Vpnc, Wlan - kein internet

[Casperr]

Hallo,
ich versuche durch Wlan bei der uni ins Netz zu kommen. $ vpnc-connect funktioniert nicht, dafür funktioniert
$vpnc-connect --enable-1des , Ich bekomme meldung "Willkommen an der Uni Wlann ...." usw. Aber ich habe kein internet und route zeigt bei mir leeren Zeilen. Leider habe ich niemanden an der Uni gefunden wer kennt sich mit linux und wlan- zugang gleichzeitig aus. Selbe bin ich auch kein profi. (Ich entschuldige mich auch für zahlreiche Fehler im Deutsch). Und würde dankbar für jeden Hinweis.

[Lirion]

Benutzt du die /etc/vpnc.conf?
(Ich vermute ja mal, ja)

Interface name ???
IKE DH Group ???
Encryption 1des
Hash Algo ????
IPSec x.y.z
IPSec ID ???
IPSec secret ???
Perfect Forward Secrecy ???
Xauth username ???

[Casperr]

IPSec ID student
IPSec gateway 134.106.198.1
Xauth username xxxxxx
IKE Authmode psk
IKE DH Group dh2

dass ist mein vpnc.conf

[Lirion]

Bingo. Da fehlt die Zeile, die die Encryption beschreibt.
In der vpnc.conf stehen zum Teil auch Sachen, die du auch per Kommandozeile eingeben kannst, wie z.B. --enable-1des als "Encryption 1des". Die vpnc.conf ist also auch Gehhilfe.

Hat deine Uni irgendwo öffentlich die Informationen zugänglich, die man für die Konfiguration braucht? Eigentlich sollte ja alles freigegeben sein bis auf's Gruppenpaßwort (IPSec secret) und eben deine eigenen Accountdaten.
Dann könnte man mal eine passende vpnc.conf zusammenstellen.

/edit:
Ein stufenweises Rantasten kann auch nicht schaden. Als erstes füg also mal die von mir in meinem ersten Post fett markierte Zeile ein, und guck, was dann passiert.

/edit2:
Achja... willkommen im df!

[Casperr]

Hier ist einleitung von uni für CISCO VPN-Client
http://www.ibit.uni-oldenburg.de/downlo ... _Linux.pdf
Diese einleitung habe ich benutz um meine vpnc.conf erstellen.

[Lirion]

Hier mal ein erster Versuch:

Code: Alles auswählen

Interface name cipsec0
IKE DH Group dh2
Encryption 1des
Hash Algo md5
IPSec gateway 134.106.198.1
IPSec ID student
IPSec secret student
Perfect Forward Secrecy dh2
Xauth username xxxxxxx

Eventuell könnte auch die Perfect Forward Secrecy anders sein, "nopfs" statt "dh2" ist auch eine populäre Variante.
Ich hab irgendwie immer noch kein gescheites Howto gefunden, was die Optionen mal erklärt.

Wenigstens studierste in ner gescheiten Ecke von Deutschland, nicht so wie ich *g*

[Casperr]

Ich bin jezt zur uni gefahren und ich habe gemacht was du mir gesagt hast.
# vpnc-connect
vpnc-connect: warning: unknown configuration directive in /etc/vpnc.conf at line 3
at line 4
Enter password for xxxxx@134.106.198.1:
vpnc-connect: quick mode response rejected: (ISAKMP_N_INVALID_PAYLOAD_TYPE) (1)
thes means the consentrator did not like what we had to offer.
Possible reasons are:
* concentrator configured to require a firewall
this locks out even Cisco clients on any platform expect windows
whis is an obvious security improvment. There is no workaround (yet).
* concentrator configured to require IP compression this is not yet supported by vpnc.
Note: the Cisco Concentrator Documentation recommends against using commpression,
expect on low-bandwith (read: ISDN) links, because it uses much CPU-resources on the concentrator.

Also solche Fehlemeldungen machen mir Angst. Ich weis nicht was man wollen von mir.

