Es ergibt sich immer wieder die Situation, dass ich in einem Telefongespräch Dinge mitgeteilt bekomme, die ich beispielsweise in einem Blog-Artikel weiterverarbeiten muss. Oft passiert es, dass ich nicht an meinem Tisch sitze und dann hektisch nach Papier und Stift suchen muss und dann trotz Mitschreibens immer noch Rückfragen bleiben. Ich mag diese Art von Ineffizienz überhaupt nicht, zumal ich es gewohnt bin, am Telefon direkt nachzufassen. Da dann gleichzeitig noch das erfahrene Wissen der letzten Sekunden mitzustenografieren, ist Käse, auch wenn an dieser Stelle jetzt vermutlich eine Menge Journalisten aufschreien würden.

Nun drücke ich während einem Telefongespräch mit dem Fritzfon MT-D (funktioniert mit anderen Fritzfonen auch) auf die Menü-Taste und das Fritzfon fragt brav, ob mitgeschnitten werden darf:

Wird dies bestätigt, muss man nur noch auswählen, auf welchem Anrufbeantworter man aufzeichnen möchte (es gibt in der Fritzbox ja die Möglichkeit, mehrere Anrufbeantworter mit unterschiedlichen Zielen einzurichten) und schon läuft der Mitschnitt. Wird das Gespräch beendet, meldet die Fritzbox eine eingehende Nachricht auf dem Anrufbeantworter und der Mitschnitt ist auf diese Weise abhörbar. Und wer seinen Anrufbeantworter so eingerichtet hat, dass eingehende Nachrichten per E-Mail zugestellt werden, hat den Mitschnitt wenige Sekunden später auch in seiner Mailbox, komplett auch mit dem eigenem Geschwafel. So perfekt gelöst, es geht gar nicht perfekter.

• 

Auf dem PC tagsüber arbeiten und sich dann noch eben schnell Dateien, die ich auf dem Bauch liegend am Notebook fertigbearbeiten möchte, auf das Netzlaufwerk verschieben – Check! Oder Dateien, auf die ich auch von extern zugreifen möchte, auf das Netzlaufwerk legen und dann von unterwegs aus per VPN Verbindung zur Fritzbox herstellen und darüber dann auf das Netzlaufwerk zuzugreifen – Check! Es tut einfach und zwar per FTP, Secure FTP und auch per SMB, also dem, was man landläufig unter “Windows-Freigabe” versteht. Und auch einen Passwortschutz gibt es, wenn leider hier mit dem Manko, dass es nur einen einzigen Benutzer gibt. Das ist jedoch nur ein Mini-Problem, die Fritzbox ist ja auch nicht dazu da, ein Corporate Network abzudecken.

Flott ist flott, aber manchmal nicht flott genug.

Obgleich die NAS-Funktion problemlos funktioniert, darf man jedoch keine Geschwindigkeitsweltwunder erwarten. Bei meiner Fritzbox 7270 habe ich bei einem angesteckten USB-Stick (Corsair Voyager GT) eine durchschnittliche Schreibrate von 690 Kilobyte/Sekunde und eine Leserate von 840 Kilobyte/Sekunde. Das ist nicht schlecht für einen extrem multifunktionalen Router, aber natürlich weit davon entfernt, Geschwindigkeitsrekorde zu brechen. Mein PC ist mit der Fritzbox per Homeplug verbunden, das erreicht auf dieser Strecke durchschnittlich 10 Megabyte/Sekunde. Mein verwendeter USB-Stick hat eine Schreibrate von rund 20 Megabyte/Sekunde, ist also sicher auch nicht das Nadelöhr. Das ist hier in dieser Konstellation tatsächlich die Fritzbox, der man einen größeren Datentransport auch durchaus im Leistungsmonitor auf der Web-Oberfläche ansieht. (Besser soll es anscheinend mit der Fritzbox 7390 sein, die habe ich jedoch nicht und kann dazu auch nichts sagen.)

Für das Auslagern von Daten ist die NAS-Funktion der Fritzbox jedoch durchaus brauchbar, wenn man nicht gerade sehr große Dateien ständig zu verschieben hat. Und wenn man berücksichtigt, dass man mit dieser Lösung kein externes NAS-Gerät braucht, was zusätzlich Strom frisst, wird das alles schon sehr, sehr attraktiv.

Aus dem Besim-Labor: Fritzbox-NAS und Media Streaming.

Gleich vorweg: Alles, was ab hier negativ formuliert ist, rechne ich ausdrücklich nicht der ansonsten hervorragenden Fritzbox an. Die AVM-Leute können ja schließlich nichts dafür, dass ich gerne experimentiere.

Die NAS-Funktion der Fritzbox 7270 regt natürlich meine Phantasie an und in meiner Phantasie hätte ich gern meine Audiodatenbank zentral im Netzwerk, um darauf nicht nur mit meinem PC, sondern auch per Notebook und externen Media Playern zugreifen zu können. Ich habe zwar eine “echte” NAS mit zwei spiegelnden Festplatten, die auf diesem Weg 1 Terabyte Speicherplatz im Netzwerk bereitstellen, allerdings habe ich auch Energiespargründen diese NAS nicht ständig am Start. Selbst im Energiesparmodus ist mir der Spaß für Privatzwecke einfach zu kostspielig und reine Energieverschwendung.

Die Fritzbox 7270 liefert einen UPnP-fähigen Media Server in der aktuellen Firmware mit, der ist jedoch im jetzigen Zustand (März 2011) eher mau. Der Media Server lässt keine Einschränkung auf bestimmte Verzeichnisse zu und kann darüber hinaus nur MP3-Dateien indizieren. Da aber meine Mediathek aus AAC-Dateien besteht, ist der Media Server für mich unbrauchbar. Und ohne Media Server fällt schon mal die Möglichkeit flach, sich die Musik, die auf einem angeschlossenen NAS-Medium liegt, mit einem UPnP-fähigen Client streamen zu lassen.

