136046
Apr 28, 2021
3763
8
0
IOS Active Snyc über VPN - DNS Problem?
Hallo zusammen,
wir haben ein Problem und noch keine heiße Spur. Vielleicht könnt ihr weiterhelfen.
Wir testen ob unsere iOS Geräte (iPad und iPhone) nur noch über VPN mit unserem Exchange kommunizieren können.
Der Exchange Server ist über den öffentlichen Namen erreichbar und die Synchronisation mit den Geräten ist einwandfrei.
Öffnen wir den VPN Tunnel über OpenVPN, fragt das iPhone/das iPad aber immer noch über den externen Namen/die externe IP an.
Getestet haben wir das mit dem Net Analyzer.
Die lokalen DNS Server werden für die VPN Verbindung mitgegeben. Ebenfalls gibt es intern den passenden DNS Eintrag zum Exchange.
Erste Vermutung war der lokale DNS Cache, welcher wohl durch Aktivierung des Flugmodus geleert wird. Leider brachte das keinen Erfolg.
Testen wir das gleiche mit einem Pixel 4a XL, haben wir keine Probleme:
- Ohne VPN wird der Name zur externen IP aufgelöst
- Mit VPN wird der Name zur internen IP aufgelöst
- Funktion wie gewünscht
Liebe Grüße!
wir haben ein Problem und noch keine heiße Spur. Vielleicht könnt ihr weiterhelfen.
Wir testen ob unsere iOS Geräte (iPad und iPhone) nur noch über VPN mit unserem Exchange kommunizieren können.
Der Exchange Server ist über den öffentlichen Namen erreichbar und die Synchronisation mit den Geräten ist einwandfrei.
Öffnen wir den VPN Tunnel über OpenVPN, fragt das iPhone/das iPad aber immer noch über den externen Namen/die externe IP an.
Getestet haben wir das mit dem Net Analyzer.
Die lokalen DNS Server werden für die VPN Verbindung mitgegeben. Ebenfalls gibt es intern den passenden DNS Eintrag zum Exchange.
Erste Vermutung war der lokale DNS Cache, welcher wohl durch Aktivierung des Flugmodus geleert wird. Leider brachte das keinen Erfolg.
Testen wir das gleiche mit einem Pixel 4a XL, haben wir keine Probleme:
- Ohne VPN wird der Name zur externen IP aufgelöst
- Mit VPN wird der Name zur internen IP aufgelöst
- Funktion wie gewünscht
Liebe Grüße!
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 666187
Url: https://administrator.de/contentid/666187
Printed on: April 19, 2024 at 15:04 o'clock
8 Comments
Latest comment
In der OVPN Server Konfig sollte push "dhcp-option DNS x.y.z.h" stehen wobei der Platzhalter x.y.z.h die IP Adresse des internen DNS Servers ist. Siehe dazu auch hier.
Dieser sollte eine Weiterleitung auf den lokalen Router haben.
Hilfreich wäre einmal ein nslookup mit den HE.net Tools bei aktivem VPN Client:
https://apps.apple.com/de/app/he-net-network-tools/id858241710
Der zeigt dir explizit an welchen DNS Server das Smartphone benutzt !
Nebenbei:
Warum nutzt du nicht den bordeigenen VPN Client z.B. mit L2TP ?? Das wäre viel sinnvoller und würde die überflüssige Installation einer externen VPN App obsolet machen. Die bordeigenen VPN Clients sind erheblich besser ins Smartphone OS integriert als etwas Externes. Vom erheblich besseren VPN Durchsatz mal gar nicht zu reden... Siehe z.B. hier:
PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer
Scheitern am IPsec VPN mit MikroTik
So gut wie alle Firewalls und besseren Router supporten L2TP VPNs.
Das DNS Problem löst das nebenbei auch im Handumdrehen.
Dieser sollte eine Weiterleitung auf den lokalen Router haben.
Hilfreich wäre einmal ein nslookup mit den HE.net Tools bei aktivem VPN Client:
https://apps.apple.com/de/app/he-net-network-tools/id858241710
Der zeigt dir explizit an welchen DNS Server das Smartphone benutzt !
Nebenbei:
Warum nutzt du nicht den bordeigenen VPN Client z.B. mit L2TP ?? Das wäre viel sinnvoller und würde die überflüssige Installation einer externen VPN App obsolet machen. Die bordeigenen VPN Clients sind erheblich besser ins Smartphone OS integriert als etwas Externes. Vom erheblich besseren VPN Durchsatz mal gar nicht zu reden... Siehe z.B. hier:
PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer
Scheitern am IPsec VPN mit MikroTik
So gut wie alle Firewalls und besseren Router supporten L2TP VPNs.