[Lirion]

Das ist jetzt 'ne gute Frage.

vpnc-connect: warning: unknown configuration directive in /etc/vpnc.conf at line 3
at line 4

ist wurst, kriege ich auch hier und meine Verbindung funzt trotzdem.

* concentrator configured to require a firewall
this locks out even Cisco clients on any platform expect windows

klingt für mich seltsam, aber vielleicht liegt hier:

* concentrator configured to require IP compression this is not yet supported by vpnc.

...der Hund begraben.

Ehrlich gesagt muß ich bei den Meldungen passen. Generell beißt sich Cisco und vpnc nicht, diese Kombination haben wir hier schließlich auch.
Frag doch mal bei einem Mitarbeiter des rechenzentrums, wenn du schon den weiten Weg an die Uni nimmst Vielleicht wissen die weiter. Oder Kommilitonen, schau einfach mal in der Freak-Fakultät vorbei

Aber vielleicht übernimmt auch hier jemand den Job =) ich muß dichnur leider hängenlassen, ich hab keine Ahnung immo.

[Danielx]

Also solche Fehlemeldungen machen mir Angst. Ich weis nicht was man wollen von mir.

Naja, die Config von Lirion ist offensichtlich falsch, das konnte gar nicht funktionieren!

vpnc-connect: warning: unknown configuration directive in /etc/vpnc.conf at line 3
at line 4

ist wurst, kriege ich auch hier und meine Verbindung funzt trotzdem.

"Encryption" und "Hash Algo" kennt vpnc doch gar nicht, wo hast du denn das her???

Hier ist einleitung von uni für CISCO VPN-Client
http://www.ibit.uni-oldenburg.de/downlo ... _Linux.pdf
Diese einleitung habe ich benutz um meine vpnc.conf erstellen.

Aus den mir vorliegenden Informationen habe ich folgende Config erstellt, z.B. als /etc/vpnc/uni.conf ablegen:

Code: Alles auswählen

IPSec gateway 134.106.198.1
IPSec ID student
IPSec secret student
Xauth username xxxxxxxxxx
IKE Authmode psk
IKE DH Group dh2
Enable Single DES

Und dann die Verbindung herstellen mit:

Code: Alles auswählen

vpnc-connect /etc/vpnc/uni.conf

Dann wirst du nach deinem Passwort gefragt, welches du dann eingibst.

Falls das nicht funktionieren sollte, dann speichere bitte die komplette Ausgabe und poste diese dann hier!
Und versuche dich dann nochmal so zu verbinden um zusätzlich die Debug-Ausgaben zu bekommen:

Code: Alles auswählen

vpnc-connect --debug 2 /etc/vpnc/uni.conf

Auch diese Ausgaben bitte speichern und dann hier posten.

Die Verbindung trennst du übrigens wieder mit:

Code: Alles auswählen

vpnc-disconnect

Gruß,
Daniel

[Casperr]

Also erstmal danke für ihre Hilfe.
Aber ich glaube ich habe mein Problem nicht richtig formuliert. Wie ich am anfag schon gesagt, anmelden per vpnc ich kann. Es kommt Begrüssung von der uni. Nur es statfindet kein Datentransfer. Ich kann sogar uni nicht anpingen. Aber wenn ich starte Browser, dann sehe ich durch gkrellm dass tun0 und wlan0 voll am arbeiten.
Ich habe folgendes befehl angegeben
$ route del default
$ route add default dev tun0
hat aber nichst gebracht.

[Danielx]

Wie ich am anfag schon gesagt, anmelden per vpnc ich kann. Es kommt Begrüssung von der uni. Nur es statfindet kein Datentransfer.

Achso.

Ich kann sogar uni nicht anpingen.

Was ergibt denn:

Code: Alles auswählen

ping -c1 134.106.198.1

Wie sieht die Datei /etc/resolv.conf aus?
Was sagt:

Code: Alles auswählen

route -n

Welche vpnc-Version setzt du ein?
Welches Debian?

Gruß,
Daniel

[emkay]

Habe genau das gleich Problem wie angesprochen wurde:
komme ins wlan der uni auch die Verbindung mit vpnc schein laut kgrellm zu stehen aber im Browser findet kein Datentransfer statt. Beim anpingen von 134.106.198.1 bekommen ich 100% package loss.

mfg Emkay

[Danielx]

Hallo und willkommen im df.de!

