Schnell-Installation ViPNet OFFICE 3.0

Transkript

1 Schnell-Installation mit Sicherheit verbunden Virtual Private Network

2 ViPNet VPN ist doch einfach! Ein virtuelles privates Netzwerk einzurichten, ist normalerweise eine hochkomplexe Geschichte. Es gibt sehr viele Nebenbedingungen zu beachten. Außerdem ist ein gerütteltes Maß an Kenntnissen in Netzwerken vonnöten. ViPNet OFFICE kann jedoch für einfache VPN-Einrichtungen mit wenigen Clients den Aufwand reduzieren. Es ist lediglich nötig, den stets erreichbaren zentralen Server ViPNet Coordinator zu installieren und vom Internet-Gateway eine Port-Weiterleitung einzurichten. Zusätzlich benötigt man zum Aufs etzen der VPN-Struktur noch den ViPNet-Manager, der später nur beim Hinzufügen von neuen Clients in das ViPNet-VPN sowie zur späteren Konfiguration zum Einsatz kommt. Und schließlich muss auf den Clients, die auf die Server oder andere Netzwerkressourcen zugreifen sollen, die ViPNet Client Software installiert werden. Betrachten wir einmal die folgende, ganz alltägliche Ausgangssituation. Ein kleines Unternehmen betreibt an seinem (Haupt-)Standort einen Server, auf dem beispielsweise ein Fileserver, eine kaufmännische Anwendung oder auch ein Terminalserver betrieben werden. Zusätzlich soll auch an diesem Standort bei Bedarf auf einen Netzwerkdrucker oder ein NAS-Speichergerät zugegriffen werden können. Es gibt zwei Mitarbeiter, die nun zuverlässig und selbstverständlich verschlüsselt, von zu Hause oder von unterwegs aus, Zugang zu all diesen Ressourcen haben möchten. Dies ist sicherlich die am häufigsten anzutreffende Installationsvariante. Sie lässt sich in wenigen Minuten aufsetzen. Und alles was Sie dazu benötigen ist das ViPNet OFFICE Starterpaket. Natürlich ist es möglich, die Komplexität beliebig zu steigern. Die Grundinstallation und somit die am häufigsten auftretende Topologie benötigt jedoch keine komplizierten Einrichtungen und Konfigurationen: Einfach die Software installieren sowie die Portweiterleitung im Router einrichten. Sollte keine feste öffentliche IP-Adresse vorhanden sein, so müsste alternativ eine DynDNS-Adresse bei einem Dienst wie z.b. no-ip.org aufgesetzt werden. Die feste IP-Adresse bzw. der DynDNS-Name werden danach im ViPNet Manager eingetragen und die Schlüssel für die Clients erstellt. Als letztes die Clients mit den Schlüsseln installieren und das war es bereits. Schon kann man mit diesen Rechnern auch unterwegs mit dem Firmennetz in Verbindung bleiben. Eine minimalistische Installation von ViPNet sieht wie folgt aus. Das Installationspaket es enthält alle Komponenten wie Clients, Coordinator und Manager - muss beim Hersteller heruntergeladen werden, unter: Der Download ist selbstverständlich kostenlos und die Software kann übrigens auch 60 Tage lang völlig unverbindlich getestet werden. 1 Installation des ViPNet Managers auf dem Administratorrechner. Hier erstellt der Administrator die Schlüssel für die Clients sowie den Coordinator und Möchte man später Konfigurationsaktualisierungen und Schlüsselupdates automatisch im Netz verteilen, sollte auf den Rechner mit dem ViPNet Manager zudem ein ViPNet Client installiert werden, der diese Verteilungsaufgaben übernimmt. Drucker Administrator ViPNet Manager ViPNet Client NAS 4 Terminal Server File Server/CRM ViPNet Coordinator Eine detaillierte Installationsanleitung finden Sie auf den folgenden Seiten 1 2 Router ViPNet Client ViPNet Client Auf einen Rechner, der ständig erreichbar sein sollte, kommt nun der Coordinator. Diesem gibt man die passende, mit dem Manager erstellte Schlüsseldatei mit. Auf dem Internet-Router muss eine Port-Weiterleitung für den Port UDP auf die feste lokale IP-Adresse dieses stets erreichbaren Rechners eingerichtet werden. Jetzt auf die Client-Rechner, die in dem ViPNet-VPN miteinander kommunizieren sollen, den ViPNet-Client mit dem jeweils zugehörigen Schlüssel vom ViPNet-Manager einrichten. Hierzu gehören dann etwa der Fileserver sowie das Notebook des Außendienstmitarbeiters. Konfiguration der lokalen IP-Adressen des Netzwerkdruckers und des NAS-Gerätes auf dem Coordinator, damit dieser die verschlüsselten Verbindungen von außen auf diese Geräte tunneln kann. Mit dem Lizenzumfang des ViPNet OFFICE Paketes kann jeweils zur selben Zeit nur das eine oder das andere Gerät erreicht werden. Diese Installation dauert mit ein wenig Planung nur einige Minuten. Vor Allem das Einrichten der Port-Weiterleitung und die Nutzung eines DynDNS-Dienstes sollten bereits vor der Installation der Software durchgeführt werden.

