NetScreen Remote Access 500 Erste Schritte

Transkript

1 NetScreen Remote Access 500 Erste Schritte, NetScreen Instant Virtual Extranet Platform

2

3 Juniper Networks NetScreen-RA 500 Erste Schritte Version 4.x Juniper Networks, Inc North Mathilda Avenue Sunnyvale, CA USA Teilenummer:

4 Juniper Networks, das Juniper Networks-Logo, NetScreen, NetScreen Technologies, das NetScreen-Logo, NetScreen-Global Pro, ScreenOS und GigaScreen sind eingetragenen Marken von Juniper Networks, Inc. in den USA und anderen Ländern. Juniper Networks, das Juniper Networks-Logo, NetScreen, NetScreen Technologies, Neoteris, Neoteris-Secure Access, Neoteris-Secure Meeting, NetScreen-SA 1000, NetScreen-SA 3000, NetScreen-SA 5000, IVE, GigaScreen und das NetScreen-Logo sind eingetragene Marken von Juniper Networks, Inc. NetScreen-5GT, NetScreen-5XP, NetScreen-5XT, NetScreen-25, NetScreen-50, NetScreen-100, NetScreen-204, NetScreen-208, NetScreen-500, NetScreen-5200, NetScreen-5400, NetScreen-Global PRO, NetScreen-Global PRO Express, NetScreen-Remote Security Client, NetScreen-Remote VPN Client, NetScreen-IDP 10, NetScreen-IDP 100, NetScreen-IDP 500, GigaScreen ASIC, GigaScreen-II ASIC und NetScreen ScreenOS sind Marken von Juniper Networks, Inc. Alle anderen Marken und eingetragenen Marken sind Eigentum der jeweiligen Firmen. Copyright 2001 D. J. Bernstein. Copyright Massachusetts Institute of Technology. Alle Rechte vorbehalten. Copyright 2000 Zero-Knowledge Systems, Inc. Copyright 2001, Dr. Brian Gladman Worcester, UK. Alle Rechte vorbehalten. Copyright 1989, 1991 Free Software Foundation, Inc. Copyright 1989, 1991, 1992 Carnegie Mellon University. Derivative Work , Copyright 1996, The Regents of the University of California. Alle Rechte vorbehalten. Copyright The OpenLDAP Foundation, Redwood City, California, USA. Alle Rechte vorbehalten. Die Vervielfältigung und Weitergabe wortgetreuer Kopien dieses Dokuments ist gestattet. Copyright 1995 Tatu Ylonen <ylo@cs.hut.fi>, Espoo, Finnland. Alle Rechte vorbehalten. Copyright 1986 Gary S. Brown. Copyright 1998 CORE SDI S.A., Buenos Aires, Argentinien. Copyright 1995, 1996 David Mazieres <dm@lcs.mit.edu>. Copyright The OpenSSL Project. Alle Rechte vorbehalten. Copyright , Larry Wall. Alle Rechte vorbehalten. Copyright 1989, 1991 Free Software Foundation, Inc. Copyright Andy Wardley. Alle Rechte vorbehalten. Copyright Canon Research Centre Europe Ltd. Copyright Jean-loup Gailly und Mark Adler. Juniper Networks NetScreen-RA 500 Erste Schritte, Version 4.x Copyright 2004, Juniper Networks, Inc. Alle Rechte vorbehalten. Printed in USA. Verfasser: Carolyn A. Harding Redakteur: Dana Marcell Versionshistorie 10. Juli 2004 Betaentwurf 26. Juli 2004 Endgültige Fassung Juniper Networks übernimmt keine Verantwortung für Fehler in diesem Dokument. Juniper Networks behält sich das Recht vor, diese Publikation ohne vorherige Ankündigung zu ändern, zu bearbeiten, zu übertragen oder anderweitig zu korrigieren.

5 Inhalt Teil 1 Installation und Konfiguration 1 Schritt 1: Installieren der Hardware...3 Schritt 2: Grundlegendes Setup...4 Schritt 3: Aktualisieren und Lizenzieren des NetScreen-RA Schritt 4: Angeben der IP-Adress-Informationen für Network Connect...9 Schritt 5: Überprüfen der Verfügbarkeit für die Benutzer...11 Teil 2 Grundlagen der Zugriffsverwaltung 13 Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA Definieren einer Benutzerrolle...16 Definieren einer Ressourcenrichtlinie...17 Definieren eines Authentifizierungsservers...19 Definieren eines Authentifizierungsbereichs...21 Definieren einer Anmelderichtlinie...24 Verwenden des Testszenarios...26 Standardeinstellungen für Administratoren...29 iii

