VPN aus China.

Der kleine VPN-Secure-Gateway-Erfahrungsbericht von heute hat natürlich einen Hintergrund. Es ist sozusagen ein langgehegter Sysadmin-Wunsch in Erfüllung gegangen, in dem meine Schwester, die zur Zeit im Fernen Osten weilt, in Shanghai aufgeschlagen ist und auf ihrem iPhone keinen Zugriff auf Facebook mehr hatte. Tja, so erlebt man als Bürger eines westlichen Staates die staatliche Reglementierung der öffentlichen Meinung am eigenen Leib.

Über normale Wege hilft da nichts, denn die Blockierung von Websites erfolgt im Falle von Facebook offensichtlich durch die Blockierung der von Facebook verwendeten IP-Adressen. Da hilft dann auch kein SSL, denn wenn man eine IP-Adresse erst gar nicht erreichen kann, hilft da auch die beste Verschlüsselung nicht. Also musste gestern mal wieder auf bewährte Weise meine Fritzbox ran, die ja eben VPN-Funktionalitäten mitbringt und mit dem VPN-Client des iPhone auch ganz gut harmoniert.

Zugang auf der Fritzbox eingerichtet, meiner Schwester die Daten zukommen lassen (und natürlich das Passwort nicht in Klartext, wir sind ja paranoid!). Und schon beim zweiten Anlauf funktionierte der VPN-Tunnel anstandslos, was sehr schön am Homescreen zu erkennen ist (man achte auf das kleine VPN-Symbol in der Informationsleiste):

IPSec bzw. Internet-Key-Exchange (IKE) laufen standardmäßig über UDP-Port 500 und der scheint auch tatsächlich nicht gesperrt zu sein von der IP-Adresse aus, von der meine Schwester ins Internet hineinstolpert (China Telecom).

Der Weg aller Daten ist nun folgender: Ist der VPN-Tunnel etabliert, wandern alle Daten, die das iPhone ins Internet abkippen möchte, nicht direkt ins Internet, sondern über den VPN-Tunnel an das andere Ende, das bei mir auf der Fritzbox hier in Deutschland liegt. Von hier aus geht der Verkehr also dann ins Internet und nimmt auch den umgekehrten Weg zurück. Der Zugriff auf Facebook geht also von China nach Deutschland und von hier aus zu Facebook (vermutlich nach Irland) und den gleichen Weg wieder zurück. Der Roundtrip dauert, wenn ich die Ping-Zeiten grob zusammenaddiere, ungefähr 1,5 Sekunden. Schöne neue Welt. Am faszinierendsten finden das übrigens unsere Eltern, für die so eine Story der Sicherstellung der interfamiliären Kommunikation auf IP-Transportebene schon eine fast schon magische Geschichte sein dürfte.