Und da wird es jetzt zu einem Problem, denn wenn das Netzlaufwerk bzw. das NAS sich nicht selbst um die Musikverwaltung kümmern kann, muss das der Client selbst tun und das heißt, dass sehr viel Netzkommunikation laufen muss. Ein eigentliches Lied zu laden, ist dabei noch das geringste Problem, aber jeder Player will natürlich beim Aufbau einer Mediendatenbank die Informationen eines jeden Musikstücks lesen und laden. Und das heißt, dass mal eben die gesamte Mediendatenbank durch das Netz gezogen möchte – mit den obigen Datenübertragungsraten. Bei meinem Versuch habe ich nach zwei Stunden aufgegeben, weil iTunes für solche Zwecke absolut nicht zu gebrauchen ist, aber immerhin noch eine andere architektonische Baustelle aufzeigt: Musik, die auf externe MP3-Player möchte, muss ja auch über das Netzwerk bezogen werden. Das Befüllen eines großen MP3-Players, das ja auch auf normalem Wege gut und gern eine Stunde und mehr dauern kann, wird mit unserem kleinen Flaschenhals hier eine Wochenendaktion.

Test abgebrochen. Das Netzlaufwerk meiner Fritzbox macht also weiterhin brav und gut meinen Dateiaustausch, dient aber vorläufig nicht als Medienserver. Eine andere NAS-Lösung für mein “USB-Stick-Monster” mit seinen 64 Gigabyte Speicherkapazität bahnt sich jedoch an, dazu in den nächsten Tagen mehr. Das “Besim-Labor” hat also noch etwas vor.

• 

Auspacken

Wie immer hat AVM das Verpacken vollkommen im Griff. Der überflüssige Müll auf das absolut notwendigste beschränkt, die Verpackung weitgehend aus Pappe. Neben dem Mobilteil gibt es den Akku, den gut einrastenden Akkufachdeckel, eine Ladeschale, das Ladegerät und ein gedrucktes Handbüchlein. Kein Auspackorgien und kein eimerweiser Müll. Dass AVM mit Kampfpreisen kalkuliert, erkennt man allerdings daran, dass das MT-F zwar einen Anschluss für ein Headset mitbringt, aber kein selbiges beilegt. Das kann man bedauern, muss man allerdings nicht unbedingt, da Headsets nicht mehr die Welt kosten und eine normale “kleine Klinke” eingesetzt werden, wie sie beispielsweise auch das iPhone einsetzt.

Gehäuse

Das MT-F hat zudem praktischerweise genau die gleichen Gehäusedimensionen, wie das MT-D. Das ist insofern praktisch, da die alte Ladeschale damit auch mit dem MT-F funktioniert und das gilt sogar für das alte Netzteil, obwohl das MT-F mit einem Lithium-Ion-Akku daherkommt, während das MT-D noch einen Nickel-Metallhydrid-Akku nutzt. Beide Geräte können aber sowohl alte, als auch neue Ladeschale und Netzteil nutzen. Durchdacht.

Was auch weiterentwickelt wurde, ist das Gehäuse selbst. Während das MT-D noch mit glänzendem Kunststoff daherkamm, der schon nach wenigen Wochen aussah, wie eine zerkratzte Bratpfanne, ist das Gehäuse des MT-F matt. Zudem gibt es auf der Geräterückseite oben zwei deutlich erhabene Füße, die das Gehäuse nicht plan auf einer Oberfläche aufliegen lassen und die größten Kratzeffekte damit vermeiden. Kleine Details, die zeigen, dass man gelernt hat, denn dadurch wirkt das Mobilteil auch nach einigen Wochen Benutzung durchaus noch hochwertig.

Display

Was beim MT-F sofort auffällt, ist die “Glotze”, das Display. Kam das MT-D noch mit einem monochromen Display und einer Auflösung von 112 mal 65 Pixel daher, bringt das MT-F ein Farbdisplay mit 240 mal 320 Pixel mit. Und darauf lässt sich deutlich mehr unterbringen, was vor allem die Menüs und das Telefonbuch übersichtlicher erscheinen lässt. Einen Beitrag hierzu liefert die höherauflösende Schrift und ein Satz von hübschen Symbolen, die die bisherigen monochromen Piktogramme ersetzen. Tatsächlich hebt sich das MT-F mit seinem Display so ziemlich von allen gängigen DECT-Mobilteilen sehr locker ab.

Wobei… man hätte noch mehr daraus machen können. Zwar bietet nämlich das MT-F in den Einstellungen für das Display eine Hintergrundgrafik an, meint damit aber nur die eine Hintergrundgrafik, die auf dem Gerät fest hinterlegt ist – eine eigene Grafik lässt sich, zumindest mit jetzigem Versionsstand, nicht hinterlegen. Dafür profitiert das MT-F von Bildern von Anrufern, die auf der Fritzbox hinterlegt werden können und auf dem MT-F dann erscheinen, wenn der Anrufer anhand seiner Caller-ID bei einem eingehenden Anruf identifiziert werden kann. Fast wie auf einem vernünftigen Smartphone.

Klangqualität

Da gibt es nichts zu meckern, die Klangqualität ist “Superior” und misst sich mit dem, was jahrelang beispielsweise Siemens mit ihrer Gigaset-Serie als Messlatte hatte. DECT auf Fritzboxen hatte anfänglich mit ziemlichen Problemen gerade in tief verschachtelten Räumen zu kämpfen gehabt, in der Zwischenzeit hat AVM jedoch sowohl auf Fritzboxen, als auch auf Fritzfon-Geätschaften mit Software-Updates sehr stark nachgebessert, so dass schon mit meinem alten MT-D kaum noch Übertragungsfehler auftraten. Das MT-F führt diese Qualitätsverbesserungen nahtlos weiter.

