Die neue OpenVPNgui Version mit grafischer Oberfläche bietet nachstehende Vorteile:

Transkript

1 Einführung Der OpenVPN Client nutz das UDP Protokoll und die Verschlüsselungstechnik SSL/TLS für einen sicheren Tunnel durch ein unsicheres Netz (Internet) zur Verbindung eines Rechners in der Außenstelle mit dem Verlagsnetz. Ihr Rechner und das Verlagsnetz inklusive Tunnel bilden zusammen das so genannte Virtuelle Private Netzwerk (VPN). Der Tunnel etabliert sich auf Ihrem Client Rechner durch eine neue, virtuelle LAN-Verbindung mit dem TAP- Win32 Adapter V8 und durch ein Icon unten rechts in der Taskleiste. Die neue OpenVPNgui Version mit grafischer Oberfläche bietet nachstehende Vorteile: einfachere Installation schnellerer Vebindungsaufbau bessere Stabilität: OpenVPN läuft im Hintergrund, keine Usertask bessere Statusübersicht (Icon in Taskleiste) Passwort änderbar (Achtung: Mindestlänge nach Änderung 8 Zeichen) Voraussetzung ist ein Rechner mit Windows 2000 SP3 oder XP SP2 (oder höhere Stand) und angeschaltetem VIRENSCANNER/-SHIELD, der kontinuierlich aktuell gehalten wird! Installation 0) Bei einer Erstinstallation befindet sich die aktuelle Software bereits auf dem mitgelieferten USB Memorystick und dieser Installationschritt entfällt. Bei einer Aktualisierung müssen Sie die beiden Dateien openvpn-2.x.x-gui-1.x.x-install.exe und ovpnconfig.exe von unserer Download Webseite herunterladen und auf Ihrem USB Memorystick im OpenVPN2 Verzeichnis speichern, in welchem sich auch Ihre gültigen Zertifikatsdateien befinden. Sie können die neue GUI-Version über eine bereits vorhandene OpenVPN Version installieren. 1) Starten Sie zunächst die Datei openvpn-2.x.x-gui-1.x.x-install.exe und ignorieren den so genannten Microsoft Logotest. Nach erfolgreicher Installation erscheint das neue OpenVPNgui Icon mit zwei roten Monitoren unten rechts in der Taskleiste. 2) Danach starten Sie die Datei ovpnconfig.exe, die sich unbedingt im OpenVPN2 Verzeichnis auf dem USB Memorystick befinden muss. Nach erfolgreicher Ausführung ist OpenVPN bereits startbereit. Sollten Sie eine alte OpenVPN Version aktualisiert haben, löschen Sie noch das alte OpenVPN Icon auf dem Desktop. 3) Aktivierung "Internetverbindungsfirewall". Unter Windows XP Service Pack 2 wird die Internetverbindungsfirewall (ICF) bereits systemseitig automatisch aktiviert. Sofern keine Änderungen vorgenommen wurden, ist unter XP SP2 nichts zu tun. Unter XP Service Pack 1 muß zur Vermeidung von Virusinfektionen parallel zum VPN- Betrieb bei direkt am Internet (DSL) angeschlossenen Rechnern die in Windows enthaltene Internetverbindungsfirewall (ICF) am Netzwerkadapter des ISDN bzw. DSL Anschlusses angeschaltet werden. So geht das: Druckdatum: 09/04/06 1