Du bist also an der Uni Oldenburg?
Wenn ja, dann kann es eigentlich fast nur noch an der Einstellung von "Perfect Forward Secrecy" liegen (der Rest wurde schon ausprobiert).
Probiere es deshalb mal mit "nopfs" (wird häufig verwendet), also mit dieser Config (MATRIKELNR und PASSWORT entsprechend ändern):

IPSec gateway 134.106.198.1
IPSec ID student
IPSec secret student

Xauth username MATRIKELNR
Xauth password PASSWORT

IKE Authmode psk
IKE DH Group dh2
Perfect Forward Secrecy nopfs
Enable Single DES

Wenn es nicht mit "nopfs" funktionieren sollte, dann probiere es mit "server":

IPSec gateway 134.106.198.1
IPSec ID student
IPSec secret student

Xauth username MATRIKELNR
Xauth password PASSWORT

IKE Authmode psk
IKE DH Group dh2
Perfect Forward Secrecy server
Enable Single DES

Gruß,
Daniel

[emkay]

Hi danke für die schnelle Antwort, ja bin an der Uni OL aber leider bringen die Einstellungen auch nichts neues
kommt immer nur noch die Verbindung aber leider ohne i-net traffic. Sonst noch Vorschläge? Wende mich gleich mal an die IT-Beratung vllt können die weiterhelfen.

Zur info noch wenn ich mich vom vpn disconnecte und wieder Verbinden will bekomme ich folgende Fehlermeldung in der Konsole:

"vpn-connect: connecting to port 62465: Network is unreachable"

nach einem erneuten Einloggen ins uniOLWlan kann ich wieder eine Verbindung herstellen.

mfg Emkay

Nachtrag: ok bisher weiss da auch keiner weiter

[Danielx]

Hm, also ich bin hier über einen Beitrag gestolpert, allerdings aus dem Jahr 2006, dabei handelt es sich um den VPN-Server deiner Uni (134.106.198.1):
http://forum.ubuntuusers.de/topic/cisco ... ost-259610
Es scheint also zumindest einmal funktioniert zu haben.

Was sagt denn bei dir, jeweils nach dem Herstellen der Verbindung mit vpnc:

Code: Alles auswählen

route -n

Und:

Code: Alles auswählen

ifconfig tun0

Gruß,
Daniel

[emkay]

Also route -n gibt:

Code: Alles auswählen

Ziel                    Router    Genmark             Flags Metric Ref Use  Iface
134.106.198.1     0.0.0.0   255.255.255.255   UH     0        0       0   tun0   
134.106.198.0     0.0.0.0   255.255.252.0       U       0        0       0   tun0
10.9.16.0            0.0.0.0   255.255.240.0       U       0        0       0   ath0
169.254.0.0         0.0.0.0   255.255.0.0          U     1000     0       0   ath0
0.0.0.0                0.0.0.0   0.0.0.0                 U       0        0       0   tun0

ifconfig tun0 gibt:

Code: Alles auswählen

tun0      Link encap:UNSPEC  Hardware Adresse 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet Adresse:134.106.199.16  P-z-P:134.106.199.16  Maske:255.255.252.0
          UP PUNKTZUPUNKT RUNNING NOARP MULTICAST  MTU:1390  Metrik:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:4800 errors:0 dropped:0 overruns:0 carrier:0
          Kollisionen:0 Sendewarteschlangenlänge:500
          RX bytes:0 (0.0 B)  TX bytes:3429044 (3.2 MB)

Ich nutze einen Asus EeePc mit Kubuntu 8.04 und habe mir vpnc als precomp. packet geladen.
Schaue mir den link mal an.

Nachtrag: Auf der Seite stand leider auch nichts hilfreiches.

mfg Emkay

[habakug]

Hallo!