Wo AVM wirklich die Nase vorn hat, ist das, was AVM “HD-Telefonie” nennt, also die optionale Nutzung eines anderen Codecs namens G.722, anstatt des im DECT üblichen G.726. Kommunizieren zwei Mobilteile miteinander, die beide G.722 können, resultiert dies in einer deutlich besseren Sprachqualität, die zwar immer noch in Mono daherkommt, allerdings viel nuancierter daherkommt und richtig Spaß macht. Wir sind als moderne Menschen in Sachen Telefonie zwar immer noch eine vergleichsweise schlechte Sprachqualität gewohnt, AVM zeigt aber mit G.722 sehr deutlich, was mit moderner Komprimierungstechnik auf normalen Übertragungswegen gehen könnte, wenn alle mitmachen würden.

Nutzt man also an einer DECT-fähigen Fritzbox nur Fritzfon-Geräte, kommt man bei internen Gesprächen immer in den Genuß von “HD-Telefonie” und das fällt wirklich auf.

Benutzung, Internet-Funktionen und ISDN-Komfortfunktionen

Die Benutzung ist AVM-typisch auf hohem Niveau und noch ein Tick besser, als beim MT-D. Die Menüreisen erfolgen angenehm flott und auch das Telefonbuch, das zentral auf der Fritzbox geführt wird, ist herrlich schnell und macht das Telefonieren zu einem echten Spaß. Lediglich die leider immer noch vorhandene “Gedenkpause” nach dem Beenden eines Gespräches ist immer noch da – nach Auflegen einer Verbindung braucht auch das MT-F etwa zehn Sekunden, bis ein neue Verbindung gewählt werden kann. Das sieht aber immer noch nach einem Thema aus, das vermutlich auf der Fritzbox existiert.

In Sachen Internet-Funktionen hat das MT-F alle Möglichkeiten geerbt, die neuere Fritzboxen auch schon mit dem MT-D ausliefern können – mehr auch nicht. Auf der Fritzbox können RSS-Feeds, Mailkonten und Internet-Radiosender ausgewählt und konfiguriert werden, die dann auch über das MT-F genutzt werden können. Gerade in Sachen Internet-Radio ist das in Verbindung mit einem Headset eine richtige Alternative zu einem tragbaren Radio, auch wenn man das Manko hinnehmen muss, dass das MT-F das Radio nur in Mono klingen lässt, selbst über ein Headset. Übertragen wird das alles nämlich nach wie vor über die DECT-Schnittstelle. Aber mal eben auf dem Ergometer mit dem MT-F Radio über einen Kopfhörer zu hören, das ist schon nicht ganz unpraktisch.

Die üblichen ISDN-Funktionen wie Halten, Makeln, Sperren und Rufweiterleitungen funktionieren selbstverständlich auch auf den DECT-fähigen Fritzboxen mit angebundenen DECT-Mobilteilen. Ärgerlicherweise sind jedoch Rufweiterleitungen immer noch nur über die Fritzbox konfigurierbar, immer noch nicht über angeschlossene DECT-Mobilteile. Das führt leider dazu, dass man für das Neuanlegen einer Rufweiterleitung im ungünstigsten Fall einen Rechner hochfahren muss, um damit über die Fritzbox-Konfiguration eine Rufweiterleitung einzurichten. Ich habe das mehrmals beim AVM-Support bemängelt, aber leider hat sich in diese Richtung immer noch nichts getan. Noch.

Update-Fähigkeit

“Noch” deshalb, weil AVM auch beim Fritzfon MT-F auf Software-Updates setzt, so wie bei allen Fritzboxen, die noch in Sachen Firmware gepflegt werden und regelmäßige Updates mit teilweise richtig hochwertigen Funktionserweiterungen erhalten. Diese vorbildliche Software-Pflege gilt auch für das Fritzfon MT-F, das regelmäßig mit neuen Fritzbox-Firmwares und -Labor-Firmwares ein eigenes Softwareupdate erhält. Kleines Manko hier ist, dass die Software für das MT-F deutlich größer ist, als die vom MT-D, aber das ist zu verschmerzen, da das Update vollkommen automatisch passiert, das Mobilteil danach automatisch neu startet und wieder einbucht.

Fazit zum Fritzfon MT-F

Ganz einfach gesagt: Das Fritzfon MT-F macht Spaß und ist endlich ein richtig gutes DECT-Mobilteil. Während das Fritzfon MT-D etwas unter seiner behäbigen Geschwindigkeit, seinem monochromen Display und seinem billig wirkenden Gehäuse leidet, hat das MT-F all diese Probleme nicht mehr. AVM hat wieder einmal sehr schön gezeigt, dass sie verstehen und lernen und das zeigt sich in deutlich ausgereiftere Produkte, eben wie das Fritzfon MT-F. Preislich bewegt es sich zwischen 65 und 90 Euro, was für ein erwachsenes DECT-Mobilteil mit großzügigem Display ein vernünftiger Preis ist.

Wer eine DECT-fähige Fritzbox wie die 7270 oder die 7390 hat, ist mit dem Fritzfon MT-F bestens bedient. Ich bin immerhin schon so weit, dass ich nun konkret überlege, meine bisherige Gigaset-Anlage, die noch parallel läuft, endgültig aufs Altenteil zu schicken und alles nur noch über meine Fritzbox 7270, meinen zwei AVM-Mobilteilen und ggf. noch ein, zwei alten Gigaset-Mobilteilen zu erledigen. Es tut!