3 Schnell-Installation: Vorbereitung, Manager Installation 1. Vorbereitung 1. ViPNet OFFICE besteht aus 3 Modulen: Manager (Verwaltungsmodul), Coordinator (Vermittlungsserver) und Client. Entscheiden Sie, auf welchem Rechner welche(s) Modul(e) installiert werden soll(en). Der Coordinator muss von allen Clients ständig erreicht werden können. Das heißt, er sollte ständig eingeschaltet und online sein. Es ist zum Beispiel möglich, den Coordinator dort zu installieren, wo auch die Daten gespeichert sind, auf die zugegriffen werden soll oder auf einem anderen beliebigen Desktop-Rechner bzw. Server. Im Coordinator Netzwerk benötigen Sie administrative Rechte für die externe Firewall oder den DSL Router (NAT Gerät) um eine Portweiterleitung einzurichten. Der Manager selbst kommuniziert nicht. Er ist eine reine Verwaltungsapplikation, dient zum Erstellen der Schlüssel, und er sollte als erstes installiert werden. Der Manager wird normalerweise zusammen mit einem Client auf einem Rechner des Netzwerkadministrators installiert. Es ist ratsam, einen ViPNet Client auf dem Manager-PC zu installieren, damit später die Schlüsselupdates vom Manager-PC mit Hilfe des Clients automatisch versendet werden können. Der Manager kann aber in einzelnen Fällen, z.b. auf Grund der mangelnden Hardware-Ressourcen, auch zusammen mit dem Coordinator installiert werden. 2. Nachdem Sie entschieden haben, welcher PC der Coordinator sein wird, stellen Sie sicher, dass dieser PC/Server eine feste private IP-Adresse hat. 3. In dem DSL Router/Firewall (NAT Gerät), hinter dem sich der zukünftige Coordinator befindet, richten Sie eine Portweiterleitung auf die private IP-Adresse des Coordinators ein. Alle UDP-Pakete die am Port ankommen, müssen an die IP-Adresse des Coordinators mit der gleichen Portnummer weitergeleitet werden. 4. Falls Sie am Standort des Coordinators nicht über eine feste öffentliche IP-Adresse verfügen, richten Sie auf dem entsprechenden Router einen DynDNS-Service ein. Dazu benötigen Sie einen Account, z.b. bei oder Anleitungen des Einrichtungsassistenten. Sie haben die Möglichkeit, die im Assistent automatisch erstellten Coordinator- und Clientnamen umzubenennen. Sie benötigen jetzt die Informationen aus dem Abschnitt Vorbereitung. Geben Sie die lokale IP-Adresse des Coordinators, die externe feste IP-Adresse der Firewall oder den DNS-Namen der Firewall (z. B. DynDNS-Service) an. 3. Entfernen Sie das Häkchen um optionale Einstellungen vorzunehmen. 4. Nach Fertigstellung des Assistenten startet der ViPNet Manager. 5. Optional haben Sie jetzt die Möglichkeit, die Benutzerrechte der Clients anzupassen. Wenn es Ihre lokalen Sicherheitsrichtlinien erlauben, können Sie hier festlegen, dass die Clientpasswörter zur bequemen Anmeldung abgespeichert werden dürfen. Markieren Sie dazu im linken Bereich den entsprechenden Client: 2. Manager Installation 1. Beginnen Sie mit dem Netzwerkadministrator-Arbeitsplatz oder dem zukünftigen Coordinator-Rechner und installieren dort die ViPNet Manager Applikation. Hier finden Sie das jederzeit aktuelle Installationspaket ViPNet OFFICE mit Manager, Client und Coordinator: Führen Sie die Installationsdatei (vipnet_deu.exe) aus und wählen den ersten Schritt - ViPNet Manager Installation. Für den Betrieb des Managers wird zunächst eine Microsoft SQL Express 2008 Installation durchgeführt. 2. Starten Sie den ViPNet Manager und legen ein Manager-Passwort fest. Dieses Passwort gilt nur für die Manager Applikation und kann weder gespeichert noch wiederhergestellt werden. Folgen Sie den

