Officiële OpenVPN-app verschijnt voor iOS

Het bedrijf achter de opensource-vpn-client OpenVPN heeft een versie voor iOS uitgebracht. De applicatie is ontwikkeld in samenwerking met Apple en maakt het mogelijk om al het internetverkeer over een vpn-tunnel te sturen.

De oprichter van het OpenVPN-project, James Yonan, schrijft op de mailinglijst van OpenVPN dat het gaat om een 'door Apple gesanctioneerde' OpenVPN-client gaat die in samenwerking met het bedrijf uit Cupertino is ontwikkeld. Standaard ondersteunt iOS geen OpenVPN. Het op OpenSSL gebaseerde OpenVPN wordt onder meer gebruikt door de Nederlandse overheid, zij het in gewijzigde vorm: zo is OpenSSL vervangen door PolarSSL en zijn bepaalde componenten vervangen.

De OpenVPN Connect-app is donderdag verschenen in de App Store en maakt het mogelijk om verbinding te maken met een OpenVPN-server. Daarna zal het internetverkeer over die tunnel worden gestuurd, wat bijvoorbeeld het surfen over onbeveiligde wifi-hotspots op vliegvelden en in restaurants een stuk veiliger maakt. Ook kan met de app bijvoorbeeld op afstand worden ingelogd op een bedrijfsnetwerk. De applicatie was al enkele maanden beschikbaar voor Android.

OpenVPN-profielen kunnen op verschillende manieren worden geïmporteerd, bijvoorbeeld via een e-mail of via iTunes. Authenticatie op een OpenVPN-server is onder meer mogelijk via gebruikersnaam en wachtwoord, een pre-shared key of met een certificaat. Niet alle OpenVPN-functionaliteit is aanwezig: zo ondersteunt de app de optie tls-remote niet. Opvallend is dat als de vpn is ingeschakeld en de telefoon na een slaapperiode verbinding maakt met het wifi-netwerk, automatisch de vpn weer wordt opgestart. Bij de ingebouwde vpn-ondersteuning is dat niet zo.

Reacties (35)

Mooi dat nu ook OpenVPN wordt ondersteund.

Ik vraag me dan wel af: Als je met WiFi verbindt, wordt er dan ook meteen een VPN verbinding gemaakt. Bij de VPN functionaliteit van Apple is dat niet zo en beginnen de mail, agenda en nog veel meer apps meteen al in te loggen.

Dan is het kwaad dus al geschiedt en heeft het gebruiken van een VPN eigenlijk al geen zin meer.

[Reactie gewijzigd door ikke26 op 18 januari 2013 16:34]

Goed punt. Viel me net ook op toen ik de app gebruikte. Ik heb een stukje toegevoegd:

Opvallend is dat als de vpn is ingeschakeld en de telefoon na een slaapperiode verbinding maakt met het wifi-netwerk, automatisch de vpn weer wordt opgestart. Bij de ingebouwde vpn-ondersteuning is dat niet zo.

Dan ga ik er zeker naar kijken.

Ik ga er nu zelf mee bezig, maar wordt die verbinding ook meteen aangemaakt als voor de eerste keer verbinding wordt gemaakt met een WiFi-netwerk? Dan gebeurt dat namelijk ook.

OpenVPN wordt helaas maar ten dele ondersteund. Het enige wat werkt zijn OpenVPN verbindingen op basis van een tun device. De OpenVPN verbindingen die een tap device gebruiken werken niet. De reden waarom tun wel werkt is vrij simpel: iOS heeft een tijdje geleden utun geimplementeerd en daar maakt OpenVPN nu handig gebruik van. Je mag namelijk niet zelf een device aanmaken (dat is iets wat wel weer kan in Windows, Linux, OS X: de desktop dus) en dat is dan ook een reden waarom tap niet werkt: er is geen tap device en je mag er geen aanmaken. Helaas is dat nou net wat we op werk gebruiken

Voordeel van een tap device is ook dat je in hetzelfde subnet zit en dus: syncen en streamen met je eigen iTunes ipv iCloud.

Precies, dit is een ernstige tekortkoming van de implementatie door Apple. Hierdoor blijf je dus met een security issue zitten.

Ja daarom haal ik mijn mail ook altijd met SSL op, dan zit je altijd redelijk veilig.. Zelfs als het per ongeluk over een onbeveiligde verbinding gaat.

Ik weet het niet hoe het met iCloud zit maar ik neem aan dat Apple ook gewoon encryptie gebruikt.

Dan is het kwaad dus al geschied en heeft het gebruiken van een VPN eigenlijk al geen zin meer.

Je kunt dat natuurlijk fixen door geen gebruik te maken van mail zonder ssl.

