iOS4 (iPhone/iPad) ja VPN-laitteet

[Sarnikorpi]

Onko kokemuksia VPN/Palomuurilaitteista, jotka toimivat hyvin iOS4-laitteiden kanssa?

Minulla on/oli käytössä Linksys (Cisco) RV042, mutta en saanut VPN:ää toimimaan iPad:sta (3G). Kysyessäni asiasta Cisco:lta, minulle ilmoitettiin, että kyseinen laite ei ole iOS-yhteensopiva

Eli tarkoitus olisi saada VPN-yhteys 3G-verkosta, mutta olisiko kellään kokemusta mitkä laitteet/laiteperheet toimivat hyvin iOS:n VPN:n kanssa? Mitä monipuolisemmat palomuuri-ominaisuudet sitä parempi, eli ei tarvitse olla ihan halvimpia laitteita, mutta tarkoitus ei myöskään ole hankkia mitään tuhansien eurojen reititintä... Mietitään nyt vaikka muutaman satasen laitteita. Onko kokemuksia esim. Draytekeistä?

[Marbo]

Laitteista en tiedä, mutta jos sulla on Mac OS X tietokone niin siihen ostat iVPN ohjelman jolla voit graafisesti konffata VPN:än kuntoon. Näin itse tein ja toimii hyvin iPhonen kanssa.

[kermit]

Buffalo WZR-HP-G300NH (WLAN-tukiasema) toimii PPTP:llä, L2TP:tä siinä ei ole. Ja iVPN:lle on nykyisin kilpailija EasyVPN.

[Sarnikorpi]

Mac-tietokonetta ei ole, joten erillistä VPN/FW-laitetta haetaan. Kiitos kuitenkin ajatuksesta, tuollaisesta en tiennytkään (Apple-maailma ei ole kovin tuttu...)

Ehdin jo hetken luulla, että tämähän menee helposti, kun iPhonesta löytyi Cisco/IPSEC, mutta ei se mennytkään niin. Laitetaan Buffalo muistiin, muitakin toimiviksi todettuja saa edelleen listata!

[Sarnikorpi]

Mac-tietokonetta ei ole, joten erillistä VPN/FW-laitetta haetaan. Kiitos kuitenkin ajatuksesta, tuollaisesta en tiennytkään (Apple-maailma ei ole kovin tuttu...)

Ehdin jo hetken luulla, että tämähän menee helposti, kun iPhonesta löytyi Cisco/IPSEC, mutta ei se mennytkään niin. Laitetaan Buffalo muistiin, muitakin toimiviksi todettuja saa edelleen listata!

Kommentoidaanpas tätä, jos vaikka joku toinen joskus miettii samaa...

Eli loppujen lopuksi tuli hankittua CISCO ASA 5505 VPN/Palomuuri -laite. Nettikaupoissa tätä myydään 450-500 eurolla. Gigabitin ethernettiä tässä ei ole, mutta muuten taitaa kattaa mitkä tahansa tarpeet. Ja lisenssejä ostamalla saa lisää toimintoja. Perussetillä voi olla muistaakseni kaksi yhtäaikaista IPSEC-VPN yhteyttä. Tämä on ainakin toistaiseksi riittänyt meille. Ciscon AnyConnect:ia pääsee käyttämään ostamalla kaksi vajaan satasen lisenssiä (AnyConnect Essential + Mobile). Tällöin yhtäaikaisia käyttäjiä voisi olla muistaakseni 25. AnyConnect clientin saa ladattua iOS-laitteilla storesta. Kovasti suosittelivat Ciscolta, että käytettäisiin AnyConnect:ia, mutta hieman jäi epäselväksi mitä etuja AnyConnect olisi tuonut...

Mutta iOS:n mukana tulevalla VPN:llä saa siis IPSEC:n toimimaan ilman lisähankintoja.

Konffaamisen opettelussa riitti jonkin verran työtä ja monta kertaa sai hakata päätä seinään. Lisäksi ADSL yhteys sattui pätkimään samaan aikaan, niin alkuun ei tiennyt missä oli vika. Toimiva konfiguraatio tuli hylättyä pari kertaa, kun yhteys ei toiminutkaan. Lopulta sain todistettua operaattorille, että syyn on pakko olla ADSL-linjassa. Pari päivää operaattori etsi vikaa ja sai sen viimein korjattua.