6 iv

7 Teil 1 Installation und Konfiguration 1

8 2 NetScreen Remote Access Erste Schritte

9 Vielen Dank, dass Sie sich für die NetScreen-RA 500 SSL-VPN-Appliance von Juniper Networks entschieden haben! Die Installation und Konfiguration des NetScreen-RA 500 auf Ihrem System erfolgt in fünf einfachen Schritten: Schritt 1: Installieren der Hardware...3 Schritt 2: Grundlegendes Setup...4 Schritt 3: Aktualisieren und Lizenzieren des NetScreen-RA Schritt 4: Angeben der IP-Adress-Informationen für Network Connect... 9 Schritt 5: Überprüfen der Verfügbarkeit für die Benutzer...11 Wir empfehlen, die NetScreen-RA 500-Appliance in Ihrem LAN zu installieren, um die Kommunikation mit den entsprechenden Ressourcen zu gewährleisten, beispielsweise: Authentifizierungsserver DNS-Server Interne Webserver über HTTP/HTTPS Externe Websites über HTTP/HTTPS (optional) Interne/externe Gateways/Router (optional) Windows-Dateiserver (optional) NFS-Dateiserver (optional) Client/Server-Anwendungen (optional) Falls Sie die Appliance im DMZ installieren, müssen Sie darauf achten, dass das NetScreen-RA 500 eine Verbindung mit allen oben aufgeführten Ressourcen herstellen kann. Auf der Supportsite steht eine englische, französische und japanische Ausgabe des vorliegenden Handbuchs zur Verfügung. Schritt 1: Installieren der Hardware Im Lieferumfang des NetScreen-RA 500 sind Halterungen und Gummifüße enthalten. Bauen Sie die Appliance mithilfe der Halterungen in das Rack ein, oder bringen Sie die Gummifüße an, wenn die Appliance auf einer geraden Oberfläche stehen soll. Schalten Sie das Gerät das ein, und schließen Sie die beiliegenden Kabel wie folgt an: 1. Stecken Sie das Stromkabel an der Rückwand am Gleichstromanschluss ein. Schritt 1: Installieren der Hardware 3

10 2. Führen Sie an der Frontplatte die folgenden Schritte durch: 1. Schließen Sie das Ethernetkabel am rechten Port an (mit INTERNAL bezeichnet). Dieser Port gibt den Verbindungsstatus anhand zweier LEDs an, wie in Tabelle 1 beschrieben. 2. Drücken Sie einmal den Ein/Aus-Schalter in der oberen rechten Ecke. Die grüne LED neben dem Netzschalter leuchtet auf. 3. Schließen Sie das serielle Kabel am seriellen Port an. Nachdem Sie das Strom-, Netzwerk- und serielle Kabel an die Appliance angeschlossen und das Gerät eingeschaltet haben, ist die Hardwareinstallation abgeschlossen. Als nächstes müssen Sie eine Verbindung mit der seriellen Konsole der Appliance herstellen, um die grundlegenden Geräte- und Netzwerkeinstellungen festlegen zu können. Tabelle 1: NetScreen-RA 500 LEDs am rechten Port LAN-Status LED 1 LED 2 Verbindung mit 10 MBit/s Aus N/V Verbindung mit 100 MBit/s Ein N/V Daten werden übertragen Orange oder aus Blinkt Keine Verbindung Aus Aus Schritt 2: Grundlegendes Setup Wenn Sie eine unkonfigurierte NetScreen-RA 500-Appliance starten, müssen Sie zunächst grundlegende Netzwerk- und Geräteinformationen über die serielle Konsole eingeben, damit über das Netzwerk auf die Appliance zugegriffen werden kann. Nach der Eingabe dieser Einstellungen können Sie die Konfiguration des NetScreen-RA 500 über die Administrator-Webkonsole fortsetzen. In diesem Abschnitt werden die Einrichtung über die serielle Konsole und die Arbeitsgänge beschrieben, die bei der ersten Verbindung mit dem NetScreen-RA 500 erforderlich sind. So führen Sie das grundlegende Setup aus: 1. Konfigurieren Sie die auf einem Computer ausgeführte Konsolenterminaloder Terminalemulationssoftware, beispielsweise HyperTerminal, für die Verwendung der folgenden Parameter für serielle Verbindungen: 9600 Bit pro Sekunde 8 Bit, keine Parität (8N1) 1 Stopp-Bit Keine Flusskontrolle 2. Verbinden Sie das Terminal oder den Computer mit dem seriellen Kabel, das in den seriellen Port der Appliance eingesteckt ist, und drücken Sie Enter, bis eine Eingabeaufforderung des Initialisierungsskripts angezeigt wird. 4 Schritt 2: Grundlegendes Setup