Das ist ein HTTPS-Proxy [1] mit Anmeldung. Im WLAN der Uni kannst du dich da anmelden und Surfen (über https). Willst du dich da eintunneln solltest du die empfohlene Software [2] nutzen. Die Konfiguration ist hier [3] genau beschrieben. Ich würde schon aus Sicherheitsgründen nicht davon abweichen.

Gruß, habakug

[1] https://134.106.198.1/webvpn.html
[2] http://www.ibit.uni-oldenburg.de/downlo ... -k9.tar.gz
[3] http://www.ibit.uni-oldenburg.de/downlo ... _Linux.pdf

[emkay]

Danke für den Beitrag aber auch ohne vpn verbindung bekomme ich kein internet bzw. kann ich auch die seite https://134.106.198.1/webvpn.html nicht aufrufen. Ich habe mir das vpnc-paket geladen, da bei mir die kompilierung nach Anleitung fehlschlägt. Mag an den kernel/Header datein für den eeepc liegen ohne den spez. kernel wird die lan/wlan-karte nicht erkannt deswegen habe ich mir das paket geladen. Internet über private netzwerke geht, auch lan nur mit dem uni wlan vpn will es nicht. Hoffe mal das das noch gelöst werden kann.

Nachtrag: ok https://134.106.198.1/webvpn.html geht hatte das s vergessen trotzdem ist das keine Lösung.
Wie greife ich nun mit dieser Notlösung auf uni externe Seiten zu um normal surfen zu können?

[Danielx]

Ich würde schon aus Sicherheitsgründen nicht davon abweichen.

Welche Sicherheitsbedenken hast du denn bei vpnc?
Du meinst der CiscoVPN-Client ist sicherer?

Dass das von der Uni eingesetzte Verfahren ohne Zertifikat und mit notwendigerweise allgemein bekanntem Gruppenname und Passwort Man-In-The-Middle-Angriffe problemlos ermöglicht, ist bekannt (und das auch noch bei einem WLAN).
Dass die Uni noch dazu nur Single-DES anbietet, macht das nicht besser...
Also Sicherheit wird offensichtlich bei dieser Uni in keinster Weise groß geschrieben!

Wir setzen bei uns auch CiscoVPN ein, allerdings hyprid, also mit zusätzlichem Zertifikat, was die oben genannten Angriffe verhindert und Triple-DES.
Die Verbindung kann hierbei wahlweise mit vpnc oder dem CiscoVPN-Client hergestellt werden.
Ich benutze vpnc, der CiscoVPN-Client stürzt nämlich öfters einfach ab und verhindert danach jegliche Internetverbindung.
Wenn man auf die Idee kommt OpenVPN über den CiscoVPN-Client zu nutzen, wird man ebenfalls mit einem Absturz des CiscoVPN-Client belohnt.
Soviel zur Qualität des CiscoVPN-Client, mit dem vpnc hatte ich hingegen noch nie Probleme.

Gruß,
Daniel

[emkay]

Hi Daniel weisste sonst noch etwas das ich probieren könnte?

[habakug]

Hallo!

Welche Sicherheitsbedenken hast du denn bei vpnc?

Das bezog sich nicht auf den vpnc oder sonst eine software. Wenn dir eine Firma (oder die Uni) einen vpn-Zugang bereitstellt, solltest du auch die empfohlene Lösung benutzen und nicht auf eigene Faust "bessere" Lösungen versuchen (zumal wenn die IT-Kenntnisse eingeschränkt sind). Es heißt auf der Webseite auch [1]:

Um mit Ihrem Notebook via LAN oder WLAN ins Internet gehen zu können, muss die Software Cisco VPN-Client (Virtual Private Network) installiert sein. Diese Software ist ebenfalls erforderlich, wenn Sie sich im öffentlichen VPN-Netz der Universität anmelden oder von außerhalb in das Uni-Netz einwählen möchten.

Zu den von dir genannten Attacken gibt es auf den Webseiten auch Hinweise. Was hast du gegen den Cisco-VPN-Client?

