Universität Potsdam Zentrale Einrichtung für Informationsverarbeitung und Kommunikation Konfigurationsanleitung Zugang zum Funknetz (Linux) Autoren: Rainer Herbst, Tobias Mai, Jens Tebner Stand: 20.05.2011 Einleitung Das WLAN der ZEIK (SSID Universitaet Potsdam ZEIK ) ist unverschlüsselt, ein Verbindungsaufbau kann daher sehr einfach beispielsweise durch Anwahl des Netzes im Netzwerkmanager erfolgen. Danach muss jedoch eine verschlüsselte VPN-Verbindung (VPN Virtual Private Network) über die eigentliche WLAN-Verbindung gelegt werden, um die übertragenen Daten gegen Abhören zu schützen. Die ZEIK unterstützt zwei Verfahren zur Herstellung der VPN-Verbindung zum Einen über das sogenannte PPTP-Protokoll (Point-to-Point-Tunneling-Protocol), zum Anderen mit Hilfe eines speziellen Programms (Cisco AnyConnectClient) über ein proprietäres Protokoll. Nutzer von anderen Bildungseinrichtungen, die sich im Rahmen von DFNRoaming am WLAN der Universität Potsdam anmelden wollen, können dies nur über den erwähnten Cisco AnyConnectClient tun. Zum Zugang zum WLAN-VPN für Angehörge der Universität Potsdam wird ein entsprechend konfigurierter Zentraler Universitätsaccount benötigt. Unter https://www.uni-potsdam.de/db/zeikportal/radius/check_radius_status.php können Sie prüfen, ob Sie bereits Zugang zum VPN haben oder welche Schritte Sie unternehmen müssen, um diesen zu erlangen. DFNRoaming-Nutzer müssen sich bei ihrer Heimateinrichtung informieren, ob ihr Account für die Nutzung von DFNRoaming freigeschaltet ist. WLAN-Netzwerkauswahl Bitte wählen Sie das korrekte WLAN-Netzwerk (Universitaet Potsdam ZEIK) aus:
VPN-Verbindung mit dem Cisco AnyConnectClient Der Cisco AnyConnectClient unterstützt neben Microsoft- und Apple-Betriebssystemen auch Linux, laut Herstellerdokumentation zumindest die folgenden Linux Distributionen: - Red Hat Enterprise Linux 5 Desktop - Ubuntu 9.10 Im folgenden wird die Installation am Beispiel von Ubuntu 9.10 beschrieben. Vorbereitung und Installation Im Software-Center (unter Anwendungen zu finden) muss überprüft werden, ob das Sun Java 6.0 Plugin für den Browser installiert ist. Wenn nicht, dann muss es unter Freie Software erhalten installiert werden. Dafür benötigen Sie allerdings einen funktionierenden Internetzugang, Sie müssen dies also gegebenenfalls zu Hause unter Verwendung Ihres DSL-Anschlusses o.ä. durchführen. Jetzt kann im Browser die Webseite https://wlanvpn.uni-potsdam.de (für WLAN-Zugang, auch über DFNRoaming) bzw. http://whvpn.uni-potsdam.de/ (für Zugang zum Wohnheim-WLAN) geöffnet werden. Folgendes Bild sollte im Browser erscheinen:
Bitte geben Sie Ihre gültige Uni-Potsdam-Emailadresse (Kurzform) bzw. den Account Ihrer Hochschule (name@fremde-uni.de) oder account@wohnheim-wlan sowie Ihr Passwort in das Eingabefeld ein. Wählen Sie die richtige Group (WLAN, Wohnheim-WLAN oder DFNRoaming) aus und betätigen den Login-Button. Jetzt startet die automatische Installation mit einem Java Applet: Je nach verwendeter Sicherheitsstufe können verschiedene Sicherheitswarnungen erscheinen: Das System fragt unter Umständen auch während der Installation nach Ihrem Passwort. Damit ist das Passwort gemeint, mit dem Sie sich an Ihrem Ubuntu-System anmelden, (noch) nicht das Passwort für den Zugang zum WLAN-VPN:
Am Ende des Installationsprozesses erhalten Sie folgende Meldung: Der Cisco AnyConnectClient ist als Symbol in der Ubuntu Statusleiste sichtbar. Wenn ein Vorhängeschloss zu sehen ist, dann ist die VPN-Verbindung hergestellt. Sollte die automatische Installation fehlschlagen, wird ein Installationsskript (vpnsetup.sh) zum Download angeboten. Dieses bitte auf dem Rechner speichern und dann mit sudo in einem Terminal ausführen: Erneuter Aufbau der Verbindung Nach der einmaligen Installation steht der Client immer als Icon in der Statusleiste zur Verfügung. Wenn dieses Symbol nicht zu sehen ist, dann kann man den Client auch manuell über: Anwendungen Internet Cisco Anyconnect VPN Client starten. Bitte wählen Sie nach dem Start der Anwendung im Feld Connect to: den Server wlanvpn.uni-potsdam.de für das Uni-WLAN (auch per DFNRoaming) den Server whvpn.uni-potsdam.de für das Wohnheim-WLAN im Feld Group die entsprechende Gruppe