Mutta kun kaikki saatiin lopulta toimimaan, niin sen jälkeen VPN yms. on toiminut ilman ongelmia, eikä konfiguraatioon ole tarvinnut sen jälkeen koskea.

[Sarnikorpi]

No niin, kauanhan sitä riemua riitti...

Pari viikkoa sitten IPSec VPN alkoi tökkimään. Suurin osa yhteyden muodostamisista päättyy iPhonen ilmoitukseen "Neuvottelu VPN palvelimen kanssa epäonnistui". Eli yhteys muodostuu toisinaan, mutta useimmiten ei. Tämä siis kahden eri kohteen kanssa, molemmissa Cisco ASA 5505, eikä niiden konffaukseen ole koskettu pariin kuukauteen.

Yhteys alkaa muodostumaan ihan oikein, mutta salasanan antamisen jälkeen miettii pitkään ja sitten tulee em. ilmoitus yhteyden loppumisesta.
Ciscon lokissa/debugissa ei näy virheitä, ainoastaan tulee ilmoitus että toinen pää on lopettanut yhteyden. Vastaavasti iPhonen lokin (Console Log) mukaan homma etenee hienosti, kunnes tulee "IPSec disconnecting from server xxx.xxx.xxx.xxx" (tämä tulee sen jälkeen kun "Extended Authentication" on lähetetty).

AnyConnect näyttäisi toimivan iPhonesta. Samoin IPSec ja AnyConnect toimii ilman ongelmia PC:ltä. Eli ongelma näyttäisi kohdistuvat iOS IPSec:iin 3G:llä. Löysin netistä yhden keskustelun jossa aiemmin toiminut IPSec yhteys oli alkanut temppuilemaan 3G:llä aivan vastaavasti. Mutta viestit oli yli vuoden takaa, eikä ketjuun ollut tullut vastauksia.

Tyhmä kysymys: Voiko iOS:ään tulla päivityksiä 3G:n yli käyttäjän tietämättä? Ei oikein millään keksi miksi kolme iOS-laitetta on alkanut temppuilemaan yhtäaikaa...

[Sarnikorpi]

Edellisestä viestistä on jo melkein vuosi, mutta ajattelin kertoa miten asia loppujen lopuksi ratkesi.

3G operaattorin (DNA) kanssa asiaa selvitettiin hyvinkin tarkkaan. Heidän tekninen tuki seurasi liikennettä hyvin matalalla tasolla, mutta melko laihoin tuloksin. Ainoa silmiin pistävä asia oli, että yhteen pakettiin ei tullut ikinä vastausta. Ja yhteys katkesi melko pian tuon jälkeen.

ADSL operaattoria asian selvittäminen ei kiinnostanut, joten epäselväksi jäi, mihin vastaus hukkui (vai jäikö alkuperäinen paketti toimittamatta päätepisteeseen). Joten varsinainen ongelma jäi mysteeriksi. Lisäksi jäi epäselväksi, että aiheuttiko tuo paketin/vastauksen hukkuminen IPSEC yhteyden katkeamisen vai ei...

Asia ratkaistiin siirtymällä käyttämään AnyConnectia, joka onkin toiminut ilman ongelmia. AnyConnectia varten Ciscon laitteisiin piti ostaa vajaan satasen Mobile lisenssit. Aiemmin kerroin että mobiili AnyConnectia varten tarvittaisiin kaksi lisenssiä. Itseasiassa pelkkä mobiililisenssi riittää, jos ei tarvita yli kahta yhtäaikaista VPN yhteyttä (ASA5505 sisältää toisen tarvitun lisenssin kahdelle käyttäjälle jo "vakiona").

Lisenssi asioista kannattaakin ottaa selvää, mikäli hankkii Ciscon laitteita. Tosin meidät johti harhaan paikallinen Cisco jälleenmyyjä ja tuli hankittua turhaan yhdet lisenssit. Todellinen lisenssi tarve selvisi puoli vahingossa, kun kyselin suoraan Ciscolta ihan toista asiaa.