Das DNS Problem löst das nebenbei auch im Handumdrehen.
@aqui: Bevor man mit L2TP rumbastelt, sollte man in der heutigen Zeit IPSec IKEv2 nehmen, was der integrierte Client auch kann.
Das Problem wird sein, dass der DNS-Eintrag vom Gerät zwischengespeichert wird. Wenn du einfach nur lange genug wartest und sichergestellt ist, dass der DNS-Split-View die für intern korrekte Adresse liefert, wird der Client nach einiger Zeit umspringen. Das kannst du aber nicht erzwingen, außer mit einem Geräteneustart, nur musst du dann schnell genug sein, um die VPN-Verbindung wieder aufzureißen.
Active Sync ist nicht unbedingt dafür ausgelegt. Es soll datensparsam sein und alle unnötigen Sachen, wie DNS-Anfragen, so selten wie möglich machen.
Das Problem wird sein, dass der DNS-Eintrag vom Gerät zwischengespeichert wird. Wenn du einfach nur lange genug wartest und sichergestellt ist, dass der DNS-Split-View die für intern korrekte Adresse liefert, wird der Client nach einiger Zeit umspringen. Das kannst du aber nicht erzwingen, außer mit einem Geräteneustart, nur musst du dann schnell genug sein, um die VPN-Verbindung wieder aufzureißen.
Active Sync ist nicht unbedingt dafür ausgelegt. Es soll datensparsam sein und alle unnötigen Sachen, wie DNS-Anfragen, so selten wie möglich machen.
Moin,
für die Testphase eher problematisch, aber...
Wenn jeder Client nur noch über VPN mit dem Exchange kommunizieren darf, kannst Du auch die LAN IP über den öffentlichen DNS-Server verbreiten.
Dann bekommt jeder Client immer und überall nur die LAN IP. Wenn er dann nicht per VPN verbunden ist bekommt er keine Verbindung.
Was aber egal ist, weil er ohne VPN sowieso keine Verbindung bekommen würde.
Ist so eher unüblich, aber wenn Apple oder der VPN-Anbieter da was gebastelt hat...
Stefan
für die Testphase eher problematisch, aber...
Wenn jeder Client nur noch über VPN mit dem Exchange kommunizieren darf, kannst Du auch die LAN IP über den öffentlichen DNS-Server verbreiten.
Dann bekommt jeder Client immer und überall nur die LAN IP. Wenn er dann nicht per VPN verbunden ist bekommt er keine Verbindung.
Was aber egal ist, weil er ohne VPN sowieso keine Verbindung bekommen würde.
Ist so eher unüblich, aber wenn Apple oder der VPN-Anbieter da was gebastelt hat...
Stefan
sollte man in der heutigen Zeit IPSec IKEv2 nehmen, was der integrierte Client auch kann.
Absolut richtig ! Sollte den TO nur nicht gleich völlig überfordern da die L2TP Konfig etwas einfacher von der Hand geht... 
Ein IKEv2 Setup mit den Onboard Clients sieht man z.B. HIER.
aber wenn Apple oder der VPN-Anbieter da was gebastelt hat...
Der VPN "Anbieter" ist der TO ja wohl (hoffentlich) selber mit einem eigenen OpenVPN Server !
Vielen Dank für die freundlichen und ausführlichen Rückmeldungen!
Der VPN Server ist eine Sophos Firewall. Diese gibt die DNS Server mit. Mithilfe der HE.NET Network Tools App habe ich gesehen das der DNS Servers des WLANs und nicht des VPNs verwendet wird. Pinge ich die Adresse, bekomme ich die externe IP zurück. Trage ich den DNS Server des VPNs in der App ein und pinge die Adresse, bekomme ich logischerweise die gewünschte interne IP zurück.
Habe ich das nun richtig verstanden? Kann ich dieses Verhalten für meine Testphase nicht beeinflussen?
Der VPN Server ist eine Sophos Firewall. Diese gibt die DNS Server mit. Mithilfe der HE.NET Network Tools App habe ich gesehen das der DNS Servers des WLANs und nicht des VPNs verwendet wird. Pinge ich die Adresse, bekomme ich die externe IP zurück. Trage ich den DNS Server des VPNs in der App ein und pinge die Adresse, bekomme ich logischerweise die gewünschte interne IP zurück.
