Virtual Private Networks Cisco AnyConnect VPN Client Windows / opensuse / Mac OS X

Transkript

1 FORSCHUNGSZENTRUM JÜLICH GmbH Jülich Supercomputing Centre Jülich, (02461) Beratung und Betrieb, (02461) Technische Kurzinformation FZJ-JSC-TKI-0410 W.Anrath, S.Werner, E.Grünter Virtual Private Networks Cisco AnyConnect VPN Client Windows / opensuse / Mac OS X Inhaltsverzeichnis 1. Einführung 2. Distribution der Cisco AnyConnect VPN Software 3. Windows Vista / 7 / 8 4. opensuse Linux 5. Mac OS X Leopard - Yosemite 6. FAQ 1. Einführung Mit dem Cisco AnyConnect Secure Mobility VPN Client wird das VPN Zugangsangebot des JSC ergänzt; mittelfristig ist dieser VPN Client vom Hersteller als Nachfolger des bisherigen IPSEC-basierten Cisco VPN Client (TKI-0371) vorgesehen. Insbesondere können bewährte Mechanismen wie beispielsweise die unterschiedlichen Tunnel-Policies fzj oder fzj-nosplit (siehe FAQ Frage 6) unmittelbar weitergeführt werden. Zudem kann bei Bedarf der AnyConnect VPN Client parallel zu L2TP/IPSEC (TKI-0387) installiert werden. Die Kompatibilität mit den Virenscannern Kaspersky Anti-Virus (vgl. FAQ Frage 3) ist gegeben. Ferner sind Kaspersky Internet Security und Windows Security Essentials als kompatibel bekannt. Die AnyConnect-Software und die entsprechenden VPN-Gateway-Konfigurationen werden in vielen wissenschaftlichen Einrichtungen angeboten. Wechselseitig ist damit, anknüpfend an den IPSEC basierten Cisco VPN Client, eine entsprechende Interoperabilität und Konnektivität zwischen den Forschungseinrichtungen gewährleistet. 1

2 Technik Hintergrund: Die Absicherung der Datenübertragung erfolgt mit SSL (TCP Port 443) oder DTLS (UDP Port 443). Die DTLS basierte Übertragung wird dabei bevorzugt. Voraussetzung zur Nutzung dieser Software ist ein gültiges Zertifikat aus der DFN-Global Hierarchie. Dieses Zertifikat kann neben der Verwendung für in diesem Kontext zur notwendigen Client Authentifizierung genutzt werden. Zulassungen/Accounts (Mitarbeiter) zur VPN-Benutzung können für Mitarbeiter beim Dispatch beantragt werden: Sollten Zugänge für Kooperationspartner erforderlich sein, ist eine individuelle Konfiguration nötig. Für Beratung und Fragen dazu stehen die Ansprechpartner im JSC zur Verfügung ( 2. Distribution der Cisco AnyConnect VPN Software Die Installation sollte OFFLINE erfolgen. Dazu können die sogenannten PreDeploy Images verwendet werden. Diese werden auf dem System pcsrv \\pcsrv.zam.kfa-juelich.de\public\vpn-software\cisco-anyconnect zum Download angeboten. Die Installation kann aber auch wie folgt beschrieben durch eine initiale Verbindung zur VPN-Appliance wingate.zam.kfa-juelich.de (Backup: wingateb.zam.kfa-juelich.de), beispielsweise aus dem WLAN Gäste-Netz (TKI-408), mit lokalen Administratorrechten auf dem PC erfolgen. Bitte halten Sie kurzzeitig für die Installation den Virenscanner an. Im späteren Betrieb prüft der AnyConnect Client beim Verbindungsaufbau, ob eine neue aktuellere Version der AnyConnect Client Software verfügbar ist und führt gegebenenfalls den Download und Installationsschritt durch. Dem Benutzer wird der Ablauf dieser Installation in einem Fenster mit Titel VPN Client Downloader angezeigt. Sollten in den Einstellungen des jeweiligen Virenscanners Ausnahmen (vgl. FAQ Frage 3) eingetragen worden sein, ist in der Regel vor dem erneuten Verbindungsversuch ein Neustart des Virenscanners erforderlich, um das Regelwerk im Virenscanner an die neue AnyConnect Version zu binden. 2

3 3. Windows Vista / 7 / 8 Voraussetzung für die nachfolgenden Schritte ist ein gültiges FZJ-CA Zertifikat CA vom Typ Global. Die Installation der VPN-Software erfordert Administratorrechte. Die Installation kann mit dem bereitgestellten Pre-Deployment-Image anyconnect-win pre-deploy-k9.msi erfolgen. Beachten Sie bei Fehlern den Hinweis im FAQ (Frage 3) zu Kaspersky Anti-Virus. Benutzung: Sie können ab sofort mit dem installierten Programm die Verbindung herstellen. Sie finden das Programm unter Start - Alle Programme - Cisco - Cisco AnyConnect Secure Mobility VPN Client. VPN-Gateways: wingate.zam.kfajuelich.de oder (Backup-Zugang) wingateb.zam.kfajuelich.de Mögliche Group-Policy auswählen. VPN-Benutzerkennung! Verbindungs-ICON in der Task-Leiste: 3

