IKEv2 VPN mit Pre-Shared Key auf mobilen Geräten (statt L2TP)

Dieser Artikel zeigt Ihnen, wie Sie Mobiltelefone (Android und iPhone (iOS)) mit IKEv2 PSK (Pre-Shared Key) anstelle von L2TP verbinden können. Denn ab Android 12 ist die L2TP-Unterstützung nicht mehr verfügbar. In diesem Artikel wird auch beschrieben, wie IKEv2 PSK für iOS-Benutzer eingerichtet wird.

Zuerst müssen wir den Tunnel auf unserer Firewall einrichten; in diesem Fall ist die Firewall eine ATP200 mit fw 5.31.

Firewall: VPN-Gateway einrichten (Phase 1)

1. Melden Sie sich über die GUI an Ihrem Gerät an.
2. Gehen Sie zu "Konfiguration > VPN > IPSec VPN > VPN Gateway".

1. Klicken Sie auf "Hinzufügen".
2. Klicken Sie auf "Aktivieren".
3. Bitte geben Sie einen Namen ein
4. Wählen Sie IKEv2
5. Wählen Sie Ihre WAN-Schnittstelle
6. Setzen Sie die Peer-Gateway-Adresse auf "Dynamisch".
7. Legen Sie einen Pre-Shared Key "PSK" fest

In "Phase 1 Settings" müssen wir die Advance-Einstellungen ändern

1. Fügen Sie Verschlüsselung und Authentifizierung gemäß der folgenden Abbildung hinzu
2. Fügen Sie die Schlüsselgruppe gemäß der folgenden Abbildung hinzu
3. Deaktivieren Sie die Zwei-Faktoren-Authentifizierung
4. Klicken Sie auf "OK".

Hinweis: Für IOS 17 wird eine Schlüsselgruppe verwendet: DH19 muss verwendet werden

Firewall: VPN-Verbindung einrichten (Phase 2)

Gehen Sie auf die Registerkarte "VPN-Verbindung" und klicken Sie auf "Hinzufügen".

1. Klicken Sie auf "Hinzufügen".
2. Klicken Sie auf "Aktivieren".
3. Geben Sie der Verbindung einen Namen
4. Wählen Sie "Remote Access (Server Role)".
5. Wählen Sie das Gateway, das wir im vorherigen Schritt erstellt haben
6. Wählen Sie "Lokale Richtlinie", das Subnetz, mit dem Sie sich über das VPN verbinden möchten

Enable Configuration Payload - Dieser Abschnitt ist für iOS obligatorisch. Bei der Verwendung von Android ist dieser Abschnitt optional.

In "Phase 2 Settings" müssen wir die Advance-Einstellungen ändern

1. Fügen Sie Verschlüsselung und Authentifizierung hinzu, wie in der Abbildung unten dargestellt
2. Fügen Sie die Schlüsselgruppe gemäß der folgenden Abbildung hinzu
3. Klicken Sie auf "OK".

Hinweis! Sie können auch DH2 und DH14 sowohl für die "Phase 1"- als auch für die "Phase 2"-Einstellungen verwenden, wenn andere Geräte (z. B. alte Android-Handys) keine Verbindung herstellen können.

Mobil: Konfigurieren Sie auf Android

1. Einstellungen
2. Geben Sie das VPN ein und gehen Sie zu den VPN-Einstellungen
3. Fügen Sie eine neue VPN-Verbindung hinzu
4. Geben Sie den Namen ein
5. Wählen Sie IKEv2/IPSec PSK
6. Geben Sie die IP oder den FQDN der WAN-Schnittstelle Ihrer Firewall ein.
7. Geben Sie den IPSec-Bezeichner ein (wenn Sie nichts an der Firewall geändert haben, lassen Sie 0.0.0.0 stehen)
8. Geben Sie den Pre-shared Key ein (derselbe, den Sie auf der Firewall eingegeben haben)
9. Klicken Sie auf "Speichern".
10. Wählen Sie das neu erstellte VPN aus und klicken Sie auf "Verbinden".

Bei einigen VPN-Versionen ist in den erweiterten Einstellungen das Feld "DNS-Server" verfügbar. Sie können dieses Feld leer lassen, wenn Sie auf der Firewall im Feld "Inhalt" nichts geändert haben, wie in der Abbildung unten dargestellt. Andernfalls müssen Sie im Feld "DNS-Server" denselben Wert angeben wie im Feld "Inhalt".

Bei einer erfolgreichen Verbindung lautet der VPN-Status auf Ihrem Mobiltelefon "Verbunden".

Mobile: Konfigurieren auf iOS

Hinweise: Seit der Veröffentlichung von iOS 18 haben Benutzer Probleme mit der Verbindung zu entfernten VPNs gemeldet, die über .mobileconfig-Dateien konfiguriert wurden. Die VPN-Verbindung kann nicht hergestellt werden, so dass eine manuelle Profilerstellung als Alternative erforderlich ist.

Abhilfe:

Bearbeiten Sie die .mobileconfig-Datei:
Öffnen Sie die .mobileconfig-Datei mit einem Texteditor wie z. B. Notepad.

Suchen Sie die folgenden Zeilen:

LocalIdentifier

Ändern Sie die Zeilen, um einen bestimmten Bezeichner einzufügen:

LocalIdentifier
Zyxel

Speichern Sie die Änderungen und stellen Sie die aktualisierte .mobileconfig-Datei auf Ihrem iOS-Gerät bereit.

1. Einstellungen
2. Öffnen Sie das VPN und gehen Sie zu den VPN-Einstellungen
3. Fügen Sie eine neue VPN-Verbindung hinzu
4. Wählen Sie IKEv2
5. Geben Sie den Namen ein
6. Geben Sie die IP oder den FQDN der WAN-Schnittstelle Ihrer Firewall ein
7. Geben Sie die Remote ID ein (wenn Sie nichts an der Firewall geändert haben, lassen Sie 0.0.0.0)
8. Wählen Sie Benutzerauthentifizierung "Keine".
9. Deaktivieren Sie "Benutzerzertifizierung".
10. Geben Sie den Pre-shared Key ein (derselbe, den Sie auf der Firewall eingegeben haben)
11. Klicken Sie auf "Fertig".
12. Wählen Sie das neu erstellte VPN aus und klicken Sie auf "Verbinden".

Sie können den Verbindungsstatus in den Firewall-Einstellungen überprüfen (unter Konfiguration -> VPN -> IPSec VPN, dann sehen Sie das grüne Symbol, wenn es verbunden ist).

Sie können die Konnektivität auch unter Monitor -> Logs sehen.