Novell OES Linux paedml Novell für schulische Netzwerke

Transkript

1 Novell OES Linux paedml Novell für schulische Netzwerke Installationsanleitung: Einrichtung des Fernzugriffs zur Ferndiagnose (paedml Standard-Paket) und Fernwartung (paedml Plus-Paket) für die paedml Novell 3.0.x Stand:

2 Impressum Herausgeber Landesmedienzentrum Baden-Württemberg (LMZ) Support-Netz Rotenbergstr Stuttgart Autoren der Zentralen Expertengruppe Netze (ZEN), Support-Netz, LMZ Soo-Dong Kim Peter Klein Endredaktion Doreen Schlegel Weitere Informationen Veröffentlicht: 2009 Landesmedienzentrum Baden-Württemberg

3 Inhaltsverzeichnis 0. Inhaltsverzeichnis 0. Inhaltsverzeichnis 1 1. Einführung Begriffsklärung: Ferndiagnose, Fernwartung und Fernzugriff Voraussetzungen Voraussetzungen für die Ferndiagnose Voraussetzungen für die Fernwartung Internetanbindung Statische IP-Adresse Dynamische IP-Adresse Allgemeines zu Dynamischem DNS Einrichtung eines DynDNS-Accounts Einrichtung eines DynDNS-Hostnames 8 2. Einrichten des Fernzugriffs für die Hotline Einrichten von Benutzerkonten Remoteadmin für die Diagnose und Wartung des Servers und Novell spezifische Dienste einrichten Remoteadmin für den VPN-Zugang Benutzer remoteadmin einrichten Benutzerportal aktivieren SSL-VPN aktivieren Firewall-Regeln anpassen Regeln für SSH einrichten Regeln für VPN einrichten Regeln für RDP (Remote Desktop Protocol) einrichten Sicherheitseinstellungen für RDP Weitere Vorgehensweise Anhang Links Astaro aktualisieren 26 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

4 1 Einführung 1. Einführung 1.1. Begriffsklärung: Ferndiagnose, Fernwartung und Fernzugriff Im Rahmen der neuen paedml Leistungspakete bietet das Support-Netz am Landesmedienzentrum Baden-Württemberg die Dienstleistungen Ferndiagnose (paedml Standard-Paket) sowie Fernwartung (paedml Plus-Paket) an. Damit Sie diese Dienste in Anspruch nehmen können, müssen zuerst die technisch notwendigen Voraussetzungen auf Ihrem System geschaffen werden. Dies sind in beiden Fällen ein eingerichteter VPN-Zugang auf dem Musterlösungs-Server sowie ein entsprechend eingerichtetes Benutzerkonto für den Fernzugriff durch die Hotline des Support-Netzes. Die vorliegende Anleitung führt schrittweise durch den Installationsprozess und richtet sich an EDV-Fachbetriebe sowie erfahrene Netzwerkberater. Die vorgenannten Begriffe Ferndiagnose, Fernwartung sowie Fernzugriff sind in diesem Kontext wie folgt definiert: Ein Fernzugriff bezeichnet das durch den Kunden autorisierte Aufschalten eines Hotline-Mitarbeiters des Support-Netzes auf ein Kundensystem mittels einer abgesicherten Netzwerkverbindung über das Internet. Die Ferndiagnose bezeichnet einen ausschließlich lesenden Zugriff durch die Support-Netz-Hotline auf das Kundensystem zum Zwecke einer Fehleranalyse. Die Ferndiagnose ist hierbei immer problembezogen, das heißt sie wird vom Kunden durch eine Störungsmeldung initiiert und dann von der Hotline bei Bedarf zur Diagnose des Problems durchgeführt. Für die Ferndiagnose ist ein eingerichteter Fernzugriff Voraussetzung. Wie die Einrichtung erfolgt wird im Kapitel 2 dieser Anleitung erläutert. Die Ferndiagnose ist ein optionaler Bestandteil des paedml Standard-Paketes und kann über das paedml Anmeldeformular zugebucht werden. Die Fernwartung stellt den schreibenden oder verändernden Zugriff auf das Kundensystem durch die Hotline des Support-Netzes dar. Für die Fernwartung ist ein eingerichteter Fernzugriff Voraussetzung. Dadurch kann die Hotline im Fehlerfall nach Absprache mit dem Kunden selbständig die Ursache eines Problems beheben und ist nicht zwingend auf die Anwesenheit eines Netzwerkberaters angewiesen. Die Fernwartung kann nur von Kunden in Anspruch genommen werden, die das paedml Plus-Paket gebucht haben. 2 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