11 Abbildung 1: Willkommensbildschirm der seriellen Konsole des NetScreen-RA Geben Sie zum Fortfahren y und dann erneut y ein, um die Lizenzbestimmungen zu akzeptieren (oder r, um die Lizenzbestimmungen zunächst zu lesen). 4. Geben Sie bei der entsprechenden Aufforderung die folgenden Angaben zur Ethernetkonfiguration ein: IP-Adresse des internen Ports (Sie können nach der Erstkonfiguration optional den externen Port über die Administrator-Webkonsole konfigurieren) Netzwerkmaske Adresse des Standardgateways 5. Geben Sie die angeforderten DNS-Informationen ein: Adresse des primären DNS-Servers Adresse des sekundären DNS-Servers (optional) DNS-Standarddomänenname (Beispiel: firmenname.com) 6. Geben Sie die angeforderten WINS-Server-Informationen ein (optional). 7. Geben Sie einen Benutzernamen und ein Kennwort ein, um ein Administratorkonto anzulegen. 8. Geben Sie Informationen zum Erstellen eines selbst signierten Webserverzertifikats ein, u. a. den allgemeinen Gerätenamen (z. B. connect.acmegizmo.com), den Firmennamen und einen beliebigen Text. Mithilfe des allgemeinen Gerätenamens und des Firmennamens wird ein selbst signiertes digitales Zertifikat erstellt, das beim Testen des Produkts und der Ersteinrichtung verwendet werden kann. Wir empfehlen dringend, ein selbst signiertes Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle zu importieren, bevor Sie das NetScreen-RA 500 in der Produktionsumgebung bereitstellen. Schritt 2: Grundlegendes Setup 5

12 Nach der Eingabe der genannten Informationen ist die Einrichtung der seriellen Konsole abgeschlossen. Wenn Sie vom NetScreen-RA 500 zur Änderung der Einstellungen aufgefordert werden, wählen Sie die entsprechende Option aus, oder fahren Sie fort. 9. Öffnen Sie die Administrator-Anmeldeseite, indem Sie in einem Webbrowser den Geräte-URL, gefolgt von /admin eingeben. Der URL weist folgendes Format auf: wobei a.b.c.d die IP-Adresse des Geräts ist, die Sie in Schritt 4 eingegeben haben. Wenn Sie in einer Sicherheitswarnung gefragt werden, ob Sie ohne signiertes Zertifikat fortfahren möchten, klicken Sie auf Yes. Wenn die Administrator-Anmeldeseite angezeigt wird, haben Sie die NetScreen-RA 500-Appliance erfolgreich mit dem Netzwerk verbunden. Wenn Sie nicht auf die Anmeldeseite zugreifen können, kehren Sie zur seriellen Konsole zurück, und überprüfen Sie die Geräte- und Netzwerkeinstellungen. Abbildung 2: Administrator-Anmeldeseite 10. Geben Sie auf der Anmeldeseite den in Schritt 7 angelegten Benutzernamen und das Kennwort für den Administrator ein, und klicken Sie dann auf Sign In. In der Administrator-Webkonsole wird die Seite System>Status>Overview geöffnet. Abbildung 3: Seite System > Status > Overview 6 Schritt 2: Grundlegendes Setup