4 Schnell-Installation: Manager und Coordinator Installation 6. Für alle weiteren Einstellungen können die Standardwerte übernommen werden. Klicken Sie jetzt auf Extras dann auf Schlüssel und Schlüsseldistribution speichern. 5. Nach dem Neustart installieren Sie die Schlüsseldistribution (*.dst) für den Coordinator, die sich im Schlüsselverzeichnis\[Coordinatorname] befindet (siehe Abschnitt 2.7), durch Doppelklick auf die *.dst Datei. 6. Starten Sie den ViPNet Coordinator. Das Benutzerpasswort finden Sie in der Datei vipnet.txt im Schlüsselverzeichnis. 7. Achtung! In der unregistrierten Demo-Version ist standardmäßig die Sicherheitsstufe 4 aktiviert. Diese Sicherheitsstufe ist nur für Testzwecke bestimmt um eine möglichst reibungslose Inbetriebnahme zu ermöglichen. Ihr Rechner ist dabei vor Netzwerkangriffen nicht geschützt. Wir empfehlen Ihnen, mindestens die Sicherheitsstufe 3 zu aktivieren (siehe Bild unten). Beachten Sie, dass, bevor die Sicherheitsstufe von 4 auf 3 geändert wird, möglicherweise Regeln im Bereich Offenes Netzwerk erstellt werden müssen. Sehen Sie dazu Abschnitt Die Schlüsseldistributionen lassen sich an einem benutzerdefinierten Ort abspeichern. Für jeden ViPNet Netzwerkknoten (Coordinator und Clients) wird dabei die entsprechende Schlüsseldistribution (Datei mit der Erweiterung.dst) erzeugt. Außerdem werden 2 Textdateien erzeugt in denen alle Benutzerpasswörter (vipnet.txt) und das Administrator Passwort (vipnet_a.txt) abgespeichert sind. Nur durch die Schlüsseldistribution und das Benutzerpasswort wird der ViPNet Netzwerkknoten (Coordinator oder Client) gebrauchsfähig. Durch die Übergabe des Passworts an den Benutzer und die Installation der Schlüsseldistribution erfolgt die Autorisierung zur Teilnahme am VPN. Bitte gehen Sie sorgfältig mit diesen Informationen um. 3. Coordinator Installation 1. ViPNet Coordinator beinhaltet zusätzlich bereits eine eigene Firewall zum Endpoint Schutz. Wenn mehr als eine software-basierte Firewall auf dem Coordinator-Rechner aktiv ist, kann es zu Systemstörungen kommen. Daher empfehlen wir, Ihre Personal Firewall Anwendung wie z.b. Kaspersky Internet Security, Norton Internet Security, AVG u. ä. zu deaktivieren, falls vorhanden. 2. Führen Sie die Installationssoftware vipnet_deu.exe aus und wählen den zweiten Schritt (Installation von ViPNet Coordinator). Falls Sie auf diesem Rechner vorher den ViPNet Manager installiert haben, erhalten Sie eine ähnliche Auswahl. 3. Falls Sie die *.dst-datei des Coordinators auf diesem Rechner abgespeichert haben, setzen Sie ein Häkchen bei Die DST-Datei mit der Schlüsseldistribution für den Coordinator ist auf diesem Rechner vorhanden. Die Schlüsseldistribution sollte zuvor im Programm ViPNet Manager erstellt worden sein. 4. Folgen Sie den Anweisungen. Die Vorgaben können unverändert übernommen werden.