5 Einführung 1.2. Voraussetzungen Voraussetzungen für die Ferndiagnose - Verwendung des Serverbetriebssystems Netware 6 SP4 oder höher (Musterlösung 2.6 und 2.7) - Verwendung des Serverbetriebssystems Novell Open Enterprise Server (paedml Novell 3.0.x) - Musterlösungskonforme Installation der Server - Konfigurierter Fernzugriff laut Kapitel 2 dieser Anleitung - Statische IP-Adresse oder im Falle einer dynamischen IP-Adresse einen konfigurierten DynDNS-Alias für Ihren Server - ständige Internetverbindung - externer Router - Buchung des paedml Standard-Paketes mit Option Ferndiagnose Voraussetzungen für die Fernwartung - Verwendung des Serverbetriebssystems Netware 6 SP4 oder höher (Musterlösung 2.6 und 2.7) - Verwendung des Serverbetriebssystems Novell Open Enterprise Server (paedml Novell 3.0.x) - Musterlösungskonforme Installation des Servers - Konfigurierter Fernzugriff laut Kapitel 2 dieser Anleitung - Statische IP-Adresse oder im Falle einer dynamischen IP-Adresse einen konfigurierten DynDNS-Alias für Ihren Server - ständige Internetverbindung - externer Router - Buchung des paedml Plus-Paketes - vorhandene Backup-Lösung 1.3. Internetanbindung Die Einrichtung der technischen Voraussetzungen zur Durchführung eines Fernzugriffs ist grundsätzlich für die beiden nachfolgend genannten Internet-Anbindungsarten möglich: 1) Permanente Internetanbindung über Statische IP-Adresse (z.b. durch Provider BelWü ) => im Folgenden kurz Statische IP-Adresse genannt. 2) Permanente Internetanbindung über Dynamische IP-Adresse (z.b. Telekom DSL-Flatrate) => im Folgenden kurz Dynamische IP-Adresse genannt. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

6 1 Einführung Statische IP-Adresse Ist Ihr paedml-firewall-server mit der externen Netzwerkkarte über eine statische IP-Adresse direkt an das Internet angebunden, so müssen Sie bei Ihrem ISP (Internet Service Provider) eingehende Verbindungen für die nachfolgend genannten Protokolle und Ports für Ihre externe IP-Adresse (sogenannte Public IP ) freischalten lassen: - TCP an Port TCP an Port TCP an Port Die Freischaltung des. Protokolls beziehungsweise.ports ist erforderlich, um die Herstellung von VPNbeziehungsweise Remote-Desktop-Verbindung oder die Hertstellung einer SSH-Verbindung zu Ihrem Server zu ermöglichen. Die nächsten drei Abschnitte zu den Themen dynamische IP-Adressen und DynDNS können Sie überspringen, wenn Ihre Firewall über eine statische IP-Adresse an das Internet angebunden ist. In diesem Falle fahren Sie bitte direkt mit der Bearbeitung des Kapitels 2 Einrichten des Fernzugriffs für die Hotline fort Dynamische IP-Adresse Ist Ihr paedml-server beispielsweise über eine Telekom-DSL-Flatrate mit dem Internet verbunden, so bekommt er in regelmäßigen Zeitabständen (spätestens über Nacht) zwangsweise dynamisch eine neue IP-Adresse von Ihrem Provider zugeteilt. Ihre Musterlösungsinstallation könnte somit nicht konstant über eine gleichbleibende Adresse von außen angesprochen werden. Somit würde ein Fernzugriff durch die Hotline des Support-Netzes nicht zuverlässig funktionieren, da diese vom Wechsel Ihrer IP-Adresse nichts mitbekommen würde. Dieser Umstand lässt sich durch Registrierung eines Dynamischen DNS-Namen (DynDNS-Alias) beheben (siehe nächster Abschnitt). Hinweise zur Konfiguration des Routers: Da Ihre Firewall mit der externen Netzwerkkarte in der Regel. über einen DSL-Router an das Internet angebunden sein wird, müssen Sie an diesem Router eine Portfreigabe (Port-Forwarding) für eingehende Verbindungen über die Ports 50443, und TCP einrichten. Dies ist notwendig, um den Server über den Router erreichbar zu machen. Bei einem Linksys-Router sehen die Einstellungen für die Portfreigaben wie folgt aus: 4 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

7 Einführung Allgemeines zu Dynamischem DNS Über diese Technologie ist es möglich, einen Rechner trotz dynamisch wechselnder IP-Adressen über einen gleichbleibenden Klartextnamen (DynDNS-Alias) über das Internet erreichbar zu halten. Streng technisch gesprochen handelt es sich hierbei um die Einrichtung einer DNS-Zone mit sehr kurzer TTL (Time To Live)-Zeit, weitere Infos hierzu finden Sie unter bei Wikipedia. Heutzutage gibt es einige Anbieter im Netz, bei denen man sich kostenlos einen dynamischen DNS- Namen für seinen Rechner reservieren lassen kann. Einer der bekanntesten Anbieter eines solchen Dienstes ist derzeit DynDNS.org. Hier kann man sich beispielsweise für seinen Server einen dynamischen DNS-Namen wie Mein-paedML-Server.dyndns.org einrichten. Damit die Maschine auch tatsächlich trotz IP-Wechsel über diesen Namen konstant erreichbar bleibt, muss die Zuordnung dieses DNS-Namens zu der aktuellen dynamischen IP-Adresse ständig aktuell gehalten werden. Um dies zu erreichen, muss auf dem betreffenden Server ein Update-Client (sogenannter DynDNS-Client) installiert werden, der im Falle eines IP-Wechsels die aktuelle IP-Adresse an DynDNS.org übermittelt. Weitere Details zur Einrichtung eines dynamischen DNS-Namens am Beispiel DynDNS.org finden Sie in den beiden nachfolgenden Abschnitten Einrichtung eines DynDNS-Accounts Um bei DynDNS.org einen DNS-Namen für Ihren Server registrieren zu können, müssen Sie sich zunächst über die Website des Anbieters einen sogenannten Account anlegen. Öffnen Sie einen Browser und geben Sie die nachstehend genannte Adresse in die Adresszeile ein: paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