13 11. Klicken Sie neben System Date and Time auf Edit. Geben Sie auf der Seite Date and Time die Uhrzeit des Geräts ein, und klicken Sie dann auf Save Changes. 12. Sie können bei Bedarf die Dauer der Administratorsitzung ändern, um eine erzwungene Abmeldung aufgrund einer inaktiven Sitzung für mehr als zehn Minuten zu vermeiden. Wählen Sie hierfür Administrators>Delegation aus. Klicken Sie auf der Seite Delegated Admin Roles auf.administrators. Damit wechseln Sie auf die Konfigurationsseiten für die vorkonfigurierte Administratorrolle. Gehen Sie für diese Rolle folgendermaßen vor: 1. Wählen Sie General>Session Options aus, und ändern Sie unter Session Lifetime die Werte für das Leerlaufzeitlimit und die maximale Sitzungsdauer. 2. Klicken Sie auf Save Changes. Wenn diese Ersteinrichtung über die serielle und die Webkonsole abgeschlossen ist, können Sie das aktuelle Servicepaket installieren und das NetScreen-RA 500 dann lizenzieren. Schritt 3: Aktualisieren und Lizenzieren des NetScreen-RA 500 Bevor Sie die Verfügbarkeit für die Benutzer testen, sollten Sie das NetScreen-RA 500 zunächst mit dem neuesten Betriebssystem-Servicepaket aktualisieren. Dieses steht auf der Juniper Networks-Supportsite zur Verfügung ( Um auf die Supportsite zugreifen zu können, müssen Sie eine kostenpflichtige Servicevereinbarung abschließen und aktivieren. Wenn Sie keine Servicevereinbarung abschließen, stehen Ihnen keine neueren Sortwareversionen zur Verfügung. Ihr Händler kann Sie ausführlich über den Abschluss eines Supportvertrags informieren. Wenn Sie keinen Supportvertrag abgeschlossen haben, beginnen Sie den Vorgang mit Schritt 3. So aktualisieren und lizenzieren Sie das NetScreen-RA 500: 1. Laden * Sie das neueste Betriebssystem-Servicepaket herunter: 1. Geben Sie in einem Webbrowser den URL der Supportsite ein: 2. Melden Sie sich mit den Anmeldeinformationen für Ihr Konto bei der Supportsite an. Die Seite Customer Support Center wird geöffnet. 3. Klicken Sie im Abschnitt Download Software auf die Verknüpfung IVE Software, um die Seite IVE OS Software aufzurufen. 4. Klicken Sie auf die Verknüpfung für die gewünschte Version, und klicken Sie dann auf der entsprechenden Webseite auf die Download-Verknüpfung für das Servicepaket. Speichern Sie dieses bei der entsprechenden Aufforderung in einem Netzwerkverzeichnis, auf das das NetScreen-RA 500 zugreifen kann. * Wenn Sie keinen Supportvertrag abgeschlossen haben, überspringen Sie dies, und fahren Sie mit Schritt 3 fort. Schritt 3: Aktualisieren und Lizenzieren des NetScreen-RA 500 7

14 2. Aktualisieren * Sie das Servicepaket, das auf dem NetScreen-RA 500 installiert ist: 1. Öffnen Sie die Administrator-Anmeldeseite, indem Sie in einem Browser den URL des NetScreen-RA 500, gefolgt von /admin eingeben. Der URL weist folgendes Format auf: wobei a.b.c.d die IP-Adresse des Geräts ist, die Sie in Schritt 2-4 eingegeben haben (Seite 5). Wenn Sie in einer Sicherheitswarnung gefragt werden, ob Sie ohne signiertes Zertifikat fortfahren möchten, klicken Sie auf Yes. 2. Geben Sie auf der Administrator-Anmeldeseite den in Schritt 2-7 (Seite 5) angelegten Benutzernamen und das Kennwort für den Administrator ein, und klicken Sie dann auf Sign In. In der Administrator-Webkonsole wird die Seite System>Status>Overview geöffnet. 3. Wählen Sie Maintenance > System >Upgrade/Downgrade aus. 4. Navigieren Sie auf der Seite Install Service Package zu dem Servicepaket, das Sie in das Netzwerk heruntergeladen haben. Wenn Sie das Paket ausgewählt haben und der Dateiname im Feld Service package to install angezeigt wird, klicken Sie auf Install Now. Das NetScreen-RA 500 lädt das Servicepaket aus dem Netzwerkverzeichnis und beginnt mit der Installation. Dieser Vorgang dauert einige Minuten. Sie können den Status über die serielle oder die Webkonsole verfolgen. Wenn das NetScreen-RA 500 die Installation des Servicepakets abgeschlossen hat, startet das System neu. Melden Sie sich nach dem Neustart des NetScreen-RA 500 erneut an der Administrator-Webkonsole an, um die Systemlizenz einzugeben. 3. Installieren Sie die Produktlizenz auf dem NetScreen-RA 500: 1. Wenn Sie sich noch nicht an der Webkonsole angemeldet haben, öffnen Sie die Administrator-Anmeldeseite, indem Sie den URL des NetScreen-RA 500, gefolgt von /admin eingeben. Der URL weist folgendes Format auf: wobei a.b.c.d die IP-Adresse des Geräts ist, die Sie in Schritt 2-4 eingegeben haben (Seite 5). Wenn Sie in einer Sicherheitswarnung gefragt werden, ob Sie ohne signiertes Zertifikat fortfahren möchten, klicken Sie auf Yes. 2. Wählen Sie System>Configuration>Licensing aus. Führen Sie auf der Seite Licensing Folgendes aus: a. Geben Sie im Feld Company Name or ID die Lizenz-ID ein. Diese befindet sich auf der Lizenzschlüsselkarte, die dem Produkt beiliegt. b. Geben Sie im Feld License Key(s) den Lizenzschlüssel ein. Dieser befindet sich auf der Lizenzschlüsselkarte, die dem Produkt beiliegt. c. Klicken Sie auf Save Changes. Die Angaben zum Lizenzcode werden auf der Seite Licensing angezeigt, und Sie werden aufgefordert, eine IP-Adresspool-Richtlinie für Network Connect anzulegen. * Wenn Sie keinen Supportvertrag abgeschlossen haben, überspringen Sie dies, und fahren Sie mit Schritt 3 fort. 8 Schritt 3: Aktualisieren und Lizenzieren des NetScreen-RA 500