Ik heb zojuist een tutorial gemaakt om zelf een Linux router met OpenVPN op te zetten waarmee je dan kunt connecten met je iPhone.

http://louwrentius.com/bl...e-with-openvpn-and-linux/

[Reactie gewijzigd door Q op 19 januari 2013 10:52]

Je link geeft een 404 error?

Ik ben toch echt benieuwd wat erin staat. Kun je dit oplossen? Sorry voor het vragen om extra werk!

Dit is nice!

Ik wou alleen dat er een goed werkende en recente how-to was om een openvpn server op te zetten op openwrt. Dat is me tot nu toe nog niet gelukt namelijk, omdat het meeste wat je vind of veel kennis vereisen om het te begrijpen of hopeloos verouderd is.

zoveel kennis vereist het ook weer niet hoor...

maar we spreken hier nier over een game maar over een VPN: da's security en vraagt nu eenmaal wat meer qua instellingen / kennis dan het spelen van een spelletje op de pc...

zelf gebruik ik geen openvpn maar windows vpn (aangezien dat voor mij het handigste is omdat hie alles windows is)... als je een PRO versie hebt van windows kan je hier ook mee aan de slag; weet wel niet of de openvpn client hiermee kan verbinden aangezien die een iets ander protocol toepast dan de vpn van windows (welke ook een normaal protocol gebruikt hoor)
op android gebruik ik vpnroot omdat die m'n wachtwoord kan onthouden en die ook weer wat meer instellingen heeft dan de standaard vpn client (al werkt het daar ook mee)

Als security voor u belangrijk is zou ik toch aanraden om ook openVPN te nemen ipv 'windows vpn', wat gewoon PPTP is.

PPTP has been the subject of many security analyses and serious security vulnerabilities have been found in the protocol. The known vulnerabilities relate to the underlying PPP authentication protocols used, the design of the MPPE protocol as well as the integration between MPPE and PPP authentication for session key establishment. PPTP is (as of Oct 2012) considered cryptographically broken and its use is no longer recommended by Microsoft.

Bron: http://en.wikipedia.org/w...-Point_Tunneling_Protocol (en 100den andere security sites en blogs.)

Kun je op deze manier ook bijvoorbeeld BBC iPlayer bekijken?

Alleen als je connect naar een OpenVPN server die bv in de UK staat.

Toevallig iemand een idee waarom bij het synchroniseren via iTunes het crt-bestand niet gevonden wordt?

Heb precies het zelfde probleem, krijg het niet voor elkaar de app het certificaat te laten lezen welke bij de openvpn config file behoort (Synology nas).

Any tips welkom?

Same here. Heb het CRT file opgenomen in OVPN file zoals beschreven in de OpenVPN Help maar krijg dan nog steeds de vraag "Select a certificate". Dit komt, als ik het goed begrijp, omdat ik in de OVPN file geen key heb gedefinieerd...

In Help staat ook hoe je een client.p12 file kan maken en in je keychain in IOS kan laten opnemen (hierdoor beland het certificate in je keychain) maar die uitleg verwacht ook een key file die Synology niet genereert in de openvpn.zip file bij een export vanuit OpenVPN Server...

Morgen wilde ik de route proberen via iTunes maar hierboven blijkt dat die niet zou werken...

Wordt nog interessant

Moet idd via iTunes. Maar die route is vooralsnog niet werkend

https://forums.openvpn.net/topic11961.html#p26858

Goh jongens, ik dacht al dat ik gek was. Geeft weer eens aan hoe goed het is een community te hebben.

Ik heb hier exact hetzelfde probleem met een Synology 1010+ en het VPN package. Dat staat allemaal perfect, maar op de iPhone in de OpenVPN Connect app blijft hij vragen om een crt file, terwijl ik hem heb geupload met itunes.

Edits van de ovpn file:
1) direct naar de Synology
2) naar de router
3) met en zonder de port (:1194, UDP apparently)

Ik heb de volgende dingen geprobeerd via itunes:
1) upload de .ovpn file en de ca.crt file
2) upload de .crt file apart na het uloaden van de .ovpn file (doet ie niet, i.e. de crt file blijft in de itunes queue staan)
3) upload een zip file met de twee bestanden erin (doet ie niet, blijft in de queue staan)

Voorlopig nog niks, helaas.

[Reactie gewijzigd door Stangg op 19 januari 2013 09:08]

Je zou eens kunnen proberen het ca-certificaat in de ovpn file te stoppen (inhoud van de file). Dit zou dan moeten moeten tussen de <ca></ca> tags. De niet open source versie van de openvpn client gebruikt dit namelijk voor zijn config files en is van hetzelfde bedrijf.

Edit: Oops dit was al geprobeerd

[Reactie gewijzigd door smooc op 19 januari 2013 09:34]

De opensource versie kan dit ook...