• 

So weit, so gut. Was mit größeren Gerätschaften funktioniert, funktionierte jedoch nicht mit der Fritzbox. Zwar konnte ich über den VPN-Tunnel mein Netzwerk erreichen, jedoch keinen Datenverkehr ins Internet routen. Das blockte die Fritzbox ab und das ließ sich auch mit einigem Gefrickel in der Konfiguration nicht ändern.

Um es kurz zu machen: Nun geht es! Mit dem Firmware-Update vom September 2010 wurde die VPN-Funktionalität offenbar entsprechend angepasst, so dass nach einer kleinen Änderung der VPN-Konfigurationsdatei, die für den Import in die Fritzbox bestimmt ist, die Fritzbox als Secure Gateway für VPN-Verbindungen von einem iPhone (und natürlich auch einem iPad) genutzt werden kann. Hier mal alles Notwendige Schritt für Schritt.

Schon eine VPN-Konfiguration auf der Fritzbox?

Dann bitte Vorsicht walten lassen, denn wenn jetzt die neu erstellte VPN-Konfigurationsdatei hochgeladen wird, werden alle bestehenden VPN-Konfigurationen entfernt. Wenn also eine bestehende VPN-Konfiguration vorhanden ist und die auch noch benötigt wird, dann müssen beide VPN-Konfigurationen in einer Datei zusammengeführt werden. Hier sollte bitte das oben genannte Programm “FRITZ!Fernzugang einrichten” zum grundlegenden Aufbau der VPN-Konfiguration eingesetzt werden, damit die Verschachtelung der einzelnen Konfigurationen korrekt bleibt. Die notwendigen Änderungen für die VPN-Verbindung des iPhone lässt sich dann immer noch nachträglich hinzufügen.

VPN-Konfiguration auf der Fritzbox

Die Fritzbox hat nach wie vor auf ihrer Benutzeroberfläche keine eigene Einstellungsmöglichkeiten für VPN-Verbindungen, diese müssen also weiterhin als VPN-Konfigurationsdatei importiert werden. Solche VPN-Konfigurationsdateien können mit einem kostenlosen Programm namens “FRITZ!Fernzugang einrichten” (gibt es bei AVM im Download-Bereich) erstellt werden. Da wir jedoch für die VPN-Geschichte vom iPhone die so erstellte VPN-Konfigurationsdatei sowieso nochmal anpassen müssen, hier eine VPN-Konfigurationsdatei in ganzer Länge zum Herauskopieren und Anpassen. Ist zwar nicht schön formatiert, erfüllt aber seinen Zweck. Einfach den folgenden eingerückten Teil in einen Texteditor kopieren. Infos zu den rot markierten Bereichen gibt es weiter unten:

vpncfg {
connections {
enabled = yes;
conn_type = conntype_user;
name = "Accountname";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 192.168.178.202;
remoteid {
key_id = "Accountname";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "sharedsecret";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = yes;
use_cfgmode = no;
xauth {
valid = yes;
username = "Accountname";
passwd = "Kennwort";
}
phase2localid {
ipnet {
ipaddr = 0.0.0.0;
mask = 0.0.0.0;
}
}
phase2remoteid {
ipaddr = 192.168.178.202;
}
phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
accesslist =
"permit ip any 192.168.178.202 255.255.255.255";
}
}

Zu den rot markierten Bereichen:

• “name” und “key_id”
  Ein beliebiger Accountname, der in beiden Feldern gleich lauten muss. Keine komplizierten Sonderzeichen oder Leerschritte.
• “remote_virtualip” und “ipaddr”
  Das ist die virtuelle IP-Adresse, unter der das iPhone (bzw. der VPN-Client) später im lokalen Netzwerk der Fritzbox erscheinen wird. Wenn das LAN mit den Netzwerk-Standardeinstellungen betrieben wird, nutzt die Fritzbox das Netzwerk 192.168.178.x und für VPN-Clients IP-Adressen ab 201. (In diesem Fall habe ich jetzt die 192.168.178.202 ausgewählt, weil ich noch eine weitere VPN-Konfiguration nutze, die hier nicht aufgeführt ist.)
• “key”
  Hier ist der Shared Secret für die IPSec-Verschlüsselung einzutragen. Prinzipiell gehen hier auch Sonderzeichen, es genügt jedoch eine Zeichenfolge mit Groß- und Kleinbuchstaben, sowie Ziffern. Da dieses Shared Secret später auf dem VPN-Client auch nur einmal eingegeben werden muss, darf es gern länger sein, bei mir sind es 16 Stellen.
• “username” und “passwd”
  Das sind Benutzername und Passwort für die zusätzliche XAUTH-Authentifizierung. Hier empfehle ich für “username” den oben schon festgelegten Accountnamen, für “passwd” ist ein Passwort empfehlenswert, das nicht das Shared Secret ist und immerhin so aufgebaut sein sollte, dass man es sich einfach merken kann, da dieses Passwort bei jedem VPN-Verbindungsaufbau – zumindest auf dem iPhone – eingegeben werden muss.
• “accesslist”
  Die Zeile mit dem rot markierten Eintrag ist eminent wichtig dafür, wie der ausgehende Datenverkehr des VPN-Clients auf der Fritzbox behandelt werden soll. Hier ist wichtig, dass die rot markierte IP-Adresse genau die gleiche Adresse ist, wie weiter oben bei “remote_virtualip” und “ipaddr” angegeben.

Alles angepasst? Dann die Datei mit beliebigem Dateinamen und der Dateiendung “.cfg” abspeichern und diese Datei in die Fritzbox importieren. Das passiert in der Rubrik “Internet” unter “Freigaben” und dort in der Registerkarte “VPN”. Der Importvorgang dauert einige Sekunden und quittiert dann entweder mit einem erfolgreichen oder erfolglosen Import. Ist er erfolglos, stimmt mit ziemlicher Sicherheit etwas am Aufbau der VPN-Konfiguration nicht.