8 1 Einführung Im nachfolgend gezeigten Formular müssen Sie sich mit dem gewünschten Username und einer gültigen -Adresse registrieren. Die Angabe, wie Sie zu DynDNS gekommen sind, ist freiwillig und kann weggelassen werden: Scrollen Sie nun im Formular weiter nach unten, setzen Sie den Haken bei I agree to the AUP, hiermit nehmen Sie die AGB des Anbieters an. Des Weiteren setzen Sie bitte den Haken bei I will only create one (1) free account, hiermit versichern Sie, dass Sie nur einen kostenlosen Account für Ihre Zwecke nutzen werden. Dies ist wichtig, da der Anbieter nur einen kostenfreien Account pro Person gestattet. Im Mißbrauchsfalle behält es sich der Anbieter laut seinen AGB vor, alle in Frage kommenden Accounts ggf. zu löschen: 6 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

9 Einführung Scrollen Sie nun im Formular weiter nach unten, optional können Sie sich von DynDNS.org einen Newsletter sowie sonstige Informationen an Ihre oben angegebene -Adresse schicken lassen, setzen Sie im Bedarfsfalle die Haken entsprechend. Ansonsten können Sie den Registrierungsprozess direkt durch Klicken des Buttons Create Account anstoßen: Im Normalfall erhalten Sie nun in den nächsten Minuten eine Bestätigungs- von DynDNS.org an die oben angegebene -Adresse. Diese enthält einen Link zur Login-Seite über die Sie sich binnen der nächsten 48 Stunden einloggen müssen, da ansonsten der soeben eingerichtete Account verfällt. Bitte klicken Sie den oberen der beiden Links (https), um sich bei DynDNS einzuloggen um Ihren Account zu bestätigen: paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

10 1 Einführung Wie Sie sich nach dem Login einen dynamischen DNS-Namen einrichten, beschreibt der folgende Abschnitt Einrichtung eines DynDNS-Hostnames Bitte loggen Sie sich mit Ihren Zugangsdaten auf der DynDNS-Website ein: Zur Einrichtungen eines dynamischen DNS-Namens für Ihren Server klicken Sie bitte in der linken Spalte My Services den Menüpunkt Add Host Services: Im ersten Eingabefeld der nachfolgenden Seite können Sie einen Namen für Ihren Server frei wählen. Dieser wird dann, durch einen Punkt getrennt, einer sogenannten Second-Level-Domain (z.b. dyndns.org ) des Anbieters vorangestellt, welche Sie im zweiten Eingabefeld (Dropdown-Box) auswählen können. Beim Radio-Button Service Type lassen Sie bitte die Option Host with IP address ausgewählt. Das Feld IP Address befüllen Sie bitte vorerst durch Klicken des direkt darunter stehenden Links Use auto detect IP address, diese Information wird später durch den auf Ihrem Server zu installierenden 8 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

11 Einführung DynDNS-Client mit den tatsächlichen dynamischen IP-Adressen Ihres Servers aktualisiert. Klicken Sie abschließend den Button Create Host, um Ihren DynDNS-Namen anzulegen: Tipp: Allen Kunden, die bei uns registriert sind, ist eine eindeutige Installations-ID zugeordnet. Wir empfehlen Ihnen daher diese ID als Servernamen zu verwenden. Auf diese Art und Weise können unsere Hotline- Mitarbeiter Ihren Server bei einem Störungsfall leichter identifizieren, wodurch Ihnen schneller geholfen werden kann. Die Installations-ID Ihrer paedml sofern Sie sie nicht kennen können Sie per anfordern. Schreiben Sie dazu eine an mit mindestens folgenden Angaben: Name der Schule Anschrift der Schule Name der Kontaktperson (Netzwerkberater) -Adresse oder die Telefonnummer der Kontaktperson Öffentliche IP-Adresse des Servers beziehungsweise der Firewall Falls keine öffentliche IP-Adresse verfügbar, der Klartextnamen bei DynDNS paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

