Telearbeit: Freischaltung RDP auf Desktops

Transkript

1 Telearbeit: Freischaltung RDP auf Desktops Hergen Harnisch, Waldemar Münz 22. August 2013 Einzurichten durch: Telearbeitende oder OE-Administratoren 1 Überblick Technik-Setup Langfristig soll für die Telearbeit die Technik virtueller Desktops zur Anwendung kommen. Da dieses technisch schwieriger ist und sich einige der durch USB oder Domänen- Zugehörigkeit ergebenden Probleme mit Windows 7 sowie in den nächsten Versionen der VDI-Software leichter lösen lassen dürften, wird für eine Übergangszeit der Desktop in der Universität beibehalten. Der Zugriff vom heimischen Arbeitsplatz wird bereits mit Thin- Clients realisiert. Dazu muss auf den Desktops im Institut bzw. in der zentralen Einrichtung oder Verwaltung (zusammenfassend kurz OE) der externe Zugriff via Remote-Desktop-Protokoll (RDP) freigeschaltet werden. Der Zugriff per RDP wird aber aus Sicherheits- und Wartungsgründen nicht direkt vom Thin-Client auf den Uni-Desktoprechner erfolgen, vielmehr kommt ein im Rechenzentrum stehender Server als VPN-Endpunkt für die Thin-Clients und Vermittler der RDP-Verbindung zum Einsatz. Dieses hat zur Folge, dass der RDP-Zugriff auf den Desktops nur für diesen Server (vpntele.rrzn.uni-hannover.de, IP ) benötigt wird und aus Sicherheitsgründen auch nur für diesen freigeschaltet werden sollte. 2 Vorzunehmende Konfigurationen 2.1 Einstellungen auf Windows-XP-Desktops Die Anleitung bezieht sich auf Windows-XP-Professional (klassische Ansicht links und XPeigene rechts dargestellt). Für das Vornehmen der Einstellungen sind Administrator-Rechte erforderlich. Für Windows-Vista sehen die nötigen Schritte für die RDP-Aktivierung ähnlich aus, die Firewall-Öffnung weicht ab, vergleiche ggf. mit den Einstellungen für Windows-7 im Abschnitt 2.2. Windows-XP-Home hat die RDP-Funktionalität nicht, sollte aber auch in der Universität nicht zum Einsatz kommen. 22. August

2 2.1.1 RDP-Aktivierung 1. Rechtsklick auf Arbeitsplatz, im erscheinenden Kontext-Menü Eigenschaften wählen, im Fenster Systemeigenschaften den Karteireiter Remote anklicken. 2. Auf der Karteikarte Remote im unteren Abschnitt Remotedesktop ein Häkchen in Benutzern erlauben, eine Remotedesktopverbindung herzustellen setzen; Knopf Remotebenutzer auswählen drücken August

3 3.... und Nutzer auswählen: zu entfernenden Nutzer wählen und Knopf Entfernen drücken oder Hinzufügen-Knopf drücken und Nutzernamen im erscheinenden Fenster eingeben und bestätigen. Sollte der Rechner in einer Domäne sein und ein Domänen-Nutzer hinzugefügt werden, dann muss der Nutzer mit Domänenzusatz (z.b. angegeben werden. Sind Sie nicht mit einem Domänen-Account angemeldet, so wird noch eine Zugangsberechtigung zur Domäne abgefragt. Nutzerauswahl durch Drücken des OK-Knopfes bestätigen. Beachten Sie, dass die Nutzer für einen Remote-Zugriff über gesetzte Kennwörter verfügen müssen (was eigentlich sowieso üblicher Standard in der LUH ist). 4. Im verbleibenden Fenster Systemeigenschaften die Einstellung durch OK abspeichern Öffnung Windows-Firwall 5. Über Start->Einstellungen->Systemsteuerung bzw. Start->Systemsteuerung die Systemsteuerung starten. 22. August