WLAN für Uni-Angehörige für den Zugriff auf das Uni-WLAN DFNRoaming für Angehörige anderer Einrichtungen für den Zugriff zum Uni-WLAN Wohnheim-WLAN für den Zugang zum Wohnmeim-WLAN Als Passworte geben Sie das Passwort Ihres dezidierten WLAN-Accounts ein, falls Sie über einen solchen verfügen, oder das Passwort Ihres zentralen Universitätsaccounts bzw. das Passwort Ihres Wohnheim-WLAN-Accounts. Bei Zugriff über DFNRoaming muss natürlich das Passwort für den Account der Heimateinrichtung eingetragen werden. Bei erfolgreichem Verbindungsaufbau erscheint in der Taskleiste wieder das kleine Vorhängeschloss:
VPN-Verbindung über PPTP Bei vielen Linux-Distributionen müssen die für den Verbindungaufbau benötigten Programmpakete selbstständig nachinstalliert werden. Insbesondere muss das PPTP-Client-Paket installiert werden, dieses heist je nach Distribution einfach pptp (SuSE) oder pptp-linux (Ubuntu). Der Verbindungsaufbau kann skriptbasiert über die Kommandozeile (CLI Command Line Interface) oder mit Hilfe der grafischer Werkzeuge (GUI Graphical User Interface) der entsrpechenden Distribution angestossen werden. Beide Wege werden im folgenden beschrieben. GUI-basierter Verbindungsaufbau Der GUI-basierte Verbindungaufbau wird am Beispiel der grafischen Oberfläche Gnome und der Verwendung des Networkmanagers erläutert, ein Übertrag auf KDE sollte jedoch ohne weiteres möglich sein, da auch hier der Networkmanager Verwendung findet. Zuerst müssen weitere Programmpakete für die GUI-Werkzeuge installiert werden. Installation unter Ubuntu 9.04 Jaunty Jackalope und 9.10 Karmic Koala Es ist lediglich nötig das Paket network-manager-pptp sowie dessen Abhängigkeiten zu installieren, was über die Synaptic-Paketverwaltung oder die Konsole (sudo apt-get install network-managerpptp) erfolgen kann. network-manager-pptp Anschließend müssen meist einige Kernelmodule (welche soll hier nicht weiter interessieren) neu gestartet werden, was aber ohne großen Aufwand durch einen Neustart des Systems gewährleistet wird. Installation unter opensuse 11.1 und opensuse 11.2 Es ist lediglich nötig die Pakete networkmanager-pptp-gnome und networkmanager -pptp sowie deren Abhängigkeiten zu installieren, was über über YAST oder die Konsole (sudo zypper install networkmanager-pptp networkmanager-pptp-gnome) erfolgen kann. networkmanager-pptp networkmanager-pptp-gnome Anschließend müssen meist einige Kernelmodule (welche soll hier nicht weiter interessieren) neu gestartet werden, was aber ohne großen Aufwand durch einen Neustart des Systems gewährleistet wird. VPN-Konfiguration Nach der erfolgreichen Einwahl ins Funknetz Universitaet Potsdam ZEIK kann nun mit der VPN-Konfiguration begonnen werden, zu erreichen ist diese entweder über den Networkmanager im Panel oder dem Systemmenü (>System>Einstellungen>Netzwerkverbindungen). Dort wählt man Hinzufügen und wählt als Verbindungstyp Point-to-Point-Tunneling- Protocoll (PPTP) aus, so dass die Konfiguration der Verbindung geöffnet wird.
Als Name der Verbindung wählt man den Namen aus der später im Networkmanager erscheinen soll, z.b. WLAN-Uni-Potsdam, als Gateway wird vpn.wlan.rz.uni-potsdam.de eingetragen. Als Benutzername und Passwort werden die zuvor unter Vorbereitung/Installation angegebenen Daten verwendet, wobei an den Benutzernamen noch das @uni-potsdam.de angehängt werden muss. Unter Erweitert muss nun nur noch die Point-to-Point Verschlüsselung (MPPE) gesetzt werden.
Verbindungsname: WLAN-Uni-Potsdam Gateway: vpn.wlan.rz.uni-potsdam.de Benutzername: benutzername@uni-potsdam.de Passwort: Passwort des zentralen Universitätsaccounts Abb.4.1 Konfiguration der Verschlüsselung Aktivierung der Point-to-Point-Verschlüsselung (MPPE) Konfigurationsabschluss Nach dem Bestätigen und Schließen aller offenen Fenster durch OK bzw. Anwenden steht im Networkmanager die VPN-Verbindung zur Auswahl. Bei der ersten Auswahl der VPN-Verbindung muss nun noch der Zugriff auf den Gnome- Schlüsselbund immer gewährt werden. Falls zuvor noch nicht geschehen muss zum speichern der Benutzerdaten noch ein Sicherheitspasswort (Gnome-Schlüsselbund) festgelegt werden, was dann bei jeder Einwahl angegeben werden müsste es ist hier auch möglich einfach keines einzugeben (dann erfolgt auch keine Abfrage). Die erfolgreiche Einwahl ist an einem kleinem Schloss beim Panelsymbol des Networkmanagers zu erkennen.