12 1 Einführung Auf der nachfolgenden Seite wird der soeben erzeugte Hostname angezeigt: Sie können sich nun von der DynDNS-Website ausloggen (Link im Fenster ganz oben rechts Log Out). Hinweis: Die Installation und die Konfiguration des DynDNS-Update-Clients (DynDNS-Updater) werden im Kapitel 3 Abschnitt 3.3 der Installationsanleitung zur Fernüberwachung behandelt. Falls Sie zur Ferndiagnose beziehungsweise - Wartung auf einen DynDNS-Alias angewiesen sind, installieren Sie bitte den DynDNS- Updater nach der Installationsanleitung zur Fernüberwachung. 10 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

13 Einrichten des Fernzugriffs für die Hotline 2. Einrichten des Fernzugriffs für die Hotline In diesem Kapitel wird beschrieben, wie Sie den Benutzer remoteadmin und die Firewall-Regeln einrichten. Damit ermöglichen Sie dem Benutzer remoteadmin, das heißt unseren Hotline-Mitarbeiter, die Störungsursache aus der Ferne zu finden und gegebenenfalls zu beheben - streng genommen handelt es sich hierbei um drei unterschiedliche Benutzerkonten. Mehr dazu erfahren Sie im Abschnitt 2.1. Folgende Schritte sind daher notwendig: 1. Einrichten des Benutzers remoteadmin 2. Firewall-Regel für die Verbindungsart über das Netzwerkprotokoll Secure Shell (SSH) 3. Firewall-Regel für die Verbindungsart über das Netzwerkprotkoll Remote Desktop Protocol (RDP) 4. Firewall-Regel für eine Einwahl in Ihr Netzwerk mithilfe von Virtual Private Network (VPN, virtuelles privates Netzwerk) Die oben genannten Schritte gelten dabei in erster Linie für die Kunden der paedml Novell 3.0.x. Zur Vorbereitung eines PCs für einen Fernzugriff beziehungsweise für eine Ferndiagnose lesen Sie bitte die HowTo-Anleitung Remote-Zugriff von außen von Herrn Stefan Falk. Sie können sie unter herunterladen. Wichtiger Hinweis: Obwohl sich die Anleitung Remote-Zugriff von außen in erster Linie an Kunden der Novell-Musterlösung 2.6 oder höher richtet, ist sie für die paedml Novell 3.0.x ebenso gültig. Sie müssen allerdings auf folgende Unterschiede achten: Im Kapitel 3 wird der Leser aufgefordert, den Port für das Netzwerkprotkoll RDP von 3389 auf zu ändern. Die Änderung des Ports führt zu einer weiteren Anpassung in der Konfiguration der Netzwerkobjekte für die Firewall. Lesen Sie die Schritte im Abschnitt sorgfältig durch und setzen Sie die darin beschriebenen Änderungen um.. Da in der paedml Novell nicht mehr BorderManager, sondern Astaro als Firewall zum Einsatz kommt, brauchen Sie die in der Anleitung beschriebenen Änderungen in BorderManager, der Firewall der Novell Musterlösung, nicht umzusetzen Einrichten von Benutzerkonten Für den Fernzugriff sowie Ferndiagnose und -wartung müssen noch drei Benutzerkonten eingerichtet werden: Eines für einen VPN-Zugang, Ein Weiteres zur Diagnose und Wartung des Servers und Ein Drittes zur Diagnose und Wartung des edirectory sowie weiterer Novell spezifischen Serverdienste. Alle drei Benutzer tragen der besseren Übersicht halber denselben Namen: remoteadmin. Um den Aufwand, der für die Einrichtung der Benutzerkonten notwendig wäre, so gering wie möglich zu halten, ist im Installationspaket ein Skript enthalten, das zwei der insgesamt drei Benutzerkonten automatisch anlegt und die Passwörter synchronisiert. Den Benutzer zur Authentifizierung für den VPN- Zugang müssen Sie allerdings manuell einrichten. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