VPN-Konfiguration auf dem iPhone

Die VPN-Konfiguration auf dem iPhone ist weit weniger kompliziert, als es klingt. Zu finden ist sie in den Einstellungen unter “Allgemein”, dort unter “Netzwerk” und dort wiederum unter “VPN”. Hier auf “VPN hinzufügen” tippen und den Button “IPSec” wählen. Es erscheint folgendes Fenster:

Auch hier kurz die einzelnen Punkt ausführlich:

• Beschreibung
  Die Beschreibung kann frei gewählt werden und dient lediglich zur Kennzeichnung der VPN-Verbindung auf dem iPhone.
• Server
  Hier kommt die Adresse hinein, unter der die Fritzbox im Internet zu erreichen ist. Wer eine feste IP-Adresse hat, kann entweder die IP-Adresse oder den Hostnamen angeben. Wer keine feste IP-Adresse hat, kann sich mit einem DynDNS-Dienst behelfen.( Ich setze dyndns.org ein, die dazugehörigen Daten können bequem in der Fritzbox hinterlegt werden, so dass die Fritzbox selbstständig dafür sorgt, bei einem DSL-Verbindungsneuaufbau auch den DynDNS-Eintrag zu aktualisieren.)
• Account
  Hier kommt der Accountname ein, der oben in der VPN-Konfiguration festgelegt wurde.
• Kennwort
  Und hier eben das oben festgelegte Kennwort (nicht das Shared Secret!) hinein, wenn nicht bei jedem Verbindungsaufbau neu nach dem Kennwort für die Verbindung gefragt werden soll. Ich empfehle, das Kennwort hier nicht zu hinterlegen, so wie ich es immer bei mobilen Geräten handhaben würde, die VPN-Verbindungen in Netzwerke aufbauen können sollen, die nicht von einem eigenen Administrator, der im Ernstfall schnell die VPN-Konfigurationen deaktivieren kann, gehostet werden.
• Zertifikat verwenden
  Ausgeschaltet lassen, wir verwenden kein Zertifikat.
• Gruppenname
  Hier auch einfach den Accountnamen eintippen.
• Shared Secret
  Und hier kommt das Shared Secret hinein.
• Proxy
  Auf “Aus” gestellt lassen, wir verwenden keinen Proxy.

Das war es. Einstellungen sichern und gut.

VPN aufbauen

Das VPN lässt sich in den iPhone-Einstellungen mit dem nun neu eingeblendeten VPN-Schieber starten. Einfach den Schieber aktivieren und schon wird versucht, den Tunnel zu öffnen. Wird der Tunnel zur Fritzbox etabliert, erscheint nach einigen Sekunden die Passwortabfrage. Glückt diese, erscheint in der Infozeile des iPhone ein winziges VPN-Symbol, gleichzeitig ist auf der Benutzeroberfläche die nun aktive VPN-Verbindung zu sehen.

Wer ein Jailbreak-iPhone besitzt und das höchst empfehlenswerte Programmpaket SBSettings installiert hat, um damit einige grundlegende Funktionen des iPhone schnell zu aktivieren, kann in Cydia noch das zusätzliche Paket “SBSettings VPN Toggle” installieren, das dann einen zusätzlichen Button für das Aktivieren/Deaktivieren der VPN-Verbindung zu SBSettings hinzufügt. Komfortabler geht es dann kaum noch.