4 6.1. Nur in der XP-eigenen, nicht in der klassischen Ansicht: im Fenster Systemsteuerung den Eintrag Sicherheits-Center aufrufen Im Fenster Systemsteuerung (klassische Ansicht) bzw. im Fenster Sicherheits-Center (XP-eigene Ansicht) den Punkt Windows-Firewall auswählen, im erscheinenden Fenster Windows-Firewall den Karteireiter Ausnahmen anklicken. 7. Auf der Karteikarte Ausnahmen ist eine alphabetisch sortierte Liste mit Programmen und Diensten. Diese Liste sollte den Eintrag Remotedesktop enthalten, dort ein Häkchen setzen. (Andere Häkchen sollten bei reinen Desktop-PCs i.allg. nicht gesetzt sein, fragen Sie ggf. Ihren Administrator.) 22. August

5 8. Bei markiertem Eintrag Remotedesktop den Knopf Bearbeiten drücken. Leibniz Universität 9. Im neuen Fenster Dienst bearbeiten den bei markiertem Eintrag TCP 3389 den Knopf Bereich ändern drücken. 10. Neues Fenster Bereich ändern erscheint. Dort Benutzerdefinierte Liste wählen und ins Eingabefeld eintragen. (Evt. sind dort schon Einträge vorhanden, die für Fernwartungszwecke eingerichtet wurden. Klären Sie das ggf. mit Ihrem Administrator, fügen Sie den neuen Eintrag durch ein Komma getrennt an die Liste an.) 11. Alle in den vorigen Schritten geöffneten Fenster durch Drücken des OK-Knopfes verlassen, Systemsteuerung schließen. 2.2 Einstellungen auf Windows-7-Desktops Die Anleitung bezieht sich auf Windows 7 in den Versionen Professional, Ultimate und Enterprise. Für das Vornehmen der Einstellungen sind Administrator-Rechte erforderlich. 22. August

6 2.2.1 RDP Aktivierung bei Windows 7 1. Linksklick auf den Windows 7 Startbutton im Auswahlmenü Rechtsklick auf Computer, im erscheinenden Kontext Menü Eigenschaften wählen. 2. Im Fenster Computer Eigenschaften Remoteeinstellungen wählen, anschließend im Fenster Systemeigenschaften den Karteireiter Remote anklicken. 3. Auf der Karteikarte Remote im unteren Abschnitt Remotedesktop den Radiobutton Verbindungen von Computern zulassen, auf denen eine beliebige Version von Remotedesktop ausgeführt wird wählen; den Knopf Benutzer auswählen drücken August

7 4.... und Nutzer auswählen: zu entfernenden Nutzer wählen und Knopf Entfernen drücken, oder den Knopf Hinzufügen drücken und Nutzernamen im erscheinenden Fenster eingeben und bestätigen. Sollte der Rechner in einer Domäne sein und ein Domänen-Nutzer hinzugefügt werden, dann muss der Nutzer mit Domänenzusatz (z.b. angegeben werden. Sind Sie nicht mit einem Domänen-Account angemeldet, so wird noch eine Zugangsberechtigung zur Domäne abgefragt. Nutzerauswahl durch Drücken des OK-Knopfes bestätigen. Beachten Sie, dass die Nutzer für einen Remote-Zugriff über gesetzte Kennwörter verfügen müssen (was eigentlich sowieso üblicher Standard in der LUH ist) Öffnung Windows Firewall bei Windows August