Kun je op deze manier ook bijvoorbeeld BBC iPlayer bekijken?

Ja, als je verbinding maakt met een server in het buitenland. Ik gebruik zelf Hide My Ass, dat ook via OpenVPN werkt en servers in veel landen heeft. Als je een profiel uit deze zip importeert in OpenVPN (wel even één keer 'ns-cert-type server' schrappen uit het document, staat er dubbel in - weet niet waarom), zou het moeten werken. Je hebt daar wel een login voor nodig, kost volgens mij iets van 80 dollar per jaar. Maar je kunt in principe elke vpn-server gebruiken natuurlijk

[Reactie gewijzigd door Joost op 18 januari 2013 17:07]

als je een v^pnserver in UK opzet wel ja...

Ja en nee. Niet direct.

Niet alleen die OpenVPN app heb je nodig maar ook toegang tot een VPN server in de UK.
Die kan je zelf opzetten (even naar UK, server opzetten) of via een VPN provider.

Via je desktop werkt het zo: http://vpnservice.nl/onli...ayer-kijken-in-nederland/

Via iPhone werkt hetzelfde maar gebruik je vanzelfsprekend de OpenVPN app om verbinding te maken.

helemaal ideaal in combinatie met b.v. een openwrt openvpn server op je thuis router, zoals in dit topic wordt uitgelegd.
http://wiki.openwrt.org/doc/howto/vpn.openvpn

Altijd secure online. Lijkt me ook beter ivm met b.v. allerlei certificaat issues in b.v. internetbankier apps.

Eindelijk!
Ik zelf baalde er al van dat er geen openvpn client voor ios beschikbaar was. Enige manier was je iphone te jailbraken en GuizmoVPN er op te zetten. Wel jammer dat je tls-remote er uit hebben gehaald, dat gebruik ik namelijk weer wel voor mijn eigen openvpn tunnels.

De optie tls-remote komt er in versie 1.0.1 wel netjes in:
http://sourceforge.net/ma...ssage.php?msg_id=30381404

Heeft een tijdje geduurd, maar nu mag het van Apple ;-)

Reeds gezien op pfSense rss, geïnstalleerd op mijn oude 3GS en de connectie naar mijn pfSense werkt als een trein!

Had dit al draaiend op Android tablet en telefoon, maar zeker voor zakelijke iPhone gebruikers lijkt mij dit erg handig! (al had je al IPSec natuurlijk)

Hij is gefixed!

Dank je!
Uit de beschrijving blijkt dat de client certificates het probleem zijn. Deze worden niet door de Synology gegenereerd, zoals al vastgesteld door juryf hierboven. De bedoeling is dat de username/password dit vervangt, maar daar gaat het dus fout in de interface van openvpn op de iphone. Die verwacht nog steeds een certificate, waarschijnlijk een client certificate, ondanks je entries in de username/password.

http://forum.synology.com...rtificates_for_connecting

Meer hints na wat Google:
http://forum.synology.com...ewtopic.php?f=173&t=41462
http://forum.synology.com...e_custom_SSL_certificates

Maar goed, ik ben er nog niet...

[Reactie gewijzigd door Stangg op 19 januari 2013 14:49]

Naar aanleiding van deze berichten ben ik aan de slag gegaan om mijn Synology DS412+ te gebruiken als OpenVPN server samen met de nieuwe iPhone app. Het is me inmiddels gelukt om een OpenVPN op te starten naar mijn NAS met mijn iPhone 4S. Ik zie ook dat ik verbonden ben maar het ca.cert komt niet door de verificatie heen. Misschien komen jullie verder als ik mijn setup deel. Ik lees via email of iTunes een configuratie file waarin ook ca.cert (ingevoegd tussen <ca>
</ca>), server.crt (ingevoegd tussen <cert></cert>) en server.key (ingevoegd tussen <key></key>) is opgenomen. De files ca.cert, server.crt en server.key zijn te vinden in de key folder van OpenVPN op de NAS. Het zou mooi zijn als dit gaat werken...

OpenVPN configuratie file:
client
float
resolv-retry infinite
nobind
persist-key
persist-tun
ns-cert-type server
cipher BF-CBC
verb 5
log openvpn.log

dev tun
remote IP-adres-server 1194
pull
proto udp
comp-lzo
script-security 2
reneg-sec 0
explicit-exit-notify
plugin /lib/openvpn/openvpn-down-root.so /etc/ppp/ip-down
#auth-user-pass /tmp/ovpn_client_up

<ca>

</ca>
<cert>

</cert>
<key>

</key>

Fix is onderweg!

https://forums.openvpn.net/topic11991.html#p26976

Gisteren een mail ontvangen van BlackVPN support. Ze hebben een tutorial gemaakt.