14 2 Einrichten des Fernzugriffs für die Hotline Remoteadmin für die Diagnose und Wartung des Servers und Novell spezifische Dienste einrichten Hierbei werden ein Linux- und ein edirectory-benutzerkonto eingerichtet. Abgesehen vom Kontotyp unterscheiden sich die beiden Benutzer in den folgenden Punkten: Der Linux-User kommt immer dann zum Einsatz, wenn eine Diagnose oder eine Wartung direkt auf dem Server notwendig ist, zum Beispiel: DHCP, WebProxy(squid) oder Imaging-Server. Der edirectory-user kommt in der Regel nur dann zum Einsatz, wenn eine Diagnose oder Wartung im Zusammenhang mit dem Verzeichnisdienst edirectory notwendig ist. Dazu zählen zum Beispiel fehlerhaft eingerichtete Benutzerkonten oder ein falsch konfiguriertes Anwendungsobjekt, das sich nicht im Netzwerk verteilen lässt. Hinweis: Erfahrene Anwender der paedml Novell werden sich nun fragen, warum wir dafür keinen sogenannten LUM-Benutzer (LUM enabled User) anlegen. Denn dadurch wäre statt zweier Benutzerkonten nur noch eines notwendig. Der Einwand ist zwar berechtigt, hat aber einen Haken: Was tun, wenn ausgerechnet der Verzeichnisdienst edirectory nicht funktioniert und damit die potenzielle Ursache einer aufgetretenen Störung bildet? Ein LUM-Benutzer kann sich nämlich nur dann anmelden, wenn der Verzeichnisdienst für einen Anmeldevorgang störungsfrei zur Verfügung steht. Führen Sie bitte die nachfolgenden Schritte aus, um die beiden Benutzer einrichten zu können. Wichtiger Hinweis: Linux beziehungsweise Linux-basierte Systeme unterscheiden zwischen Groß- und Kleinschreibung. Achten daher bitte auf die Schreibweise in unseren Beispielen. 1. Melden Sie sich nun als Benutzer root am GServer03 an. 2. Falls Ihr GServer03 in Runlevel 5 startet, damit Sie sich grafisch anmelden können, müssen Sie noch ein Terminalfenster starten. 3. Erstellen Sie zuerst einen temporären Ordner, zum Beispiel /tmp/fernzugriff: mkdir /tmp/fernzugriff 4. Kopieren Sie die Archivdatei paedml_nov_pluspaket.tgz nach /tmp/fernzugriff: cp /Pfad_zu_Archivdatei/paedML_Nov_PlusPaket.tgz /tmp/fernzugriff 5. Wechseln Sie in den Ordner /tmp/fernzugriff: cd /tmp/fernzugriff 6. Entpacken Sie die Datei: tar zxvf paedml_nov_pluspaket.tgz 7. Wechseln Sie in den Unterordner remoteadmin/install_dir: cd remoteadmin/install_dir 12 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

15 Einrichten des Fernzugriffs für die Hotline 8. Führen Sie das Skript setup.sh aus:./setup.sh 9. Kurz nach dem Beginn des Setup-Vorgangs wird ein Zufallspasswort eingeblendet. Schreiben Sie es bitte auf. Sie brauchen dieses Passwort noch ein weiteres Mal. 10. Folgen Sie den weiteren Hinweisen des Skripts, bis beide Benutzer erfolgreich eingerichtet sind Remoteadmin für den VPN-Zugang In den meisten Störungsfällen ist es notwendig, dass ein grafisches Werkzeug wie zum Beispiel Console- One benutzt wird, um die Ursache einer aufgetretenen Störung finden und beheben zu können. Ein VPN-Zugang hilft unseren Hotline-Mitarbeitern sich von ihrem speziell vorbereiteten PC aus über eine gesicherte Verbindung in Ihrem Netzwerk anzumelden. Dadurch wird es möglich, dass unsere Hotline- Mitarbeiter solche grafischen Werkzeuge verwenden können. Da die Benutzerbeglaubigung nicht vom GServer03 sondern von der Firewall Astaro erfolgt, richten wir diesmal das Benutzerkonto über den WebAdmin der Astaro ein Benutzer remoteadmin einrichten 1. Starten Sie WebAdmin der Astaro und melden Sie sich als Admin an, indem Sie einen Browser Ihrer Wahl starten und die Seite aufrufen. 2. Klicken Sie auf den Menüpunkt Users in der linken Spalte. 3. Öffnen Sie die Seite zur Benutzerverwaltung, indem Sie auf den Link Users klicken. 4. Klicken Sie auf den Button New user, um einen neuen Benutzer aufnehmen zu können. 5. Übernehmen Sie die in der Abbildung dargestellten Werte. Als Passwort tragen Sie jenes Passwort ein, das Ihnen während des Setupvorgangs aus dem vorherigen Abschnitt vom Setupskript mitgeteilt wurde. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

16 2 Einrichten des Fernzugriffs für die Hotline 6. Schließen Sie den Vorgang mit Save ab Benutzerportal aktivieren Die Aktivierung des Benutzerportals ist deswegen eine notwendige Voraussetzung, 1. Klicken Sie nun auf den Menüpunkt Management. 2. Wählen Sie anschließend das Untermenü User-Portal (Benutzerportal) aus. 3. Kontrollieren Sie, ob das Benutzerportal aktiviert ist. Falls es inaktiv ist, müssen Sie es jetzt aktivieren, indem Sie auf die Schaltfläche Enable klicken. 14 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

17 Einrichten des Fernzugriffs für die Hotline 4. Kontrollieren Sie, ob unter den erlaubten Netzwerken (Allowed Networks) entweder das Netzwerkobjekt LMZ-Hotline oder Any zu finden ist. Hinweis: Wird der VPN-Zugang über das Internet ausschließlich zur Fernwartung durch unsere Hotline-Mitarbeiter benutzt, genügt es statt Any nur LMZ-Hotline als erlaubtes Netzwerk hinzuzufügen. Wollen Sie den VPN- Zugang für sich oder für einige ausgewählte Benutzer einrichten, müssen Sie Any hinzufügen. Achten Sie aber darauf, dass der OpenVPN-Server nur mit begrenzter Anzahl von gleichzeitig authentifizierten Benutzern stabil funktioniert. Nähere Informationen dazu finden Sie entweder im Handbuch der Astaro oder in der Knowledge-Base der Astaro AG (siehe Links). 5. Fügen Sie nun den zuvor eingerichteten Benutzer remoteadmin als einen für das Benutzerprotal berechtigten Benutzer hinzu. Klicken Sie dazu auf das Ordnersymbol. Daraufhin öffnet sich ein Auswahlfenster in der linken Spalte. 6. Klicken Sie mit der linken Maustaste auf das Benutzerobjekt remoteadmin und halten Sie sie gedrückt. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