Die üblichen Hinweise, Fragen und Antworten

• iPad?
  Gute Nachricht: Funktioniert im Prinzip genau so, wie auf dem iPhone und ist auch genau so zu konfigurieren.
• VPN-Passwörter auf mobilen Geräten
  Wie oben kurz angerissen: VPN-Passwörter gehören nicht auf mobile Geräte, auch wenn diese Sperrfunktionen haben. Mit dem Shared Secret geht es nicht anders, das Passwort für die zusätzliche XAUTH-Authentifizierung muss man jedoch wirklich nicht auf dem iPhone hinterlegen, sondern gibt das bei jedem Verbindungsaufbau ein. Grundsicherungsmaßnahme.
• Absicherung der Fritzbox
  Ein paar Dinge müssen auch einfach hier klar sein. Die Fritzbox braucht ein vernünftiges Passwort, ein eingerichtetes WLAN-Netzwerk sollte verschlüsselt mit WPA2 und einem hinreichend langen Key arbeiten und wenn man die Fritzbox-Bedienoberfläche für Fernzugriffe aus dem Internet aktiviert, dann bitteschön SSL gesichert und mit gesondertem HTTP-Zugriffspasswort. Ein sicheres VPN lebt davon, dass sowohl Client, als auch Server gesichert sind.
• Ist der Tunnel sicher?
  IPSec ist grundsätzlich state-of-the-art und eine aktuelle und weit verbreitete VPN-Tunneltechnologie. Welche Algorithmen tatsächlich eingesetzt werden, habe ich aktuell nicht parat, es dürfte sich jedoch um grundsätzlich starke Verschlüsselung handeln, die noch mit einer zusätzlichen Benutzerauthentifizierung (“XAUTH”) ergänzt wird. In Sachen Tunnel gilt: Aufgebaut wird der immer nur zwischen Client und Server, also in diesem Fall zwischen iPhone und Fritzbox. Wenn also nicht gerade jemand eine Man-in-the-middle-Attacke fährt und beispielsweise den Endpunkt so manipuliert, dass dieser nicht auf der heimischen Fritzbox endet, sondern auf einem anderen Gerät, ist man also weitgehend sicher davor, dass der Tunnel von Dritten abgehört werden kann – wenn eben die Schlüssel hinreichend komplex sind.
• Kann man dem VPN-Client auf dem iPhone trauen?
  Das ist eine gute Frage. Pardon, kann ich nicht beantworten. Zum einen, weil ich kein Verschlüsselungsspezialist bin und zum anderen, weil die iOS-Software des iPhone/iPad nicht öffentlich zur Evaluation zur Verfügung steht. Dass “Cisco” draufsteht, ist zumindest ein Zeichen dafür, dass es sich nicht um ganz namenlose Software handelt und da viele Unternehmen auf Cisco-Router und -Software schwören, kann man sich zumindest ein Stück weit darauf verlassen, dass es nicht ganz so üble Software sein dürfte. Für Paranoiker gilt jedoch auch hier, dass sowohl Apple, als auch Cisco eben US-amerikanische Unternehmen sind.
• Performance und Stromverbrauch
  Die Performance der Fritzbox ist für VPN-Verbindungen ausreichend, selbst mehrere VPN-Verbindungen bedient meine Fritzbox 7270 problemlos. Da sie eine ADSL-Fritzbox ist, ist die Limitierung des ADSL-Anschlusses vermutlich schneller erreicht, als die VPN-Verschlüsselungsperformance. Auf dem iPhone gilt das grundsätzlich auch, nur ist hier zu beachten, dass alles, was zusätzliche Performance braucht, Energie verbraucht und die muss man sich auf einem iPhone immer gut einteilen. Es macht also Sinn, das VPN immer dann einzusetzen, wenn man es auch zwingend braucht und das ist immer dann der Fall, wenn ein drahtloses Netzwerk unverschlüsselt sendet und die zu übertragene Kommunikation das ebenfalls ist. Nutzt man über das iPhone beispielsweise SSL-gesichertes Banking oder Mailkonten auf Basis von ActiveSync oder verschlüsseltem IMAP, dann sind diese Kommunikationskanäle bereits verschlüsselt. Ebenso unproblematisch ist so Kommunikation wie beispielsweise der eingebauten Wetter-App, die niemand wirklich verschlüsselt braucht. Sinnvoll ist VPN-Verschlüsselung spätestens dann, wenn Apps über API auf Dienste zugreifen und hier befürchtet werden muss, dass dies nicht über HTTPS gesichert läuft. Kaum eine Social-Networking-App tut das nämlich oder bietet hierzu Optionen an. Spätestens hier ist der VPN-Tunnel gefragt und die investierte Energie eine gute Anlage.

• 

Die wichtigsten Neuerungen ergeben schon eine richtig lange Liste:

• Neue, schnellere Bedienoberfläche, die nun endlich auch gut mit Mobilbrowsern funktioniert
• IPv6-Unterstützung, die bisher nur in Labor-Firmwares geboten wurde
• Starke Verbesserungen in der NAS-Funktion, u.a. Verbesserungen bei der Zahl von zulässigen USB-Geräten und Verbesserungen an der UPnP-Unterstützung. Zudem endlich auch Fernzugriff per FTP Secure
• Unterstützung von DNSsec
• Deutliche Verbesserungen in der DECT-Unterstützung, vor allem im DECT Eco-Mode
• Möglichkeit zur Einrichtung eines temporär aktivierbaren WLAN-Gastzugangs mit eigener SSID und Key
• Die Nachtschaltung für das WLAN kann erheblich genauer eingestellt werden
• Kindersicherung kann deutlich feiner mit Zeitplänen konfiguriert werden
• Deutlich verbesserte Benutzerführung im Zusammenhang mit AVM-DECT-Mobilteilen

Alles in allem ein sehr umfangreiches Update, das die Fritzbox 7270 mit vielen neuen Funktionen ausstattet, weshalb das Update eine absolut gute Empfehlung ist. Deshalb einfach in der Fritzbox das Update starten und drauf damit.

Und tatsächlich hat AVM auch ein paar kleine Goodies versteckt, unter anderem nämlich endlich die Möglichkeit, die Fritzbox als Secure Gateway für VPN-Verbindungen zu nutzen. Damit wird es nun endlich möglich, per Mobiltelefon einen IPSec-VPN-Tunnel zur Fritzbox aufzubauen und über diesen Tunnel den vollständigen Datenverkehr des Mobiltelefones über die Fritzbox ins Internet zu führen. Damit ist nun auch die Nutzung von offenen WLAN-Netzwerken kein Sicherheitsproblem mehr. Eine ausführliche Anleitung hierzu folgt demnächst.

• 

AVM hat in seinem VPN-Portal seit neuestem auch eine Anleitung, wie ein iPhone mit seinen eingebauten VPN-Client-Funktionalitäten Kontakt zu einer Fritzbox über das Internet aufnehmen kann. Die ansehnliche Dokumentation, die allerdings eher etwas für Insider ist, führt auch zu einem funktionierenden VPN, das allerdings einen Nachteil hat:

Es lassen sich Rechner im LAN, das hinter der Fritzbox liegt, ansprechen und mit ihnen kommunizieren, die Fritzbox lässt sich jedoch nicht als “Secure Gateway” für einen sicheren Internet-Zugang einsetzen, jedenfalls ist mir das nach Stunden Gefrickel nicht gelungen. Der IPSec-Tunnel lässt sich mit der XAUTH-Authentifizierung problemlos aufbauen, ich kann dann per Safari auch die Website der Fritzbox über die interne IP-Adresse ansprechen und per Remote-Desktop-Client auch Verbindung zu meinem PC aufnehmen, aber ins Internet kommt das iPhone nicht mehr, so lange der Tunnel aufgebaut ist; Websites “draußen” im Internet sind nicht erreichbar.

