Telearbeit: Freischaltung RDP auf Desktops

Transkript

1 Telearbeit: Freischaltung RDP auf Desktops Hergen Harnisch 8. Juli 2009 Einzurichten durch: Telearbeitende oder OU-Administratoren 1 Überblick Technik-Setup Eigentlich soll für die Telearbeit die Technik virtueller Desktops zur Anwendung kommen. Da dieses technisch schwieriger ist und sich einige der durch USB oder Domänen-Zugehörigkeit ergebenden Probleme mit Windows 7 sowie in den nächsten Versionen der VDI-Software leichter lösen lassen dürften, soll für eine Übergangszeit der Desktop in der Universität beibehalten werden. Der Zugriff vom heimischen Arbeitsplatz soll schon mit Thin-Clients realisiert werden. Dazu soll auf den Desktops im Institut bzw. in der zentralen Einrichtung oder Verwaltung (zusammenfassend kurz OU) der externe Zugriff via Remote-Desktop-Protokoll (RDP) freigeschaltet werden. Der Zugriff per RDP wird aber aus Sicherheits- und Wartungsgründen nicht direkt vom Thin-Client auf den Uni-Desktoprechner erfolgen. Vielmehr kommt ein im RRZN stehender Server als VPN-Endpunkt für die Thin-Clients und Vermittler der RDP-Verbindung zum Einsatz. Dieses hat zur Folge, dass der RDP-Zugriff auf den Desktops nur für diesen Server (vpntele.rrzn.uni-hannover.de, IP ) benötigt wird und aus Sicherheitsgründen auch nur für diesen erfolgen sollte. 2 Vorzunehmende Konfigurationen 2.1 Einstellungen auf OU-Desktops Die Anleitung bezieht sich auf Windows-XP-Professional (klassische Ansicht links und XPeigene rechts dargestellt). Für das Vornehmen der Einstellungen sind Administrator-Rechte erforderlich. Für Windows-Vista sehen die nötigen Schritte für die RDP-Aktivierung ähnlich aus, die Firewall-Öffnung weicht ab. Windows-XP-Home hat die RDP-Funktionalität nicht, sollte aber auch in der Universität nicht zum Einsatz kommen. Stand: 8. Juli

2 2.1.1 RDP-Aktivierung 1. Rechtsklick auf Arbeitsplatz, im erscheinenden Kontext-Menü Eigenschaften wählen, im Fenster Systemeigenschaften den Karteireiter Remote anklicken. 2. Auf der Karteikarte Remote im unteren Abschnitt Remotedesktop ein Häkchen in Benutzern erlauben, eine Remotedesktopverbindung herzustellen setzen; Knopf Remotebenutzer auswählen drücken... Stand: 8. Juli

3 3.... und Nutzer auswählen: zu entfernenden Nutzer wählen und Knopf Entfernen drücken oder Hinzufügen-Knopf drücken und Nutzernamen im erscheinenden Fenster eingeben und bestätigen. Sollte der Rechner in einer Domäne sein und ein Domänen-Nutzer hinzugefügt werden, dann muss der Nutzer mit Domänenzusatz (z.b. angegeben werden. Sind Sie nicht mit einem Domänen-Account angemeldet, so wird noch eine Zugangsberechtigung zur Domäne abgefragt. Nutzerauswahl durch Drücken des OK-Knopfes bestätigen. Beachten Sie, dass die Nutzer für einen Remote-Zugriff über gesetzte Kennwörter verfügen müssen (was eigentlich sowieso üblicher Standard in der LUH ist). 4. Im verbleibenden Fenster Systemeigenschaften die Einstellung durch OK abspeichern Öffnung Windows-Firwall 5. Über Start->Einstellungen->Systemsteuerung bzw. Start->Systemsteuerung die Systemsteuerung starten. Stand: 8. Juli

4 6.1. Nur in der XP-eigenen, nicht in der klassischen Ansicht: im Fenster Systemsteuerung den Eintrag Sicherheits-Center aufrufen Im Fenster Systemsteuerung (klassische Ansicht) bzw. im Fenster Sicherheits-Center (XP-eigene Ansicht) den Punkt Windows-Firewall auswählen, im erscheinenden Fenster Windows-Firewall den Karteireiter Ausnahmen anklicken. 7. Auf der Karteikarte Ausnahmen ist eine alphabetisch sortierte Liste mit Programmen und Diensten. Diese Liste sollte den Eintrag Remotedesktop enthalten, dort ein Häkchen setzen. (Andere Häkchen sollten bei reinen Desktop-PCs i.allg. nicht gesetzt sein, fragen Sie ggf. Ihren Administrator.) Stand: 8. Juli

