Handlungsanweisung für den Remotezugriff per SSL-VPN auf Resourcen am UKD

Transkript

1 Handlungsanweisung für den Remotezugriff per SSL-VPN auf Resourcen am UKD 1. Vorbemerkungen Beim Remotezugriff per SSL-VPN über ihren Browser erfolgt der Zugriff auf vordefinierte Resourcen am UKD ohne Installation spezieller VPN-Software. Für die Authentisierung sind in Abhängigkeit der Datenschutzklasse der zuzugreifenden Daten personalisierte Smartcard-Zertifikate auf extra dafür ausgewiesene USB-Sticks, bevorzugt epass3000, erforderlich. Diese Zertifikate können nur von dazu berechtigten Mitarbeitern des MRZ ausgestellt werden. Die Remoteverbindung wird durch den Aufruf einer bestimmten URL im Browser aufgebaut. Es ist vom Anwender zu gewährleisten, dass am externen Arbeitsplatz-PC Sicherheitsupdates und Virenscanner stets aktuell sind. Die ausgestellten Smartcard-Zertifikate haben eine Gültigkeit von 3 Jahren. Ein Diebstahl ist umgehend anzuzeigen (Hotline: ), damit eine sofortige Sperrung veranlasst werden kann. Bei vertraglichem Ende des Dienstverhältnisses ist der Zertifikatstick beim zuständigen Administrator der Struktureinheit oder an der Ausgabestelle des MRZ wieder abzugeben. Die in den folgenden Abschnitten zu sehenden Screenshots sind beispielhaft und können in Abhängigkeit vom Betriebssystem, sowie von der Browserart, Browserversion und deren Sicherheitseinstellungen variieren. 2. Vorbereitung für Authentisierung Beachten sie bitte, dass die Installation der Treibersoftware für den epass3000 nicht automatisch erfolgt und deshalb dieser erst nach der manuell erfolgten Installation anzustecken ist. Die Treibersoftware zum epass3000, deren Bestellung über SAP möglich ist, finden sie unter klinikum/geschaftsbereiche/downloads/remote_software/ssl smartcard für Linux, MacOS und Windows. Nach Installation der Software erscheint auf der Taskleiste, rechts im Infobereich, dieses neue Symbol. Nach Einstecken des Smartcard-Sticks können per Doppelclick auf das Icon und anschließendem Click auf <view> die Basisinformationen des aufgespielten Zertifikats, wie Gültigkeitszeitraum, jederzeit ausgelesen werden. <view> Außerdem haben sie über Click auf <Change User PIN> die Möglichkeit, die PIN des Smartcardsticks, welche im ersten Schritt der Authentisierung gefordert wird, zu ändern. <Change User PIN> 1

2 3. Authentisierungsvorgang Um später entsprechend dem Zweck des Remotezugriffs auch eine Differenzierung von Zugangsberechtigungen realisieren zu können, erfolgt eine doppelte Authentisierung. Neben der PIN zum Auslesen der verschlüsselten Informationen des privaten Keys des Zertifikats auf dem Stick ist auch das Passwort des dem Zertifikat zugeordneten Userkontos erforderlich. - Einstecken des Smartcardsticks eventuell Überprüfung wie unter (2.) beschrieben - Aufruf des per Mail mitgeteilten exakten Links XY steht für variable Syntax in Abhängigkeit der Zugriffsziele - Nutzer von mobilen Geräten(z.B. Notebooks) haben auch die Möglichkeit, aus dem UKD-Netz heraus über den Link die Installation der AnyConnect- Software vorzunehmen. - Auswahl des Zertifikats und über <OK> bestätigen - Eingabe der PIN des Smartcard-Sticks und bestätigen mit <OK> - Eingabe des Passwortes des Userkontos User ausgegraut unter BENUTZERNAME - Startseite des SSL-VPN-Portals erscheint hier beispielhaft Welche der Menüpunkte Web Applications, AnyConnect, Terminal Servers bzw. Telnet/SSH Servers nebst den darunter definierten Zielen angezeigt werden, ist abhängig von den jeweiligen Berechtigungen des angemeldeten Users. - Unter Web Applications Anzeige aller vordefinierten HTTP-Ziele Auswahl eines Webziels hier CarusNet CarusNet-Startseite erscheint oben rechts neue Steuerleiste - Unter Terminal Servers Anzeige aller vordefinierten RDP-Ziele 2