Mit allerlei Schmuddelwerkzeug (aus Sicht von Apple) habe ich auf dem iPhone die Routing-Tabellen eingesehen, dasselbige per Telnet auf der Fritzbox – keine Beanstandungen. Die notwendigen Routing-Einträge sind an sich alle da, das iPhone weiß bei bestehender VPN-Verbindung, dass “0.0.0.0″ (also quasi alles) über den VPN-Tunnel zu finden ist und die Fritzbox weiß, dass “0.0.0.0″ auf das DSL-Interface zu schaufeln ist und kennt auch den Rückweg zum iPhone. Schade. Ich habe nach wie vor den Eindruck, dass das eigentlich gehen müsste.

So, und jetzt muss ich erst mal mein iPhone wieder in den Urzustand bringen. Ich habe es exzessiv als “Laborgerät” missbraucht und mit allerlei Analysewerkzeugen vollgedonnert, so dass es derzeit keinesfalls “straßentauglich” ist. Es ist aber erstaunlich, dass man mit dem iPhone problemlos telefonieren kann, während man in einer SSH-Sitzung nebenbei auf dem Gerät per VPN verbunden Netzwerkanalyse betreibt. Es ist nach wie vor ein Jammer, wenn man sieht, wie die Power dieses Gerätes (nämlich das Multitasking) gar nicht bzw. ab iPhone-OS 4.0 nur sehr zögerlich offiziell eingesetzt wird.

• 

Die Vorabversion zeigt aber nun sehr anschaulich, was in das nächste offizielle Update kommen wird:

• Erweiterungen in Sachen USB und NAS
  Unter einer einheitlichen Adresse wird die Fritzbox einen angeschlossenen USB-Speicher als Network Attached Storage bereithalten, der, und das ist der Clou, auch per geschütztem FTP-Zugang nach außen hin geöffnet werden kann. Mit einer angeschlossenen USB-Festplatte ist ein Mediaserver oder schlicht ein Netzwerkspeicher nun also überhaupt kein Problem mehr. Ein integrierter Browser sorgt auf der Fritzbox-Oberfläche auch noch für ein bequemes Hochladen.
• Funktionserweiterungen der DECT-Telefonie
  An der DECT-Basis-Funktionalität wurde ebenfalls geschraubt, die AVM-DECT-Mobilteile MT-D und MT-F bekommen ebenfalls Firmware-Updates und danken das mit einer erheblich verbesserten Klangqualität und das auch im Eco-Mode und bei Grenzreichweiten. Zwar kommen die Mobilteile bei grenzwertigen Reichweiten immer noch nicht an der überlegenen Gesprächsqualität von Gigaset-Gerätschaften heran, aber die “Knack-Rate” ist schon deutlich gesunken. So Leute wie ich, die während dem Telefonieren gern durchs Haus laufen, wissen das zu schätzen.
• Endlich eine offizielle IPv6-Unterstützung
  Die nun offizielle IPv6-Unterstützung, das Internet-Protokoll der Zukunft, ist nun endlich da und auch schon einige Jahre überfällig, denn eine Beta-Firmware gab es schon einige Jahre, es gab aber von Seiten von AVM bisher leider nie ein Commitment dafür, wann denn eine offizielle IPv6-Unterstützung zu erwarten ist. Das passiert nun wohl endlich. Die IPv6-Optionen sind, je nach vorhandenem Zugang, entweder nativ oder mit einem IPv6-Tunnelprovider. Erschöpfende Dokumentation dazu wird es, so wie ich AVM kenne, demnächst im Supportbereich der Fritzbox 7270 geben.

• 

Das funktioniert zuverlässig auch dann, wenn der PC im Ruhezustand (Hibernation) ist, nicht aber, wenn er im Energiesparmodus schlummert. Und das hat auch einen einfachen Grund: Im Energiesparmodus ist der PC nicht wirklich ausgeschaltet und damit ist auch das BIOS nicht mehr im Spiel. “Wake on LAN” funktioniert also nicht, weil nicht das BIOS auf der Netzwerkschnittstelle hört, sondern das Betriebssystem. Schickt man also einen Rechner ferngesteuert nach dem Einsatz nicht in den finalen Schlaf oder in den Ruhezustand, sondern in den Energiesparmodus, dann bringt man ihn unter Umständen in eine Sackgasse, aus dem er nur direkt an der Konsole wieder erweckt werden kann.

Um den PC auch im Energiesparmodus ferngesteuert wieder hochfahren zu können, ist also eine Einstellung im Betriebssystem gefragt. Und die bringt, wie alle anderen Betriebssysteme auch, die Energieeinstellungen der Netzwerkkarte mit – wenn die Netzwerkkarte das unterstützt, was aber alle moderneren Karten und direkt auf Mainboards verbauten Module tun. Unter Windows also ab in den Gerätemanager (Rechte Maustaste auf “Computer”, dort auf “Eigenschaften”, dann links auf “Geräte-Manager”).

Im Geräte-Manager gibt es dann unter “Netzwerkadapter” alle im System verfügbaren Netzwerkkarten, bei den meisten Rechnern wird das eine einzige sein. Ein Doppelklick darauf und schon erscheinen die Eigenschaften ebendieser. Auf der Registerkarte “Energieverwaltung” gibt es dann die gewünschten Optionen:

Die erste Option ist für uns uninteressant und kann angehakt bleiben, denn wenn jemand ferngesteuert auf dem PC ist, ist tatsächlich auch die Netzwerkkarte in Betrieb und der PC wird diese nicht ausschalten. Die zweite Option ist standardmäßig nicht aktiviert, die wollen wir aber nun aktivieren, denn das ist genau die gesuchte Funktion. Mit dieser Einstellung wird PC dann tatsächlich aus dem Energiesparmodus wieder starten, wenn auf der Netzwerkschnittstelle Pakete empfangen werden.

Damit das nicht bei jedem empfangenen Paket passiert, sollte unbedingt auch noch die dritte Funktion aktiviert werden, damit nur “Verwaltungsstationen” den PC starten können. Die Fritzbox beherrscht das.