15 Abbildung 4: Seite System > Configuration > Licensing Nach der Aktualisierung und Lizenzierung des NetScreen-RA 500 können Sie die IP-Adress-Informationen für Network Connect eingeben. Schritt 4: Angeben der IP-Adress-Informationen für Network Connect Wenn Network Connect auf einem Benutzercomputer ausgeführt wird, wird der gesamte Datenverkehr zum und vom Client über den sicheren Network Connect- Tunnel übertragen. Dieser Tunnel besteht zwischen einem Serverprozess und einem Client-Agent, wobei für beide eine IP-Adresse erforderlich ist. Sie geben eine IP-Adresse für den Network Connect-Serverprozess an, die für alle Network Connect-Benutzersitzungen verwendet wird. Wenn das NetScreen-RA 500 eine Clientanforderung zum Starten einer Network Connect-Sitzung erhält, weist es dem clientseitigen Network Connect-Agent eine IP-Adresse zu, die auf einer IP-Adresspool- Richtlinie für Network Connect beruht. Das NetScreen-RA 500 weist diese IP-Adressen anhand der IP-Adresspool-Richtlinie zu, die für eine Benutzerrolle gilt. Mit einer Benutzerrolle werden Parameter für Benutzersitzungen und individuelle Einstellungen festgelegt sowie Zugriffsfunktionen für Network Connect aktiviert. Das NetScreen-RA 500 ordnet einen authentifizierten Benutzer zu einer oder mehreren Rollen zu. Die Sitzungsoptionen und Network Connect-Ressourcenrichtlinien, die für die Rolle(n) definiert wurden, legen die zugänglichen Ressourcen und IP-Adress-Pools fest. Weitere Informationen über Rollen finden Sie unter Definieren einer Benutzerrolle auf Seite 16. So geben Sie IP-Adress-Informationen für Network Connect an: 1. Wählen Sie in der Webkonsole Resource Policies>Network Connect> IP Address Pools aus. 2. Klicken Sie auf der Seite Network Connect IP Address Policies auf New Policy. 3. Geben Sie auf der Seite New Policy Folgendes ein: Eine Bezeichnung für diese Richtlinie. Eine Beschreibung der Richtlinie (optional). Schritt 4: Angeben der IP-Adress-Informationen für Network Connect 9

16 4. Geben Sie unter Resources IP-Adressen oder einen IP-Adress-Bereich an, die das NetScreen-RA 500 Clients zuweisen soll, die den Network Connect-Dienst ausführen. Der IP-Adress-Bereich kann im Format a.b.c.d-e angegeben werden, wobei der letzte Bestandteil der IP-Adresse ein durch einen Bindestrich (-) begrenzter Bereich ist. Sonderzeichen sind dabei unzulässig. Beispiel: Geben Sie im Bereich Roles Folgendes an: Policy applies to ALL roles Hiermit gilt die Richtlinie für alle Benutzer. Policy applies to SELECTED roles Hiermit gilt die Richtlinie nur für Benutzer, die zu Rollen in der Liste Selected roles zugeordnet sind. Dieser Liste müssen Rollen aus der Liste Available roles hinzugefügt werden. Policy applies to all roles OTHER THAN those selected below Hiermit gilt die Richtlinie für alle Benutzer mit Ausnahme derer, die den Rollen in der Liste Selected roles zugeordnet sind. Dieser Liste müssen Rollen aus der Liste Available roles hinzugefügt werden. Informationen zu Benutzerrollen finden Sie unter Definieren einer Benutzerrolle auf Seite Klicken Sie auf Save Changes. 7. Wählen Sie System>Network>Network Connect aus. 8. Geben Sie unter Network Connect Server IP Address eine IP-Adresse für den Network Connect-Serverprozess ein, die für alle Network Connect- Benutzersitzungen verwendet wird. Die IP-Adresse muss sich dafür in demselben Subnetzwerk wie eine Ihrer IP-Adresspool-Ressourcenrichtlinien befinden. Beispiel: Klicken Sie auf Speichern. Wenn Sie die IP-Adresspool-Ressourcenrichtlinie für Network Connect für die Clientprozesse angelegt und eine IP-Adresse für den Serverprozess angegeben haben, können Sie die Verfügbarkeit für die Benutzer überprüfen. 10 Schritt 4: Angeben der IP-Adress-Informationen für Network Connect