Fehlerbehebung Je nach verwendeter Distribution kann es vorkommen, dass Benutzername und Passwort nicht akzeptiert werden. Dieser Fehler lässt sich beheben indem man diese bei der Konfiguration weg lässt und sie dann aber bei der ersten VPN-Einwahl angibt und speichert. CLI-basierter Verbindungsaufbau Wie (fast) alle Verwaltungs-Aufgaben unter Linux kann der Verbindungsaufbau auch per Skript an der Kommandozeile erfolgen. Dieser Weg empfiehlt sich unter anderem, wenn der oben beschriebene Weg über die grafischen Tools fehlschlägt ohne dass ausreichende Informationen über die Gründe angezeigt werden. In einem ersten Schritt muss die Datei /etc/ppp/options durch eine angepasste Version ersetzt werden: Listing 1: Editieren der Datei /etc/ppp/options bash# cd /etc/ppp/ bash# cp options options.bak bash# vi options Inhalt der Datei durch Listing 2 ersetzen! Listing 2: Inhalt der Datei /etc/ppp/options # das ist die Datei /etc/ppp/options # erzeugt ein lock File, damit Prozesse exklusiv auf das serielle Device zugreifen koennen lock # damit muss sich der Peer (VPN-Server) nicht selbst authentifizieren noauth # maximum receive unit mru 1500 # maximum transmit unit mtu 1500 # damit koennen einfache Benutzer keine default Routen fuer das ppp-device definieren nodefaultroute # kein compression control protocol #noccp # auskommentiert, da vpn scheinbar ccp verlangt # kein ipxcp und ipx noipx # keine Verhandlungen ueber eine magicnumber fuer die Verbindung nomagic # keine Van Jacobson-artige TCP/IP Header-Kompression novj
# keine BSD-Kompression nobsdcomp # keine Deflate-Kompression nodeflate # Debug-Ausgaben # koennen in ein Logfile geschrieben werden # siehe syslog.conf(5) debug # pppd soll das carier detect der WLAN-Karte ignorieren # damit kann man auch kurz die Reichweite eines Accesspoint verlassen local # pppd initiiert die Verbindung und wartet (passiv) auf ein LCP Packet vom Peer passive # pppd wird nicht automatisch im Terminal forken und zu einem Hintergrundprozess werden # fuer die Testphase sinnvoll nodetach # seit Mitte 2006 ist 128-bit mppe-verschlüsselung Pflicht require-mppe-128 Danach wird ein Shell-Skript (wlan_uni.sh, s. Listing 3) angelegt und an die Gegebenheiten Ihres Rechners angepasst. Insbesondere müssen im Abschnitt Konfiguration der Accountname (NUTZER), das Passwort (PASSWORT) und gegebenenfalls die Bezeichnung des WLAN- Netzwerkinterfaces (INTERFACE, häufige Werte sind ath0, wlan0 oder eth1) geändert werden. Danach wegen des eingetragenen Passwortes die Zugriffsrechte auf den Nutzer beschränken (chmod 700 wlan_uni.sh) und starten. Listing 3. Shell-Skript wlan_uni.sh #!/bin/bash # Konfiguration NUTZER='yourname@uni-potsdam.de' PASSWORT=yourpass INTERFACE=ath0 VPNHOST=vpn.wlan.rz.uni-potsdam.de # Ende Konfiguration # tabula rasa sudo pkill pptp # create the ppp0 interface sudo route del -host $VPNHOST sudo route add $VPNHOST $INTERFACE sudo pptp $VPNHOST name $NUTZER password $PASSWORT & sudo sleep 20
sudo route add default ppp0 sudo route del -host $VPNHOST ppp0 # some info for use SUCC=`/sbin/ifconfig ppp0 grep 141.89.`; if [ "x$succ"!= "x" ]; then echo "VPN-Verbindung hergestellt."; else echo "Bitte spaeter noch mal versuchen! oder die WLAN-Sprechstunde nutzen!" fi Das Skript benötigt ca. 30 Sekunden und erzeugt eine Fülle von Debug-Meldungen, die bei der Problemsuche hilfreich sein können. Zum Schluss sollte die Meldung VPN-Verbindung hergestellt. erscheinen, damit ist der Rechner mit dem Internet verbunden. Nützliche Links http://ubuntuusers.de/ http://www.opensuse.org/de/ http://www.zeik.uni-potsdam.de/index.html http://wiki.ubuntuusers.de/gnome_schlüsselbund http://wiki.ubuntuusers.de/networkmanager http://wiki.ubuntuusers.de/pptp