Android VPN - DNS geht nicht über VPN

[Franz (Gast)]

Hallo,

ich benutze Strongswan auf dem Server und als Client ein Android-Gerät. 
Mit ist aufgefallen das die DNS-Anfragen nicht über den VPN-Tunnel 
laufen, sondern im Klartext gesendet werden. Ist das normal???


Danke.

[Gerd E. (robberknight)]

Franz schrieb:
> ich benutze Strongswan auf dem Server und als Client ein Android-Gerät.
> Mit ist aufgefallen das die DNS-Anfragen nicht über den VPN-Tunnel
> laufen, sondern im Klartext gesendet werden. Ist das normal???

Was hast Du denn in der ipsec.sql-Datenbank vom Strongswan eingestellt? 
Übermittelst Du da einen DNS-Server in dem VPN-Bereich?

Was für nen Android-Gerät und Android-Version verwendest Du? Ich habe 
durchaus schon einige Android-Hersteller gesehen, die den VPN-Code 
"verhunzen".

[Franz (Gast)]

Hallo,

Gerd E. schrieb:
> Was für nen Android-Gerät und Android-Version verwendest Du? Ich habe
> durchaus schon einige Android-Hersteller gesehen, die den VPN-Code
> "verhunzen".

Ich benutze ein ACER mit der Android Version 4.1.1.

> Was hast Du denn in der ipsec.sql-Datenbank vom Strongswan eingestellt?
> Übermittelst Du da einen DNS-Server in dem VPN-Bereich?

Danke für den Tipp. Das Gerät bekommt bei einer Interneteinwahl eine 
IP+DNS aus Adressbereich A. Per VPN bekommt es dann eine virtuelle IP 
aus Adressbereich B. Mein Problem war, das der DNS-Server noch im 
Adressbereich A lag, und nicht über den VPN-Tunnel geroutet wurde. Über 
das ATTR-Plugin von Strongswan gibt es jetzt einen DNS aus Adressbereich 
B und es funktioniert.

Trotzdem ist das alles Spielerei. Bei der Interneteinwahl wird der 
VPN-Tunnel nicht automatisch aufgebaut und alle Programme bauen erstmal 
wie wild eine Verbindung ohne VPN auf. Fail by Design.

[Gerd E. (robberknight)]

Franz schrieb:
> Trotzdem ist das alles Spielerei. Bei der Interneteinwahl wird der
> VPN-Tunnel nicht automatisch aufgebaut und alle Programme bauen erstmal
> wie wild eine Verbindung ohne VPN auf. Fail by Design.

Die Frage ist doch was Du mit dem VPN erreichen möchtest:

a) Traust Du dem Zugangsanbieter nicht und möchtest statt dessen 
jeglichen Datenverkehr über den VPN-Tunnel zu einem vertrauenswürdigeren 
Anbieter leiten?

b) Du möchtest für bestimmte Dienste auf ein geschütztes LAN zugreifen 
und verwendest dafür VPN.

Google hat sich hier auf den Usecase b) konzentriert.

Wenn Du den Usecase b) sinnvoll umsetzen willst, darf das VPN nur nach 
Eingabe eines Passworts geöffnet werden. Das Kollidiert mit dem von Dir 
geforderten automatischen Aufbau.

Wenn Du ein Smartphone wirksam vor dem Netzanbieter schützen willst, 
musst Du einigen Aufwand mehr betreiben als nur allen Datenverkehr durch 
ein VPN zu bringen. Such mal z.B. nach Publikationen von Harald Welte zu 
den Möglichkeiten über netzseitige GSM-Steuerbefehle das Verhalten von 
Mobiltelefonen zu beeinflussen.

Wenn Du root hast, kannst Du über iptables übrigens ganz einfach selbst 
dafür sorgen daß Datenverkehr nur übers VPN laufen kann.