4 Detailinformation anzeigen durch Click auf das Symbol. 4

5 4. opensuse Linux Wir empfehlen die Installation klassisch mit dem bereitgestellten Pre-Deployment-Image. Für die Installation werden Administratorrechte verlangt. Nutzen Sie aus dem Download-Bereich das TAR-Archiv anyconnect-predeploy-linux k9.tar.gz Das Archiv in ein lokales Verzeichnis kopieren, auspacken und die Installation starten: Vorrausetzung für den Aufbau der Verbindung ist, dass ein gültiges FZJ-CA Zertifikat vom Typ Global installiert ist. Mittels Firefox und einer vorliegenden PKCS12-Datei kann dieses wie folgt installiert werden: Firefox öffnen => Edit => Preferences => Advanced => View Certificates => Your Certificates => Import (oder nur Kontrolle mit View) 5

6 Vorname Name Die Verbindung kann wie folgt aufgebaut werden: Statt der grafischen Bedienoberfläche /opt/cisco/vpn/bin/vpnui 6

7 kann alternativ das Kommandozeilen-Tool /opt/cisco/anyconnect/bin/vpn VPN> connect wingate.zam.kfa-juelich.de VPN> disconnect genutzt werden. Akzeptieren Sie einmalig beim ersten Verbindungsaufbau das folgende Zertifikat: 7

8 5. Mac OS X Leopard - Yosemite Voraussetzung für die nachfolgenden Schritte ist ein gültiges FZJ-CA Zertifikat vom Typ Global. Vorname Name Die Installation erfordert Administratorrechte und kann mit dem bereitgestellten Pre- Deployment-Image erfolgen: anyconnect-macosx-i k9.dmg 8

9 Installieren Sie bitte nur die VPN-Komponente. Benutzung: Akzeptieren Sie einmalig beim ersten Verbindungsaufbau die Server-Zertifikate für wingate.zam.kfa-juelich.de bzw. wingateb.zam.kfa-juelich.de. Erlauben Sie beim Verbindungsaufbau den Zugriff auf das eigene Benutzer-Zertifikat im Schlüsselbund. (Falls kein gültiges Zertifikat verfügbar ist, endet der Verbindungsversuch mit der Meldung Certificate Validation Failure.) 9

10 VPN-Gateways: wingate.zam.kfa-juelich.de oder (Backup-Zugang) wingateb.zam.kfa-juelich.de Mögliche Group-Policy auswählen. VPN-Benutzerkennung! 10

11 Verbindungs-ICON VPN aktiv Anzeige: Statistics u. Messages History 11

12 Das Connection Log zeigt den zeitlichen Verlauf des Verbindungsaufbaus. Die Datei /var/log/system.log (Zugriff: Administratorrechte) enthält darüber hinaus Meldungen zur Diagnose von Verbindungsproblemen: grep acvagent /var/log/system.log Alternativ kann im Problemfall das,diagnostic and Reporting Tool nachinstalliert werden. 6. FAQ 1. Kann beim Import (Windows) eines Zertifikates die Funktion Hohe Sicherheit für den privaten Schlüssel aktiviert werden? Ja dieses Sicherheitsfeature wird unterstützt. Das folgende Beispiel zeigt die Nachfrage, ob der Zugriff auf den Zertifikatsspeicher beim Verbindungsaufbau (Connect) gewährt werden soll (Windows Vista): 12

13 2. Kann Start-Before-Logon (SBL) unterstützt werden. Nein. Die Client-Authentifizierung mit Zertifikaten und SBL sind nicht kompatibel. 3. Der Verbindungsversuch endet mit der Fehlermeldung Unable to establish VPN. Falls Sie Kaspersky Anti-Virus 6.0 nutzen, so prüfen Sie bitte, ob unter Einstellungen - > Vertrauenswürdige Zonen das Programm vpnagent.exe mit der Einstellung Netzwerkverkehr nicht untersuchen eingetragen ist. Nehmen Sie gegebenenfalls das Programmm vpnagent.exe in die Liste mit den genannten Einstellungen auf. Falls Sie Kaspersky Internet Security 2010 einsetzen, öffnen Sie unter Einstellungen > Gefahren und Ausnahmen -> Ausnahmen Einstellungen -> Vetrauenswürdige Programme und fügen dort das Programm vpnagent.exe (Pfad s.o.) hinzu. 4. Welches Windows 7 Firewall-Profil wird für den VPN-Adapter/Verbindung verwendet? 13

14 Nach der Installation ist der Cisco AnyConnect Adapter in allen Firewall-Profilen eingetragen (Name: LAN-Verbindung n, der Befehl ipconfig /all zeigt die Zuordnung der Indexnummer n zum aktiven AnyConnect Adapter). Dadurch gilt das Öffentliche Profil. In der Windows Firewall mit erweiterter Sicherheit kann diese Auswahl im Menu Geschützte Netzverbindungen explizit angepasst werden, um beispielsweise das Private Profil für die VPN-Verbindung zu aktivieren. 5. Kann gleichzeitig die Windows Funktion Internet Connection Sharing genutzt werden? Nein. Diese Komponente ist nicht kompatibel mit AnyConnect. 6. Der Zugriff auf elektronische Zeitschriften der ZB funktioniert nicht / ist nicht erlaubt. Wegen der Split-Tunnel-Einstellung in der Tunnel-Policy fzj wird nur der IP-Traffic zu Rechnern im JuNet ( /16) in den VPN-Tunnel geleitet. Die Kommunikation zum Internet erfolgt direkt über den jeweiligen Service-Provider (z.b. T-Online) mit deren IP- Adressen. Durch Änderung der VPN-Gruppe auf fzj-nosplit wird der gesamte IP-Traffic in den VPN-Tunnel geleitet und der Zugriff auf die Zeitschriften erfolgt mit einer gültigen JuNet-IP-Adresse. 14