18 2 Einrichten des Fernzugriffs für die Hotline 7. Ziehen Sie nun den Benutzer remoteadmin in die Tabelle der Allowed Users. Lassen Sie die gedrückte linke Maustaste erst dann los, wenn der Rahmen der Tabelle grün leuchtet. 8. Speichern die Änderung mit Apply. 9. Schließen Sie die Benutzerauswahl über das X. 10. Klicken Sie nun auf die Registerkarte Advanced und kontrollieren Sie den Port. Sollte da ein anderer Wert als eingetragen sein, ändern Sie ihn bitte auf und drücken Sie auf Apply. 16 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

19 Einrichten des Fernzugriffs für die Hotline SSL-VPN aktivieren 1. Klicken Sie nun auf das Menü Remote Access und anschließend auf das Untermenü SSL. 2. Aktivieren Sie gegebenenfalls SSL mit einem Klick auf die Schaltfläche Enable. 3. Fügen Sie den Benutzer remoteadmin in Users and Groups hinzu. 4. Als Local Networks sollte Any beibehalten werden. 5. Speichern Sie die Änderungen, indem Sie auf die Schaltfläche Apply drücken. 6. Klicken Sie nun auf die Registerkarte Advanced. 7. Übernehmen Sie die in der nachfolgenden Abbildung gezeigten Werte und drücken Sie auf Apply, um die Änderung speichern zu können. 8. Passen Sie die Werte für Encryption Settings wie abgebildet an und speichern Sie die Änderung mit Apply. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

20 2 Einrichten des Fernzugriffs für die Hotline 9. Falls Ihre Firewall oder Ihr Server über eine abweichende IP oder einen anderen DNS-Namen erreicht wird, tragen Sie hier die IP beziehungsweise den DNS-Namen ein. Speichern Sie die neue Einstellung mit Apply ab. Tipp: Wenn Sie nicht sicher sind, ob diese Bedingung auf Ihr System zutrifft, tragen Sie hier am besten die Public-IP der Firewall ein. Wenn Ihre Firewall mit einem DSL-Modem oder -Router verbunden ist, tragen Sie hier den DynDNS-Alias ein, zum Beispiel: IhrServer.dyndns.org 2.3. Firewall-Regeln anpassen Mit der Aufnahme des Benutzers remoteadmin und der Aktivierung des Benutzerportals haben wir nun die ersten Voraussetzungen für einen Fernzugriff erfüllt. In diesem Abschnitt werden wir die restlichen Voraussetzungen ergänzen, indem wir Ihre Firewall um die für den Fernzugriff notwendigen Regeln erweitern. Dabei stehen folgende Protokolle im Vordergrund: SSH, VPN und RDP (Remote Desktop Protocol) Wichtiger Hinweis: Die hier beschriebenen Regeln basieren auf der Standardkonfiguration der Astaro, die am veröffentlicht wurde. Falls die Konfiguration Ihrer Astaro-Firewall älter ist, finden Sie im Anhang eine Kurzanleitung, wie Sie sie aktualisieren können Regeln für SSH einrichten 1. Starten Sie den WebAdmin der Astaro und melden sich als Admin an. 2. Wählen Sie aus dem Menü Network Security das Untermenü NAT aus. 3. Klicken Sie auf die Registerkarte DNAT/SNAT. 18 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

21 Einrichten des Fernzugriffs für die Hotline 4. Suchen Sie dort nach der Regel mit dem Namen DNAT [ASG-51222] und aktivieren Sie sie. 5. Klicken Sie nun auf den Link Packet Filter unter dem Menü Network security. 6. Suchen Sie nach der Regel für das Netzwerkprotokoll SSH und aktivieren sie sie (die zweite Regel aus der Abbildung.) Existiert die dargestellte Regel nicht, definieren Sie eine neue Regel mit den Werten aus der nachfolgenden Abbildung. Speichern Sie sie mit Save und aktiveren Sie diese abschließend. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

22 2 Einrichten des Fernzugriffs für die Hotline Regeln für VPN einrichten Definieren Sie einen neuen Paketfilter, der dem Benutzer die Anmeldung in Ihr Netzwerk über eine gesicherte VPN-Verbindung erlaubt. Die Werte für diesen Paketfilter sind in der nachfolgenden Abbildung dargestellt. Aktivieren Sie den neuen Paketfilter, damit eine Einwahl in Ihr Netzwerk über eine VPN-Verbindung zugelassen wird Regeln für RDP (Remote Desktop Protocol) einrichten 1. NAT-Regel Wenn Sie die Standardkonfiguration der paedml Novell für die Astaro verwenden, ist eine passende NAT-Regel des Typs Full-NAT bereits vorhanden. Kontrollieren Sie daher, ob die Regel mit dem Namen ASG unter Network Security NAT DNAT/SNAT aktiviert ist. Öffnen Sie anschließend das Eigenschaftsfenster der NAT-Objekts ASG-51444, indem Sie auf den Button Edit klicken. Drücken Sie danach auf das Ordnersymbol rechts vom Eingabefeld Source Service, um das Auswahlfenster für Netzwerkobjekte öffnen zu können. 20 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