Alles im OK bestätigen und fertig.

• 

Seit genau neun Monaten mache ich nun schon mit der Fritzbox herum, endlich einmal ein VPN zu bewerkstelligen, so dass ich von “draußen” mit meinem Notebook und einem vernünftigen IPSec-abgesicherten VPN-Tunnel in mein Netz zu Hause zugreifen kann. Während ich an sich alle notwendigen Zutaten hatte, scheiterte es daran, dass die Dokumentation der VPN-Funktionalität leider nicht sehr gut und ich jedes Mal nach mehreren Stunden schlicht aufgegeben habe. Jetzt aber tut es, hier eine Anleitung:

1. Der wichtigste Punkt ist die Klärung, wie die Fritzbox aus dem Internet erreicht werden kann. Ist man bei einem besseren DSL-Anbieter, gibt es eine feste IP-Adresse, bei den Discountern gibt es IP-Adressen mitunter nur dynamisch zugewiesen. Hier muss man sich mit einem Dyn-DNS-Dienst wie beispielsweise “dyndns.org” behelfen. In aktuellen Firmware-Versionen unterstützt die Fritzbox Dyn-DNS-Dienste aktiv, die Einstellungen finden sich unter “Einstellungen”, dort unter “Internet”, “Freigaben” und der Registerkarte “Dynamic DNS”. Wer also von seinem DSL-Anbieter nur eine dynamische IP-Adresse bekommt, kümmert sich erst einmal um dieses Thema.
2. Nun die Firmware der Fritzbox aktualisieren, falls noch nicht aktuell. VPN-Funktionalität gibt es für die Fritzboxen 7270, 7170, 7240, 3270, 2170 und höchstwahrscheinlich auch in zukünftigen Fritzboxen. Die aktuellen Firmware-Version gibt es entweder durch das Servicemenü der eigenen Fritzbox oder auch über das AVM-VPN-Portal.
3. Als nächstes muss ein VPN-Zugangsprofil eingerichtet werden. Das kann man leider nicht direkt über die Fritzbox eingeben, sondern braucht dazu ein Programm namens “FRITZ!Fernzugang einrichten”. Das Windows-Programm herunterladen, installieren und ausführen. Mit diesem Programm werden dann einige Netzwerkparameter abgefragt, die angegeben werden müssen. Darunter unter anderem das verwendete IP-Adressnetz im LAN und die IP-Adresse bzw. den Hostnamen (bzw. auch den DNS-Namen über einen Dyn-DNS-Dienst).
4. Das Programm aus dem obigen Punkt erzeugt zwei Dateien, die man abspeichern sollte. Die Datei, die mit “fritzbox” beginnt, enthält die VPN-Einstellungen, die nun in die Fritzbox importiert werden müssen. Dazu in das Servicemenü der Fritzbox einloggen und im Startmenü auf “Fernzugang (VPN) klicken. Dort lässt sich nun das Profil auf dem lokalen Rechner auswählen und importieren. Ist der Import erfolgreich gewesen, erscheint das Profil unter “VPN-Verbindungen”.
5. Nun kümmern wir uns um den VPN-Client. Hat man ein 32-Bit-Windows, kann man getrost den AVM-eigenen VPN-Client nutzen, der vor allem die hübsche Annehmlichkeit mitbringt, dass der sehr einfach mit der anderen Datei konfiguriert werden kann, der unter Punkt 3/4 eingerichtet wurde. Also den Client installieren, Konfigurationsdatei importieren und loslegen. Sie haben ein 64-Bit-Windows? Nächster Punkt…
6. Dummerweise gibt es den AVM-eigenen VPN-Client nicht für 64-Bit-Windows-Versionen. Die 32-Bit-Version lässt sich nicht installieren und eine Anfrage an den AVM-Support kann man sich in der Sache auch sparen. Netterweise gibt es aber im Dickicht der vielen IPSec-Clients, die teilweise richtig viel Geld kosten, eine lohnenswerte Ausnahme: der Shrewsoft VPN Client. Den bekommt man auf der Shrewsoft-Download-Seite. Ich habe übrigens den letzten Release Candidate der zukünftigen Version 2.1.5 genommen, der ist schon hinreichend stabil.
7. Wer den Shrewsoft VPN-Client installiert hat, braucht jetzt nur noch eine Anleitung und die findet sich freundlicherweise auch auf dem AVM-VPN-Portal, hübsch mit Screenshots bebildert: Shrew Soft VPN Connect zur Fritzbox
8. Ergebnis: Funktioniert. Auf Anhieb.

• 

Was der Surfstick dann aber dort macht? Er gaukelt dem Gerät vor, dass er ein USB-Speicherstick sei und leitet die Zugriffe dann über die Fritzbox an einen konfigurierbaren Ort auf einem Rechner weiter, dort dann beispielsweise in ein Verzeichnis mit Bildern. Die Idee dahinter ist, auf diese Weise Gerätschaften netzwerkfähig zu machen, die gar keinen Netzwerkanschluss mitbringen.

Beispielhafter Anwendungszweck: Man hat einen digitalen Bilderrahmen, der einen USB-Anschluss besitzt. An den wird der Surfstick angeschlossen, der so konfiguriert ist, dass er die Dateizugriffe des Bilderrahmens an die Fritzbox weiterleitet und die dann wiederum an einen Rechner, auf dem ein Verzeichnis entsprechend freigegeben ist und die anzuzeigenden Bilder enthält.

Aus dem White Paper wird leider nicht klar, ob alle AVM Surfsticks funktionieren. Denn wenn das so wäre, wäre man (wenn man schon eine Fritzbox 7270 besitzt) mit rund 40 Euro für den günstigsten Surfstick dabei.

•