8 5. Linksklick auf den Windows 7 Startbutton, in das Eingabefeld Programme/Dateien durchsuchen das Wort Firewall eintippen und anschließend den Eintrag Windows- Firewall mit erweiterter Sicherheit auswählen. 6. Im Fenster Windows-Firewall mit erweiterter Sicherheit im linken Bereich Eingehende Regeln wählen, im mittleren Bereich des Fensters nach dem Eintrag Remotedesktop (TCP eingehend) suchen und mit Hilfe der rechten Maustaste Eigenschaften wählen. Hinweis: Die Remotedesktop-Regel sollte normalerweise nach der RDP-Aktivierung aktiv sein (gekennzeichnet mit dem Haken im grünen Kreis). Sollte dies nicht der Fall sein, muss mit Hilfe der rechten Maustaste die Regel aktiviert werden. 7. Auf der Karteikarte Bereich im unteren Abschnitt Remote-IP-Adresse den Radiobutton Diese IP-Adressen wählen. (Eventuell sind dort schon Einträge vorhanden, die für 22. August

9 Fernwartungszwecke eingerichtet wurden. Klären Sie das ggf. mit Ihrem Administrator.) Anschließend den Hinzufügen-Knopf drücken. 8. Neues Fenster IP-Adresse erscheint. Dort den Radiobutton Diese IP-Adresse oder dieses Subnetz wählen und ins Eingabefeld eintragen und mit OK bestätigen. 9. Eigenschaften von Remotedesktop (TCP eingehend) durch Drücken des OK-Knopfes verlassen und das Fenster Windows-Firewall mit erweiterter Sicherheit schließen. 2.3 OE-Firewall Sollte vor dem Subnetz / VLAN der OE eine Hardware-Firewall wie z.b. bei der Teilnahme am RRZN-Netzschutz installiert sein, so ist auch dort eine Öffnung für den Remote-Desktop- Zugriff nötig: 22. August

10 IP-Protokoll Quell-IP Quell-Port Ziel-IP Ziel-Port tcp beliebig IP des Desktop-PCs 3389 Diese Öffnung muss der OE-Administrator vornehmen. Sollte die OE am Netzschutz des RRZN teilnehmen, so sollte dennoch der OE-Administrator die Änderung wie gewohnt bei der Security-Gruppe des RRZN beantragen. 3 Anmerkungen Für diese Übergangslösung muss der Desktop-PC in der OE i.allg. eingeschaltet bleiben. Der Telearbeiter darf nicht beim Verlassen des Uni-Büros den Rechner ausschalten, wenn er am nächsten Tag an seinem häuslichen Arbeitsplatz arbeiten wird. Als Möglichkeit, versehentliches Ausschalten aufzufangen, oder auch als generelle Lösung, den Stromverbrauch zu senken, bietet sich das automatische Einschalten durch das BIOS an. Dieses ist sehr abhängig von der verwendeten Hardware sowohl die Art der Aktivierung also auch die Zuverlässigkeit. In jedem Falle darf dabei der Rechner nicht am Netzteil oder über eine Schaltleiste ausgeschaltet werden. Er wird dabei zwar über Windows ausgeschaltet, dieses ist in Wahrheit aber eine Art Standby, wie man sie vom Fernseher kennt. Der Rechner kann aus dieser Art Standby durch gewisse Ereignisse wieder hochgefahren werden, z.b. Anschlag auf der Tastatur oder eben zeitgesteuert. Auf einem IBM-Notebook X40 heißt die BIOS-Einstellung z.b. Resume on time: An der ASUS-eeeBox (AMI-BIOS) sieht die nötige BIOS-Einstellung z.b. wie folgt aus: 22. August

11 So ein automatisches Hochfahren sollte unbedingt getestet werden. Zur Sicherheit (egal ob automatisches Hochfahren oder nicht) sollte geklärt werden, wer aus der OE ggf. Zugang zum Büro hat und den Rechner einschalten könnte. 4 Rückmeldung Wenn Sie die Konfigurationsänderung vorgenommen haben, melden Sie dieses bitte dem Rechenzentrum per Mail an telearbeit@rrzn.uni-hannover.de. Geben Sie dabei unbedingt auch die IP-Adresse des Desktops und welcher Telearbeitende diesen Desktop benutzt mit an. 22. August