2 Systemsteuerung Netzwerkverbindungen rechte Maustaste auf entsprechende DSL Verbindung klicken Eigenschaften Erweitert Internetverbindungsfirewall "Haken setzen" Sollte Ihr VPN Rechner an einen DSL Router mit eingebauter Firewall (mit Statefull Inspection) angeschlossen sein, kann man auf die Aktivierung der ICF verzichten. OpenVPN Benutzung Beim Verbindungsaufbau wird das geheime Passwort ihres Private Keys angfordert. Es handelt sich hierbei um die letzten 4 Stellen des 6stelligen challengepassword Ihres WEBGUI Zertifikats. Bei der Zertifikaterstausstellung und bei jeder Verlängerung erhalten Sie eine Benachrichtigungsmail mit Ihrem aktuellen "challengepassword". Mit der neuen GUI Version haben Sie die Möglichkeit, das Passwort zu ändern. Allerdings verlängert sich beim Ändern Ihr Passwort von 4 auf 8 Zeichen. Sollten Sie Ihr geändertes Passwort vergessen, können wir Ihnen nur den ursprünglichen Private Key mit dem Initialpasswort neu ausliefern. OpenVPN Verbindung aufbauen Klicken Sie auf das OpenVPN Icon mit den beiden roten Bildschirmen unten rechts in der Taskleiste und beantworten die Passwort Anforderung. Die beiden Bildschirme im OpenVPN Icon werden grün. OpenVPN Verbindung trennen Klicken Sie auf das OpenVPN Icon mit den beiden grünen Bildschirmen unten rechts in der Taskleiste und klicken danach im OpenVPN Fenster auf den Disconnect Button. Die beiden Bildschirme im OpenVPN Icon werden wieder rot. Netzwerklaufwerke Verbinden Sie können über den Windows Explorer Extras -> Netzwerklaufwerke verbinden oder über Batch Kommandos wie zum Beispiel: net use R: \\grzserv1.madsack.de\0100_grz_allgemein Passwort /USER:VGM\\user Netzwerklaufwerke verbinden. Aus Ihrer angepassten "net use" Befehlskette können Sie sich eine kleine Batchdatei zusammenstellen. Drucker können ebenfalls per "net use" verbunden werden. Druckdatum: 09/04/06 2

3 Auf Ihrem USB Memorystick befindet sich im OpenVPN2 Verzeichnis die Beispiel Batchdatei mslw.cmd der Aufruf nach Ihren Anpassungen: mslw User Passwort Es wird vorausgesetzt, dass der User in der Windows Domain VGM existiert. DNS/WINS Einstellungen Besonders beim Verbinden von Laufwerken sind die IP Einstellungen für DNS und WINS von Bedeutung. Bei Problemen prüfen Sie bitte, ob unter der LAN-Verbindung mit dem TAP- Win32 Adapter V8 die korrekten IP Adressen für die DNS-Server und WINS-Server angezeigt werden. Ermitteln Sie zunächst den Namen der Tunnel LAN-Verbindung (z. Bsp. LAN- Verbindung 2) und geben dann im DOS Fenster (Start -> Ausführen -> cmd) den Befehl ipconfig /all more ein. Dann vergleichen Sie die Daten mit den Angaben Ihres Systemadministrators. Firewalls 3 rd. Party "personell firewalls" auf dem Windows Client können Probleme machen (selten). Schalten Sie gegebenenfalls die 3 rd. Party Firewall aus. Das System ist ausreichend abgesichert, wenn Sie die Windows Internetverbindungsfirewall (ICF) aktiviert haben. Darüber hinaus wird durch Routing der gesamte Datenverkehr in den VPN Tunnel zum abgesicherten Verlagsnetz umgeleitet. Weiterhin wird Ihr System ja mit einem akuellen Virenshield betrieben. Zertifikatslaufzeit Die Authentifizierung erfolgt mittels SSL/TLS Zertifikate, die von unserer vertrauenswürdigen Zertifikierungsstelle Gutenberg_RZ_CA per Trustme Tool mit einer Laufzeit von 400 Tagen erstellt wurden. Bitte ordern Sie rechtzeitig ein neues Zertifikat. Im Falle einer Erneuerung müssen Sie dann nur die neu ausgestellten Dateien *.crt und *.key im OpenVPN2 Verzeichnis auf dem Memorystick speichern bzw. ersetzen und beim Verbindungsaufbau das neue, aktuelle Kennwort verwenden. Sie ermitteln die Laufzeit Ihres Zertifikats durch anklicken Ihrer Zertifikatsdatei mein_name.crt im OpenVPN2 Verzeichnis auf dem Memorystick. Der Microsoft Zertifikatsassistent zeigt Ihnen die Daten Ihres persönlichen Zertifikats an. Zugriffssicherheit Druckdatum: 09/04/06 3