Habe ich das nun richtig verstanden? Kann ich dieses Verhalten für meine Testphase nicht beeinflussen?
Wenn der interne DNS Server bei den Androiden richtig übernommen wird, bei iOS aber nicht dann wird das vermutlich intern geblockt. Wäre aber sehr ungewöhnlich.
Du solltest das wasserdicht mal testen indem du mit einem Windows Client mal den Tunnel nutzt und dort ein ipconfig -all bei aktivem Client eingibst !
Der Output zeigt dir dann ob wirklich der per OpenVPN gepushte DNS Server als Primärer DNS Server genutzt wird bei aktivem Client.
Alternativ testest du für die iPhones mal eine Gateway Redirect Lösung mit push "redirect-gateway def1 bypass-dhcp" in der OVPN Konfig !
Das redirected dann alles in den Tunnel und sollte in jedem Falle funktionieren.
Wie bereits gesagt wäre ein L2TP mit den integrierten Onboard Clients in deinem Falle die sinnvollere Lösung:
https://docs.sophos.com/nsg/sophos-firewall/18.0/Help/en-us/webhelp/onli ...
Du solltest das wasserdicht mal testen indem du mit einem Windows Client mal den Tunnel nutzt und dort ein ipconfig -all bei aktivem Client eingibst !
Der Output zeigt dir dann ob wirklich der per OpenVPN gepushte DNS Server als Primärer DNS Server genutzt wird bei aktivem Client.
Alternativ testest du für die iPhones mal eine Gateway Redirect Lösung mit push "redirect-gateway def1 bypass-dhcp" in der OVPN Konfig !
Das redirected dann alles in den Tunnel und sollte in jedem Falle funktionieren.
Wie bereits gesagt wäre ein L2TP mit den integrierten Onboard Clients in deinem Falle die sinnvollere Lösung:
https://docs.sophos.com/nsg/sophos-firewall/18.0/Help/en-us/webhelp/onli ...
Vielleicht drücke ich mich auch schlecht aus. Ich versuche es nochmal.
Die internen DNS werden auch von den iOS Geräten übernommen. Ich kann Server über die Namen anpingen. Das könnte ich doch sonst gar nicht. Primär wird der DNS Server (Beispiel meine FritzBox im HomeOffice) angefragt.
Daher die Auflösung zur externen und nicht zur internen IP.
Ich werde es wohl nicht mit iOS Geräten testen können und müsste den Weg ganz dicht machen und dann sollte es gehen.
Beenden wir das ganze hier.
Die integrierte Lösung bringt uns nichts. Wir eine sehr große Anzahl an Geräten reinholen und neu konfigurieren.
Sollte ich eine Lösung haben, melde ich mich nochmnal.
Die internen DNS werden auch von den iOS Geräten übernommen. Ich kann Server über die Namen anpingen. Das könnte ich doch sonst gar nicht. Primär wird der DNS Server (Beispiel meine FritzBox im HomeOffice) angefragt.
Daher die Auflösung zur externen und nicht zur internen IP.
Ich werde es wohl nicht mit iOS Geräten testen können und müsste den Weg ganz dicht machen und dann sollte es gehen.
Beenden wir das ganze hier.
Die integrierte Lösung bringt uns nichts. Wir eine sehr große Anzahl an Geräten reinholen und neu konfigurieren.
Sollte ich eine Lösung haben, melde ich mich nochmnal.
Die internen DNS werden auch von den iOS Geräten übernommen.
Ja, da hast du dich dann mehr als nur schlecht ausgedrückt. So gesehen unverständlich und zudem auch noch technisch falsch beschrieben das keiner der hiesigen Community dich bzw. die Problemstellung richtig verstanden hat. 
Du hast dann überhaupt kein VPN Problem sondern ein reines DNS Problem mit der Hostnamenauflösung an sich, was primär rein gar nichts mit dem VPN zu tun hat. Aber egal...
Auch warum eine integrierte Lösung nichts bringt ist vollkommen wirr. Sowas kann man per Mausklick mit einem zentralen Management einrichten ohne überhaupt die Geräte anfassen zu müssen. Bei externen Apps ohne Konfig Management Option ist das erheblich schwerer. Aber auch egal...kann ja jeder frei entscheiden was er macht und wenn's umständlich auch geht...
Case closed !
How can I mark a post as solved?