5 8. Bei markiertem Eintrag Remotedesktop den Knopf Bearbeiten drücken. 9. Im neuen Fenster Dienst bearbeiten den bei markiertem Eintrag TCP 3389 den Knopf Bereich ändern drücken. 10. Neues Fenster Bereich ändern erscheint. Dort Benutzerdefinierte Liste wählen und ins Eingabefeld eintragen. (Evt. sind dort schon Einträge vorhanden, die für Fernwartungszwecke eingerichtet wurden. Klären Sie das ggf. mit Ihrem Administrator, fügen Sie den neuen Eintrag durch ein Komma getrennt an die Liste an.) 11. Alle in den vorigen Schritten geöffneten Fenster durch Drücken des OK-Knopfes verlassen, Systemsteuerung schließen. 2.2 OU-Firewall Sollte vor dem Subnetz / VLAN der OU eine Hardware-Firewall wie z.b. bei der Teilnahme am RRZN-Netzschutz installiert sein, so ist auch dort eine Öffnung für den Remote-Desktop- Zugriff nötig: IP-Protokoll Quell-IP Quell-Port Ziel-IP Ziel-Port tcp beliebig IP des Desktop-PCs 3389 Diese Öffnung muss der OU-Administrator vornehmen. Sollte die OU am Netzschutz des RRZN teilnehmen, so sollte dennoch der OU-Administrator die Änderung wie gewohnt bei der Security-Gruppe des RRZN beantragen. Stand: 8. Juli

6 3 Anmerkungen Für diese Übergangslösung muss der Desktop-PC in der OU i.allg. eingeschaltet bleiben. Der Telearbeiter darf nicht beim Verlassen des Uni-Büros den Rechner ausschalten, wenn er am nächsten Tag an seinem häuslichen Arbeitsplatz arbeiten wird. Als Möglichkeit, versehentliches Ausschalten aufzufangen, oder auch als generelle Lösung, den Stromverbrauch zu senken, bietet sich das automatische Einschalten durch das BIOS an. Dieses ist sehr abhängig von der verwendeten Hardware sowohl die Art der Aktivierung also auch die Zuverlässigkeit. In jedem Falle darf dabei der Rechner nicht am Netzteil oder über eine Schaltleiste ausgeschaltet werden. Er wird dabei zwar über Windows ausgeschaltet, dieses ist in Wahrheit aber eine Art Standby, wie man sie vom Fernseher kennt. Der Rechner kann aus dieser Art Standby durch gewisse Ereignisse wieder hochgefahren werden, z.b. Anschlag auf der Tastatur oder eben zeitgesteuert. Auf einem IBM-Notebook X40 heißt die BIOS-Einstellung z.b. Resume on time: An der ASUS-eeeBox (AMI-BIOS) sieht die nötige BIOS-Einstellung z.b. wie folgt aus: Stand: 8. Juli

7 So ein automatisches Hochfahren sollte unbedingt getestet werden. Zur Sicherheit (egal ob automatisches Hochfahren oder nicht) sollte geklärt werden, wer aus der OU ggf. Zugang zum Büro hat und den Rechner einschalten könnte. 4 Rückmeldung Wenn Sie die Konfigurationsänderung vorgenommen haben, melden Sie dieses bitte dem RRZN per Mail an harnisch@rrzn.uni-hannover.de. Geben Sie dabei unbedingt auch die IP-Adresse des Desktops und welcher Telearbeitende diesen Desktop benutzt mit an. 5 Schlussbemerkung Diese Lösung ist eine Übergangslösung, um den Beginn der Telearbeit nicht zu verzögern. Es ist keine Lösung, mit der auf Dauer Telearbeit für mehr als die derzeitig im Projekt aufgenommenen zehn sinnvoll wäre. Zu einem späteren Zeitpunkt, voraussichtlich Anfang 2010, wird, so dann die technischen Voraussetzungen erfüllt sein werden, schrittweise auf virtuelle Desktops umgestellt werden. Stand: 8. Juli