17 Schritt 5: Überprüfen der Verfügbarkeit für die Benutzer Sie können auf dem System-Authentifizierungsserver einfach ein Benutzerkonto anlegen, mit dem Sie die Verfügbarkeit des NetScreen-RA 500 für die Benutzer testen können. Ein Authentifizierungsserver ist eine Datenbank, in der Anmeldeinformationen für Benutzer (Benutzername und Kennwort) und normalerweise Gruppen- und Attributinformationen gespeichert werden. Das NetScreen-RA 500 leitet die Anmeldeinformationen des Benutzers an einen Authentifizierungsserver weiter, um die Identität des Benutzers zu überprüfen. Das NetScreen-RA 500 ist mit einem lokalen Authentifizierungsserver für Benutzer namens System Local vorkonfiguriert. Dabei handelt es sich um eine NetScreen-RA 500-Datenbank, mit der Sie schnell Benutzerkonten für die Benutzerauthentifizierung anlegen können. Legen Sie das Konto zunächst über die Administrator-Webkonsole an, und melden Sie sich dann auf der Benutzer-Anmeldeseite des NetScreen-RA 500 als dieser Benutzer an. Weitere Informationen zu Authentifizierungsservern finden Sie unter Definieren eines Authentifizierungsservers auf Seite 19. So überprüfen Sie die Verfügbarkeit für die Benutzer: 1. Wählen Sie in der Administrator-Webkonsole Users>New User aus. 2. Geben Sie auf der Seite New Local User Testbenutzer1 als Benutzernamen und ein Kennwort ein, und klicken Sie dann auf Save Changes. Das NetScreen-RA 500 legt das Konto Testbenutzer1 an. 3. Geben Sie in einem anderen Browser den Geräte-URL ein, um zur Benutzer- Anmeldeseite zu navigieren. Der URL weist folgendes Format auf: wobei a.b.c.d die IP-Adresse des Geräts ist, die Sie in Schritt 2-7 eingegeben haben. Wenn Sie in einer Sicherheitswarnung gefragt werden, ob Sie ohne signiertes Zertifikat fortfahren möchten, klicken Sie auf Yes. Wenn die Benutzer-Anmeldeseite angezeigt wird, haben Sie das NetScreen-RA 500 ordnungsgemäß mit dem Netzwerk verbunden. Abbildung 5: Benutzer-Anmeldeseite 4. Geben Sie auf der Anmeldeseite die Anmeldeinformationen (Benutzername und Kennwort) ein, die Sie für das Benutzerkonto angelegt haben. Klicken Sie dann auf Sign In, um die Network Connect-Sitzung zu starten und die NetScreen-RA 500-Benutzerstartseite aufzurufen. Beim Start einer Network Connect-Sitzung wird ein Statusfenster aufgerufen (Abbildung 6 auf Seite 12). Schritt 5: Überprüfen der Verfügbarkeit für die Benutzer 11

18 5. Öffnen Sie eine Client/Server-Anwendung, wie beispielsweise Microsoft Outlook, und prüfen Sie im Fenster Network Connect Status in den Feldern Sent und Received, ob Network Connect Anwendungsdaten empfängt und übermittelt. Abbildung 6: Fenster Network Connect Status Abbildung 7: NetScreen-RA 500-Benutzerstartseite Kehren Sie nach dem Testen der Verfügbarkeit für die Benutzer zur Administrator-Webkonsole zurück, und fahren Sie mit Teil 2 dieses Handbuchs fort, der Sie in das Zugriffsverwaltungssystem des NetScreen-RA 500 einführt. 12 Schritt 5: Überprüfen der Verfügbarkeit für die Benutzer