23 Einrichten des Fernzugriffs für die Hotline Ziehen Sie den Mauszeiger über die beiden Objekte Microsoft Remote Desktop. WebAdmin zeigt daraufhin in einem kleinen Fenster eine Zusammenfassung über die verwendeten Ports. Markieren das Netzwerkobjekt, das wie in der nachfolgenden Abbildung dargestellt als Zielport den Wert anzeigt. Halten Sie die linke Maustaste gedrückt und ziehen es über das Eingabefeld Source Service. Lassen Sie die Taste erst dann los, wenn der Rahmen des Eingabefeldes grün leuchtet. Übernehmen Sie die Änderung mit einem Klick auf die Schaltfläche Save. 2. Paketfilter aktivieren Der passende Paketfilter ist ebenfalls vordefiniert. Suchen Sie unter Network Security Paket Filter nach dem Paketfilter für das Protokoll Microsoft Remote Desktop (RDP) und aktivieren Sie ihn gegebenenfalls paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

24 2 Einrichten des Fernzugriffs für die Hotline 3. Paketfilter anpassen Der unter dem Punkt 2 aktivierte Paketfilter enthält unter anderem IP-Adressen des PCs, der zur Ferndiagnose verwendet wird. Da er statische IP-Adressen trägt, muss der Paketfilter noch in diesem Punkt angepasst werden. Drücken Sie dazu auf die Schaltfläche Edit. Öffnen Sie mit einem Doppelklick auf das Objekt Internal MS-Remote-Desktop das Dialogfenster zur Bearbeitung der Objekteigenschaften. Ersetzen Sie die in der Abbildung dargestellte IP-Adresse durch die IP-Adresse des Remote-PCs. Drücken Sie zweimal auf die Schaltfläche Save, um die Änderungen übernehmen zu können. 22 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

25 Einrichten des Fernzugriffs für die Hotline Sicherheitseinstellungen für RDP RDP bietet die Möglichkeit den Datenverkehr während einer RDP-Sitzung zu verschlüsseln. Bedauerlicherweise ist die Standardeinstellung dafür Nicht konfiguriert (siehe Abbildung). In diesem Abschnitt werden wir Ihnen zeigen, wie der Datenkanal gehärtet werden kann Melden Sie sich als lokaler Administrator an dem Remote-PC an (siehe Anleitung Remote-Zugriff von Außen unter Starten Sie über Start Ausführen das Programm gpedit.msc. (Editor für Richtlinien). 3. Öffnen Sie den Ordner Verschlüsselung und Sicherheit Doppelklicken Sie auf die Zeile Verschlüsselung der Clientverbindung festlegen. Aktivieren Sie die Verschlüsselungsoption und setzen Sie die Verschlüsselungsstufe auf Höchste Stufe Drücken Sie danach zuerst auf den Button Übernehmen und dann auf OK. Doppelklicken Sie anschließend auf die Zeile Clients bei der Verbindung immer zur Kennworteingabe auffordern. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

26 2 Einrichten des Fernzugriffs für die Hotline 8. Aktivieren Sie diese Option ebenfalls und speichern Sie die Änderung. Tipp: Damit die beiden Sicherheitsanpassungen nach einem Imaging-Vorgang weiterhin gelten, empfehlen wir das Image für den Remote-PC zu aktualisieren. 24 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

27 Weitere Vorgehensweise 3. Weitere Vorgehensweise Nach erfolgreicher Abarbeitung der vorangegangenen Abschnitte sind auf Ihrem System die technischen Voraussetzungen zur Inanspruchnahme der Ferndiagnose bzw. der Fernwartung geschaffen. Nehmen Sie bitte nun mit der Novell-Hotline des Support-Netzes Kontakt auf. Bitte halten Sie hierzu die folgenden Informationen bereit: Die Einwahladresse des Servers, das heißt die öffentliche IP-Adresse der externen Netzwerkkarte oder den entsprechenden DynDNS-Alias, falls die Schule keine feste IP-Adresse hat Den Namen des festen "ersten" Ansprechpartners in Ihrem Hause für technische Rückfragen der Novell-Hotline Zusammen mit der Hotline wird dann der zuvor eingerichtete Fernzugriff getestet und Ihre Daten im Ticketsystem des Support-Netzes werden ergänzt. Des Weiteren wird die Hotline das Kennwort des Benutzers RemoteAdmin ändern. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

