSec CA Zertifikat: Zertifikat der Zertifizierungsstelle, mit dem das Gerät das Serverzertifikat prüft. Pflichtfeld. Angeboten werden nur Zertifikate ohne privaten Schlüssel (PKCS#1).
• IPSec User Zertifikat: Zertifikat, mit dem sich das Gerät am VPN-Server anmeldet. Zwei Varianten stehen zur Verfügung:
  • Zertifikat wählen (Standard): ein Zertifikat mit privatem Schlüssel (PKCS#12) aus der Zertifikatsverwaltung. Pflichtfeld.
  • Benutzerdefiniertes Zertifikat verwenden: Verwendet wird ein Zertifikat der Kategorie VPN und Apps aus dem Profil des Benutzers, der dem Gerät zugewiesen ist (siehe Benutzerzertifikate →). Besitzt der Benutzer mehrere solcher Zertifikate, wählt das optionale Feld Zertifikatsname eines davon aus; es kann Platzhalter enthalten. Bleibt es leer, wird das am längsten gültige Zertifikat verwendet. Lässt sich für ein Gerät kein Benutzerzertifikat ermitteln, wird das Profil ohne Benutzerzertifikat übertragen.

Abgelaufene Zertifikate lehnt Relution beim Speichern ab. Ebenso abgelehnt werden Zertifikate, die nicht zur Organisation der Richtlinie gehören.

Erweiterte Optionen #

Die drei Listen sind optional. Ein Eintrag wird beim Hinzufügen geprüft.

• DNS-Server hinzufügen: DNS-Server, die während der VPN-Verbindung verwendet werden. Jeder Eintrag muss eine IPv4-Adresse sein.
• DNS-Suchdomänen hinzufügen: Domänen, die bei der Namensauflösung über das VPN ergänzt werden, z. B. example.com. Einträge werden ohne Protokoll angegeben.
• Routen-Weiterleitung hinzufügen: Ziele, deren Datenverkehr über das VPN geleitet wird. Jeder Eintrag muss eine IPv4-Adresse sein.

Besonderheiten #

• Gespeicherte Passwörter und Schlüssel: Ab Relution 26.5.5 werden Passwort, L2TP Secret und IPSec Pre Shared Key im Formular nicht mehr angezeigt, sondern maskiert (*****). Bleibt ein Feld beim Bearbeiten unverändert, wird der gespeicherte Wert beibehalten; ein neu eingetragener Wert ersetzt ihn.
• Umbenennen eines Profils: Gespeicherte Passwörter und Schlüssel werden dem Profil über seinen Name zugeordnet. Nach dem Umbenennen eines Profils sind sie daher erneut einzutragen.
• Export: Verwendet ein Profil ein Zertifikat aus der Zertifikatsverwaltung, ist die VPN-Konfiguration im Export der Richtlinie → nicht enthalten.

Verwandte Themen #

• Passwort →
• Zertifikat →
• WLAN →
• Zertifikatsverwaltung →
• Erweiterte Platzhalter →
• Richtlinien erklärt →
• Verfügbare Konfigurationen →