19 Teil 2 Grundlagen der Zugriffsverwaltung 13

20 14

21 Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA 500 Das NetScreen-RA 500 bietet ein flexibles Zugriffsverwaltungssystem, mit dem der Remotezugriff eines Benutzers problemlos anhand von Rollen, Ressourcenrichtlinien, Authentifizierungsservern, Authentifizierungsbereichen und Anmelderichtlinien individuell angepasst werden kann. Damit Sie zügig mit diesen Elementen arbeiten können, sind für diese im NetScreen-RA 500 werksseitig bereits Standardvorgaben eingestellt. In diesem Abschnitt werden die Systemstandardvorgaben erläutert, und es wird dargestellt, wie die einzelnen Einheiten anhand der folgenden Schritte eingerichtet werden: Definieren einer Benutzerrolle...16 Definieren einer Ressourcenrichtlinie...17 Definieren eines Authentifizierungsservers...19 Definieren eines Authentifizierungsbereichs...21 Definieren einer Anmelderichtlinie...24 Informationen zur Konfiguration der Endpunktsicherheitsfunktionen, einschließlich Host Checker und Cache Cleaner, finden Sie in der Onlinehilfe, auf die Sie in der Administrator-Webkonsole über die Verknüpfung Help zugreifen können. Das NetScreen-RA 500 unterstützt zwei Arten von Benutzern: Administratoren Ein Administrator darf die Konfigurationseinstellungen des NetScreen-RA 500 anzeigen und ändern. Das erste Administratorenkonto wird über die serielle Konsole angelegt. Benutzer Ein Benutzer verwendet das NetScreen-RA 500, um auf Firmenressourcen zuzugreifen, die vom Administrator konfiguriert wurden. Das erste Benutzerkonto (Testbenutzer1) legen Sie in Schritt 5: Überprüfen der Verfügbarkeit für die Benutzer auf Seite 11 an. Im folgenden Testszenario werden die Zugriffsverwaltungselemente des NetScreen-RA 500 in erste Linie für die Konfiguration von Zugriffsparametern für einen Benutzer verwendet. Informationen zu Systemstandardeinstellungen für Administratoren finden Sie unter Standardeinstellungen für Administratoren auf Seite 29. Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA

22 Definieren einer Benutzerrolle Mit einer Benutzerrolle werden Parameter für Benutzersitzungen und individuelle Einstellungen festgelegt sowie Zugriffsfunktionen für Network Connect aktiviert. Das NetScreen-RA 500 ordnet einen authentifizierten Benutzer zu einer oder mehreren Rollen zu. Die für diese Rolle(n) festgelegten Sitzungsoptionen und Ressourcenrichtlinien für Network Connect legen fest, auf welche Arten von Ressourcen der Benutzer bei der NetScreen-RA 500-Sitzung zugreifen darf. Das NetScreen-RA 500 ist mit einem Benutzerbereich namens Users vorkonfiguriert. Diese voreingestellte Rolle aktiviert die Network Connect-Funktion, die jedem Benutzer, der der Rolle Users zugeordnet ist, den Zugriff auf das Firmennetzwerk erlaubt. Diese Rolle wird auf der Seite Users>Roles angezeigt. So definieren Sie eine Benutzerrolle: 1. Wählen Sie in der Administrator-Webkonsole Users>Roles aus. 2. Klicken Sie auf der Seite Roles auf New Role. 3. Geben Sie auf der Seite New Role im Feld Name Testrolle ein. Vergewissern Sie sich, dass unter Access Features die Option Network Connect aktiviert ist, und klicken Sie dann auf Save Changes. Das NetScreen-RA 500 legt die Rolle an und zeigt Registerkarten für die Konfiguration dieser Rolle an. Informationen zu den Konfigurationseinstellungen dieser Registerkarten finden Sie in der Onlinehilfe. Nach Abschluss dieser Schritte haben Sie die Benutzerrolle definiert. Wenn Sie Ressourcenrichtlinien anlegen, können Sie sie dieser Rolle zuordnen. Sie können Benutzer dieser Rolle auch anhand von Rollenzuordnungsregeln, die für einen Authentifizierungsbereich definiert wurden, festlegen. Abbildung 8: Seite Users > Roles > New Role 16 Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA 500

23 Definieren einer Ressourcenrichtlinie Eine Ressourcenrichtlinie ist eine Systemregel, die Folgendes angibt: Ressourcen, für die Richtlinie gilt (z. B. IP-Adress-Pools und Anwendungs-, Web- und Dateiserver), Benutzer, für die die Richtlinie gilt (durch Rollen oder andere Sitzungsvariablen festgelegt), und ob das NetScreen-RA 500 Zugriff auf eine Ressource gewährt oder eine Konfigurationsoption aktiviert Das NetScreen-RA 500 ist mit einer Zugriffssteuerungsrichtlinie für Network Connect vorkonfiguriert, die allen Benutzern den Zugriff auf das Firmennetzwerk erlaubt. Sie können die Standard-Zugriffssteuerungsrichtlinie für Network Connect auf der Seite Resource Policies>Network Connect>Network Connect Access Control anzeigen. So definieren Sie eine Ressourcenrichtlinie: 1. Wählen Sie in der Administrator-Webkonsole Resource Policies>Network Connect>Network Connect Access Control aus. 2. Klicken Sie auf der Seite Network Connect Access Policies auf New Policy. 3. Gehen Sie auf der Seite New Policy folgendermaßen vor: 1. Geben Sie im Feld Name Folgendes ein: Test-NC-Zugriff 2. Geben Sie den Webserver der Firma im Feld Resources in folgendem Format ein: Protokoll://IP:Port Beispiel: tcp:// :80 3. Wählen Sie unter Roles die Option Policy applies to SELECTED roles und dann im Feld Available Roles Testrolle aus. Klicken Sie anschließend auf Add, um sie in das Feld Selected Roles zu verschieben. 4. Wählen Sie unter Action die Option Deny access aus. 5. Klicken Sie auf Save Changes. Das NetScreen-RA 500 fügt auf der Seite Network Connect Access Policies den Eintrag Test-NC-Zugriff hinzu. 4. Klicken Sie auf der Seite Network Connect Access Policies in der Liste Policies auf das Kontrollkästchen neben Test-NC-Zugriff. Das NetScreen-RA 500 markiert die Tabellenzeile in gelb. Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA

24 5. Klicken Sie oben auf der Seite auf den Pfeil nach oben, um die Zeile Test-NC-Zugriff über die vorgegebene Zeile Initial Open Policy zu verschieben, und klicken Sie dann auf Save Changes. Das NetScreen-RA 500 verarbeitet Ressourcenrichtlinien der Reihe nach und beginnt dabei mit der ersten Richtlinie in der Liste. Damit das NetScreen-RA 500 die richtigen Ressourceneinschränkungen auf Benutzer anwendet, müssen die Richtlinien in einer Ressourcenrichtlinienliste von der restriktivsten zur offensten geordnet werden. Die restriktivste Richtlinie muss dabei als erste in der Liste angegeben werden. Nach Abschluss dieser Schritte haben Sie eine Ressourcenrichtlinie für die Network Connect-Zugriffssteuerung konfiguriert. Hinweis: Auch wenn die nächste Richtlinie in der Liste der Network Connect-Zugriffsrichtlinien Benutzern den Zugriff auf sämtliche Netzwerkressourcen erlaubt, ist Benutzern, die der Rolle Testrolle zugeordnet sind, der Zugriff auf den angegebenen Server verboten. Das liegt daran, dass sie die Bedingungen der ersten Richtlinie (Test-NC-Zugriff) erfüllen, die Vorrang vor der nächsten hat. Abbildung 9: Resource Policies > Network Connect > Network Connect Access Control > New Policy 18 Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA 500

25 Abbildung 10: Resource Policies > Network Connect > Network Connect Access Policies Reihenfolge der Richtlinien ändern Definieren eines Authentifizierungsservers Ein Authentifizierungsserver ist eine Datenbank, in der Anmeldeinformationen für Benutzer (Benutzername und Kennwort) und normalerweise Gruppen- und Attributinformationen gespeichert werden. Wenn sich ein Benutzer am NetScreen-RA 500 anmeldet, gibt er einen Authentifizierungsbereich an, der einem Authentifizierungsserver zugeordnet ist. Das NetScreen-RA 500 leitet die Anmeldeinformationen des Benutzers an diesen Authentifizierungsserver weiter, um die Identität des Benutzers zu überprüfen. Das NetScreen-RA 500 unterstützt die gängigen Authentifizierungsserver, z. B. Windows NT-Domäne, Active Directory, RADIUS, LDAP, NIS, RSA ACE/Server und Netegrity SiteMinder. Sie können eine oder mehrere lokale Datenbanken für Benutzer anlegen, die vom NetScreen-RA 500 authentifiziert werden. Das NetScreen-RA 500 ist mit einem lokalen Authentifizierungsserver für Benutzer namens System Local vorkonfiguriert. Dabei handelt es sich um eine NetScreen-RA 500-Datenbank, mit der Sie schnell Benutzerkonten für die Benutzerauthentifizierung anlegen können. Diese Funktion gibt Ihnen Flexibilität beim Testen und beim Einrichten der Zugriffs für Dritte, da keine Benutzerkonten auf einem externen Authentifizierungsserver angelegt werden müssen. Sie können den lokalen Authentifizierungsserver auf der Seite System>Signing In> Authentication/Authorization Servers anzeigen. Das NetScreen-RA 500 unterstützt auch Autorisierungsserver. Ein Autorisierungsserver (oder Verzeichnisserver) ist eine Datenbank, in der Benutzerattribut- und -gruppeninformationen gespeichert werden. Sie können einen Authentifizierungsbereich so konfigurieren, dass ein Verzeichnisserver Benutzerattribut- oder -gruppeninformationen abruft, die in Rollenzuordnungsregeln und Ressourcenrichtlinien verwendet werden. Testszenario zum Erlernen der Grundlagen und optimalen Verfahren für das NetScreen-RA