4 Das Virtual Private Network ist vor Missbrauch bei Verlust von mobilen Rechnern wie Notebooks und vor Missbrauch durch "Dritte", die Zugang zu Ihrem Rechner bekommen geschützt: Sie erhalten von uns einen, mit einem 4stelligen Kennwort und 3DES verschlüsselten Private Key. Das Kennwort wird zur Entschlüsselung Ihres Private Keys beim Verbindungsauf bau angefordert. Auslagerung Ihres Private Keys auf das Wechselmedium USB Memorystick. Nach Beendigung der VPN Verlagsnetzverbindung muss bei mobiler OpenVPN Nutzung der Memorystick vom System unbedingt abgezogen und separat verwahrt werden. Ihr Kennwort dürfen Sie natürlich nicht weitergeben. Bei korrekter Anwendung des VPNs ist ein unberechtigter Zugriff auf das Verlagsnetz über Ihren VPN Client auszuschließen, da für den Verlagsneztverbindungsaufbau sowohl der mobile Private Key auf dem Memorystick als auch Ihr geheimes Passwart erforderlich ist. Das Kennwort geht im Übrigen nicht über die Leitung, da es nur lokal zur Entschlüsselung Ihres Private Keys während des Verbindungsaufbaus verwendet wird. Das "Netzwerk Sniffern" (mithören) ist also zwecklos für einen Angreifer. Ein Trojaner (Key logging) sollte aufgrund ihres aktuellen Virenscanners/-shields auch keine Chance haben. Sicherheitsbelehrung mit dem VPN Verbindungsaufbau an das vom Gutenberg Rechenzentrum (GRZ/VGM) betriebene Verlagsnetz erkennen Sie die Sicherheitsrichtlinien des GRZ und der Verlagsgesellschaft Madsack an. Der Betrieb eines aktuellen Virenscanners und -shields wird vorausgesetzt - der Verzicht auf diesen Schutz gilt als grob fahrlässig. Ihr Client System ist von jeglichen Schädlingen wie Viren, Würmern, Trojanern befreit. Die Windows Internetverbindungsfirewall oder gleichwertige Einrichtung bleibt angeschaltet, solange keine anders lautende Empfehlung ausgesprochen wird. Missbräuchliche Nutzungen des VPN Verlagsnetzzugangs wie zum Beispiel "Auskundschaften", "Hacking", "Denial of Service Attacken", "IP Forwarding an Dritte" und "Gewährung des Verlagsnetzzugriffs unbefugten Personen" sowie die "Weitergabe interner Systeminformationen an Dritte" werden strengstens untersagt. Der Memorystick mit dem Authentifizierungsschlüssel wird nach VPN Gebrauch vom System abgezogen und getrennt vom Rechner aufbewahrt. Eventuellen Aufzeichnungen des Kennwortes verwahren Sie getrennt vom Memorystick. Den Verlust Ihrer Zertifikatdateien inklusive Private Key (Memorystick) zeigen Sie uns unverzüglich an, damit wir das entsprechnde Zertifikat sperren können. Das gilt auch für Zertifikate, die in den Besitz nicht authorisierter Personen gelangt sind. Druckdatum: 09/04/06 4

5 Kontakt Gutenberg Rechenzentrum Systemmanagement Netz August-Madsack-Str Hannover Tel.: 0511/ Fax.: 0511/ Mail: noc@gutenberg-rz.de Web : Viel Spaß mit dem VPN Druckdatum: 09/04/06 5