nokia vpn

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "[email protected]";	<-- Name der Verbindung						
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.178.201; <-- IP die das Handy bekommen soll
                remoteid {
                        user_fqdn = "[email protected]"; <-- UserID des Handys (wie name)
                }
                mode = phase1_mode_aggressive;	<-- Agressive mode, Main müsste auch gehen
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "TopSecret"; <-- PreSharedKey, hab den von Fritz erstellten behalten
                cert_do_server_auth = no;
                use_nat_t = yes;	<-- NatTraversal einschalten
                use_xauth = yes;	<-- Ich benutze zusätzlich xauth (wird beim vpn Aufbau abgefragt)
					xauth { <-- Hier steht dann der Account drin. Wenn xauth=no, kann dies gelöscht werden
						valid = yes;
						username = "UserID"; <-- Nicht die VPN ID oder fqdn!
						passwd = "Passw0rd"; <-- Nicht der PSK!
					}
                use_cfgmode = yes; <-- In diesem Modus konfiguriert die FB mein Handy mit IP usw. 
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0; <-- Default FB Subnetz
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.178.201; <-- Default Remote (Handy) IP (wie von AVM vorgeschlagen.
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip any 192.168.178.201 255.255.255.255"; 
							<-- Hier habe ich die source auf "any" geändert um Internet Zugriff zu haben. 
							<-- Mit der default source (192.168.178.0/24) sollte man nur Zugriff aufs lokale Netz haben.
							<-- Dies muss zur SA bei der Nokia Policy passen (siehe "remote")
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

[POLICYNAME]
[email protected] # Auch hier wieder mein "Connection-Name"
[POLICYVERSION]
1.0
[POLICYDESCRIPTION]
Connection to Home # Freitext soweit ich weiss
[ISSUERNAME]

[CONTACTINFO]

SECURITY_FILE_VERSION: 1
[INFO]
[email protected]		# Auch hier wieder mein "Connection-Name"
[POLICY]
sa [email protected]_1 = {	# Wenn man per Tool (Nokia) den Nameen unter INFO erstellt, wird die SA autom. so benannt.
esp				# Nur ESP, kein AH (AH geht nicht per NAT-Traversal (NAT-T)
encrypt_alg 12			# 12 = AES Encryption
max_encrypt_bits 256		# 256 Bit maximal für die AES Verschlüsselung
auth_alg 3			# 3 = SHA-1
identity_remote 192.168.178.0/24# Passend zu FB:phase2localid 
src_specific				
hard_lifetime_bytes 0
hard_lifetime_addtime 3600
hard_lifetime_usetime 3600
soft_lifetime_bytes 0
soft_lifetime_addtime 3600
soft_lifetime_usetime 3600
replay_win_len 0
pfs			        # Perfect Forward Secrecy einschalten
}

# Folgenden remote Eintrag hab ich aus anderen Quellen übernommen. Soweit ich das
# sehe, ist dies als access-list zu sehen, wie "accesslist" der FB.cfg.
# Schlicht: Jedes Paket an jede Adresse (any) wird in den Tunnel geschickt.
# Tunnel beginnt mit der SA und hat als Endpunkt den DynDNS Host (FB)

remote 0.0.0.0 0.0.0.0 = { [email protected]_1(yourdynhost.dynamic-dns.xy) }
inbound = { }
outbound = { }


[IKE]
ADDR: yourdynhost.dynamic-dns.xy 255.255.255.255	# Hier die eigentliche FB Inet Adresse per DynDNS (/32 Maske ist wichtig)
IKE_VERSION: 1		        # Soweit ich weiss, macht die FB nur IKEv1
MODE: Aggressive	        # Aggressive mode wie in FB:mode
REPLAY_STATUS: FALSE
USE_MODE_CFG: TRUE	        # Passenden Config mode zu FB:use_cfgmode
IPSEC_EXPIRE: TRUE
USE_XAUTH: TRUE	                # Xauth einschalten. FB:use_xauth
USE_COMMIT: FALSE
ESP_UDP_PORT: 0	                # Muss auf 0 stehen für IEFT NAT-T Mode! Auch wenns verlockt, "4500" geht nicht.
SEND_NOTIFICATION: TRUE
INITIAL_CONTACT: TRUE
USE_INTERNAL_ADDR: TRUE	        # Ich glaub das hat was mit dem Config Mode und der zugewiesenen IP zu tun. 
DPD_HEARTBEAT: 90
NAT_KEEPALIVE: 60
REKEYING_THRESHOLD: 90
ID_TYPE: 3			# 3 = Fully qualified user name im nächsten Feld FQDN
FQDN: [email protected]	        # Passend zu FB: user_fqdn
PRESHARED_KEYS:  
FORMAT: STRING_FORMAT	        # Format des PSK
KEY: 9 TopSecret		# Wie FB: key (nicht xauth). Die Zahl gibt die Anzal der Stellen an!
GROUP_DESCRIPTION_II: MODP_1024	# DH Group 2 (1024Bit) bei PFS Quick Mode
USE_NAT_PROBE: FALSE	        # Muss auf False stehen, damit IEFT NAT-T läuft und nicht Nokia IPSec over NAT
PROPOSALS: 1
ENC_ALG: AES256-CBC		# Verschlüsselung für IKE kommunikation
AUTH_METHOD: PRE-SHARED	        # Hier wird PSK eingestellt (siehe FORMAT + KEY)
HASH_ALG: SHA1			# SHA1 bei IKE
GROUP_DESCRIPTION: MODP_1024	# DH Group 2 (1024Bit) bei IKE
GROUP_TYPE: DEFAULT
LIFETIME_KBYTES: 0
LIFETIME_SECONDS: 3600	        # Diese Lifetime muss zur FB passen. Die benutzt 3600 soweit ich weiss.
PRF: NONE
DNS_SERVER: 192.168.178.1	# Hier den DNS der FB eintragen. Ohne diesen Eintrag geht kein Internet Zugriff!