28 4 Anhang 4. Anhang 4.1. Links Installationsanleitung für Astaro Security Gateway für die paedml Novell, Wissensdatenbank (Knowledge Base) der Astaro AG, DynDNS.org, Dokumentation zu DynDNS, DynDNS auf Wikipedia, RDP auf Wikipedia, VPN auf Wikipedia, Remote-Zugriff von außen, ein HowTo von Stefan Falk Astaro aktualisieren Die im Kapitel 2 beschriebenen Regeln für die Firewall Astaro gelten nur in Kombination mit unserer Standardkonfiguration, die am parallel zur Freigabe der paedml Novell veröffentlicht wurde. In diesem Abschnitt möchten wir Ihnen daher zeigen, wie Sie gegebenenfalls Ihre Konfiguration austauschen können. Sie können sie auf unserer Seite herunterladen. Da unsere Standardkonfiguration als eine Backup-Datei erscheint, müssen Sie zuvor unbedingt folgende Vorbereitungen treffen: a) Notieren oder drucken Sie alle von Ihnen individuell erstellten Regeln, da sie bei der Wiederherstellung der Standardkonfigurationen überschrieben werden. b) Da die IP-Adresse der Schnittstelle External ebenfalls überschrieben wird, müssen Sie die IP- Adresse sowie die Netzwerkmaske und die IP des Gateways notieren. c) Halten Sie Ihre Lizenzdatei für Astaro bereit. Nach der Wiederherstellung der Standardkonfiguration ist es zwingend erforderlich, die Lizenzdatei erneut einzuspielen. Wichtiger Hinweis: Nach dem Entpacken der ZIP-Datei stehen zwei Backup-Dateien zur Verfügung. Die Datei für 3 NICs, also für drei Netzwerkkarten, ist nur dann von Bedeutung, wenn Sie über eine VLAN-fähige Netzwerkkarte verfügen. Wenn Sie nicht sicher sind, ob Ihr Firewall-Server dazu in der Lage ist, sollten Sie die Konfiguration für acht Netzwerkkarten wiederherstellen. 26 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

29 Anhang Starten Sie den WebAdmin der Astaro und melden sich als Benutzer admin an. Klicken Sie auf das Menü Management. Wählen Sie dann das Untermenü Backup / Restore aus. Kontrollieren Sie, ob unter Available backups eine Backup-Datei mit dem Datum zu finden ist. Falls ja, brauchen Sie die nachfolgenden Schritte nicht durchzuführen und können direkt mit dem Punkt 9 fortfahren. Führen Sie Punkt nur aus, wenn keine Backup-Datei hinterlegt ist Klicken Sie auf das Ordnersymbol bei Backup file. Fügen Sie die zu Ihrem Firewall-Server passende Backup-Datei (zum Beispiel, asg.oes.mlbw.de_7.006_ _ xNIC Ethernet ; singel external IP aktiv.abf) hinzu und klicken Sie auf Start Upload. 7. Nach einem erfolgreichen Upload - Sie erkennen es daran, dass im Eingabefeld Backup file die hinzugefügte Datei zu sehen ist - muss sie noch importiert werden. Klicken Sie dazu auf die Schaltfläche Import Backup. 8. Ist die Backup-Datei erfolgreich importiert worden, sollte sie nun in der Liste der Available Backups stehen. paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

30 4 Anhang Bisher haben wir nur die Standardkonfiguration aus der Backup-Datei importiert. Sie ist jedoch noch nicht wirksam. Klicken Sie auf die Schaltfläche Restore, um sie übernehmen zu können. Das anschließend erscheinende Dialogfenster schließen Sie mit OK. Nach dem Neustart der Astaro beziehungsweise des WebAdmins werden Sie aufgefordert eine gültige Lizenzdatei aufzuspielen. Nachdem Sie Ihre Lizenzdatei für die Astaro eingespielt haben, wird der WebAdmin neu gestartet, so dass Sie sich anmelden können. Der Benutzername bleibt weiterhin admin, das Passwort ist jedoch auf das Standardpasswort zurückgesetzt. Ändern Sie daher zwingend das Passwort des Benutzers admin, nach der Anmeldung. Klicken Sie dazu auf das Menü Users. Klicken Sie nun auf das Untermenü Users. Über die Schaltfläche Edit links vom Benutzer admin, rufen Sie das Dialogfenster zur Änderung des Passworts auf. 14. Speichern Sie die Änderung mit Save. Bevor Sie nun mit der Anpassung Ihres Firewall-Servers nach Kapitel 2 und Kapitel 4 fortfahren, müssen Sie noch die Netzwerkkonfiguration wie zum Beispiel die IP-Adresse der externen Netzwerkkarte anpassen. Außerdem sollten Sie Ihre eigenen Regeln, sofern welche vorher definiert und verwendet wurden, wieder einpflegen. 28 paedml Novell 3 / Einrichtung des Fernzugriffs für die Ferndiagnose und Fernwartung /

31 Landesmedienzentrum Baden-Württemberg (LMZ) Support Netz Rotenbergstraße Stuttgart Landesmedienzentrum Baden-Württemberg, 2009