3 - Auswahl eines RDP-Ziels hier Terminalserver-KPH - Automatischer Start eines JAVA-Plugins erfolgt - Je nach Browsereinstellungen eventuelle Sicherheitsabfragen bestätigen - RDP-Anmeldefenster erscheint statische Fenstergröße kann in Abstimmung mit zuständigem IT- Verantwortlichen optimiert werden! - Bitte loggen sie sich am Ende ihrer Arbeiten möglichst über den Button in der rechten oberen Ecke des aktiven Browserfensters aus. - Achtung: Entfernen sie den Smartcard-Stick am Ende der Sitzung! - epass3000 entfernen!!! 4. Arbeit mit AnyConnect Unter AnyConnect Start AnyConnect Achtung: Bei erstmaliger Aktivierung erfolgt zunächst die Installation des AnyConnectClient, wofür Adminrechte erforderlich sind! - Abhängig von Sicherheitseinstellungen im verwendeten Browser sind erforderliche Berechtigungen zunächst per Bestätigung freizugeben. 3

4 - Mögliche Meldungen im MS-IE - mögliche Meldung im Firefox Nach erfolgreicher Installation erfolgt sofort der Aufbau des VPN-Tunnels über den gerade installierten AnyConnectClient, da ja die Authentisierung bereits im Vorfeld über die Browser-URL erfolgte. - AnyConnect ist connect Schlosssymbol erscheint in Taskleiste - AnyConnect-Icon zeigt aktuellen Status an: connect: disconnect: Sollte nach erfolgtem Download die Installation nicht automatisch anlaufen, so ist die Installationsdatei aus dem Download-Verzeichnis manuell zu starten. Bei älteren Betriebssystemen kann es vorkommen, dass die Installation mit der aktuellen Version fehlschlägt. Für diese Fälle finden sie unter eine ältere Software-Version von AnyConnect für Linux, MacOS und Windows. - Wenn AnyConnect im Status connect, ist nun neben der verschlüsselten SSL-Verbindung über den Browser zusätzlich ein VPN-Tunnel aktiv. Über diesen können neben den definierten Browserzielen auch zu weiteren Zielen mit entsprechenden Anwendungsclients (z.b. rdp, ssh, ftp) gesicherte Verbindungen aufgebaut werden. - Achtung: Ein Schließen des Browserfensters hat nicht automatisch die Beendigung der VPN- Verbindung über AnyConnect zur Folge(siehe Status-Anzeige). - Der Aufbau der VPN-Verbindung mit AnyConnect kann sowohl, wie gerade beschrieben, über den entsprechenden Link im Browser, als auch direkt über das Icon in der Taskleiste erfolgen. Click auf - Achten sie dabei auf den korrekten Eintrag links neben dem Connect -Button im aufgehenden Fenster patronus.uniklinikum-dresden.de/xy (ausgehend vom per Mail mitgeteilten Link ). - Nach Click auf <Connect> erscheint nach Eingabe der PIN weiteres Dialogfenster: 4

5 - Nach erfolgreicher Authentisierung zeigt AnyConnect den Status connect an. Der VPN- Tunnel ist somit aktiv. Über diesen können nun mit entsprechenden Anwendungsclients (z.b. rdp, ssh, ftp) gesicherte Verbindungen zu den freigegebenen Zielsystemen aufgebaut werden. Hinsichtlich der Anmeldeparameter und erforderlicher lokaler Berechtigungen an diesen Systemen ist der zuständige Administrator zu kontaktieren. - Durch Click auf und anschließendem Disconnect wird die VPN-Verbindung zum UKD wieder deaktiviert. 5. Fehlermeldungen Nachfolgend werden die häufigsten durch Fehlbedienung oder fehlende Rechte verursachte Fehlermeldungen kurz erläutert. - Die Seite patronus.uniklinikum-dresden.de ist nicht erreichbar keine Internetverbindung vorhanden oder Verbindungsversuch erfolgte aus dem internen UKD-Netz - Falsche PIN-Eingabe nach 5 falschen Eingaben wird der Stick gesperrt und kann nur von dazu berechtigten Mitarbeitern des MRZ wieder freigeschaltet werden. - Zertifikat ungültig oder Smartcardstick nicht auslesbar/eingesteckt oder keine Berechtigung - Keine Berechtigung oder Passwort des Userkontos falsch - Sollten sie nach erfolgreicher Authentisierung ein leeres Browserfenster vorfinden, also ohne vordefinierte Ziele, ist entweder die URL falsch(z.b. abgespeicherte Favoriten prüfen), oder es fehlen die erforderlichen SSL-VPN-Berechtigungen (z.b. nur AnyConnect freigeschaltet)! 5