@emkay
Du solltest dringend einen IT-Grundlagenkurs belegen (bitte nicht persönlich nehmen). Es heißt auf der Uni-Webseite dazu:

Um von außerhalb der Universität auf Webseiten zugreifen zu können, die sonst nur innerhalb des Uni-Netzes aufrufbar sind (z. B. das Telefonverzeichnis), können Sie sich mit Ihrem Browser am universitären VPN-Server anmelden. Sie müssen dazu lediglich die URL https://vpn.uni-oldenburg.de in die Adresszeile des Browsers eingeben. [...]
Bitte beachten
* Die Zugriffsmöglichkeiten auf uni-interne Webseiten gelten nur für das Browserfenster, in dem Sie sich beim VPN-Server angemeldet haben, nicht aber für weitere Browserfenster.
* dass Sie externe Webseiten im VPN-Fenster nicht betrachten können. Dies hat u. a. zur Folge, dass interne Seiten, die wiederum externe Inhalte darstellen, unvollständig oder teilweise falsch dargestellt werden.

Du befindest dich im Uninetz und kannst keine externen Webseiten ansurfen. Das Uninetz ist kein Internetprovider.
Anders über den VPN-Client. Befindest du dich auf dem Gelände kannst du über LAN/WLAN eine Verbindung mit folgenden Daten herstellen:

Code: Alles auswählen

 Connection Entry: beliebig
Description: optional
Host: vpn-hrz-b.uni-oldenburg.de (oder: 134.106.198.1)
Name: student
Password: student 

Ist dein Internetzugang irgendwo anders, gelten diese Zugangsdaten:

Code: Alles auswählen

 Connection Entry: Uni-OL-Intern
Description: Für Uni-interne Dienste
Host: vpn.uni-oldenburg.de
Name: tunnel
Password: tunnel 

Und nochmal:

Beschränkung auf Uni-Seiten
Mit der Anmeldung erhalten Sie eine IP-Adresse aus dem Bereich 134.106.x.x (Universität). Wenn Sie von außerhalb des Campus auf das Uni-Netz zugreifen, können Sie nur Dienste benutzen, die in diesem IP-Bereich liegen. Solange die Verbindung besteht, sind Internetadressen außerhalb dieses Bereichs nicht erreichbar.

Ich hoffe du siehst jetzt etwas klarer.

Gruß, habakug

[1] http://www.ibit.uni-oldenburg.de/18008.html

[emkay]

Autsch ganz blöde.... klar schlug die kompilierung fehl der download link is hin und somit auch das archiv hab nu von

http://www.uwyo.edu/askit/displaydoc.as ... parentid=1

die 4.8.02 version geladen fehlerfrei kompiliert und alles geht nu super. Tja müssen die mal ihre dl-links fixen. Aber warum es nun mit vpnc nicht klappte keine Ahnung mit dem cisco client gehts nu. Danke für die Hilfe

@habakug
denke so ein Kurs ist nicht nötig für mich nur weil ich in der Hektik was durcheinandergebracht habe naja bin kein Profi aber bisher konnte ich mir immer weiterhelfen (dank inet). Aber das mit dem Archiv Oo daran hatte ich zuletzt gedacht. Trotzdem Danke.

mfg Emkay

[Danielx]

Zu den von dir genannten Attacken gibt es auf den Webseiten auch Hinweise.

Wo?

Was hast du gegen den Cisco-VPN-Client?

Ich mag in nicht, da:
- Closed-Source
- benötigt eigenes Kernel-Modul
- hat viele Bugs => Abstürze (habe ich schon beschrieben)
- ein Absturz erfordert fast immer Neustart des Rechners, da Kernel-Modul dann meist nicht mehr entladbar
Ich habe den CiscoVPN-Client jahrelang eingesetzt und hatte damit (unter Linux) viele Probleme (und nicht nur ich).
Mit VPNC habe ich diese Probleme nicht.

Ich habe das jetzt nicht ganz verstanden:
Wenn man sich auf dem Gelände der Uni Oldenburg befindet, sich mit dem dortigen WLAN verbunden hat und den CiscoVPN-Client verwendet, ist es dann möglich auf externe Internetseiten (also z.B. dieses Forum) zuzugreifen?

Gruß,
Daniel