5 Schnell-Installation: Client Installation, Einrichtung des Coordinators und Clients 4. Client Installation 1. ViPNet Client beinhaltet zusätzlich bereits eine eigene Firewall zum Endpoint Schutz. Wenn mehr als eine software-basierte Firewall auf dem Client-Rechner aktiv ist, kann es zu Systemstörungen kommen. Daher empfehlen wir, Ihre Personal Firewall Anwendung wie z.b. Kaspersky Internet Security, Norton Internet Security, AVG u. ä. zu deaktivieren, falls vorhanden. 2. Auf dem zukünftigen Client Rechner führen Sie die Installationssoftware vipnet_deu.exe erneut aus und wählen den dritten Schritt (Installation von ViPNet Client). Falls auf diesem Rechner zuvor der ViPNet Manager installiert wurde, bekommen Sie eine ähnliche Auswahl. 3. Falls Sie die *.dst-datei zu dem Client auf diesem Rechner abgespeichert haben, setzen Sie ein Häkchen bei Die DST-Datei mit der Schlüsseldistribution für den Client ist auf diesem Rechner vorhanden. Die Schlüsseldistribution sollte zuvor im Programm ViPNet Manager erstellt worden sein. 4. Folgen Sie den Anweisungen. Die Vorgaben können unverändert übernommen werden (Typische Installation). 5. Nach dem Neustart installieren Sie die Schlüsseldistribution (*.dst) für diesen Client, die sich im Schlüsselverzeichnis\[Clientname] befindet, durch Doppelklick auf die *.dst Datei. 6. Starten Sie den ViPNet Monitor. Das Benutzerpasswort finden Sie in der Datei vipnet.txt im Schlüsselverzeichnis. 7. Achtung! In der unregistrierten Demo-Version ist standardmäßig die Sicherheitsstufe 4 aktiviert. Diese Sicherheitsstufe ist nur für Testzwecke bestimmt um eine möglichst reibungslose Inbetriebnahme zu ermöglichen. Ihr Rechner ist dabei vor Netzwerkangriffen nicht geschützt. Wir empfehlen Ihnen, mindestens die Sicherheitsstufe 3 zu aktivieren (Bild unten). Beachten Sie, dass in der Sicherheitsstufe 3 möglicherweise Regeln im Bereich Offenes Netzwerk erstellt werden müssen. Sehen Sie dazu Abschnitt Einrichtung des Coordinators und Clients 1. Der ViPNet Coordinator ist eine Applikation die automatisch nach der Windows Anmeldung startet und ist eine der wesentlichen Grundvoraussetzungen für eine einwandfreie Funktion des VPNs. Damit der ViPNet Coordinator auch nach einem unbeaufsichtigten Neustart des Rechners automatisch startet, muss die Windows Anmeldung automatisiert werden. Sehen Sie dazu folgende Links: oder falls erforderlich für Domain Mitglieder: 2. Wenn Sie den ViPNet Coordinator und/oder den ViPNet Client beenden oder den Start der Applikation abbrechen, ist keine Funktion des VPN gegeben. Schließen Sie die Benutzeroberfläche ausschließlich mit dem X in der rechten oberen Ecke des Fensters. 3. Falls es erforderlich ist, unverschlüsselten (offenen) IP-Verkehr von anderen nicht-vipnet Client-PCs zuzulassen (z. B. im lokalen Netzwerk), können entsprechende Regeln im Bereich Offenes Netzwerk erstellt werden. Klicken Sie im linken Bereich des Clients und/oder Coordinators unter Netzwerkfilter auf Offenes Netzwerk. Klicken Sie mit der rechten Maustaste auf Lokale Filter und dann auf Neue Regel hinzufügen. Klicken Sie im Bereich Externe IP-Adressen ( IP-Adressen externer Knoten <2> ) auf Hinzufügen und geben eine einzelne IP-Adresse oder einen IP-Adressenbereich an. Dann bestätigen Sie zweimal mit OK bis sich das Fenster Protokollfilter öffnet. Wählen Sie bei Bedarf die Protokolle, Ports und Richtungen, die erlaubt werden sollen oder übernehmen die Standardeinstellungen. Klicken Sie nochmals auf OK. 4. Falls noch nicht erfolgt, kann jetzt die Sicherheitsstufe angepasst werden. Für den ViPNet Client sehen Sie dazu Abschnitt 4.7 und für den Coordinator Abschnitt Standardmäßig werden für die Kommunikation im WAN virtuelle IP-Adressen und für die Kommunikation im LAN reelle IP-Adressen verwendet. Um auf den ersten Blick die verwendete IP-Adresse für jeden Client/Coordinator im Bereich Privates Netzwerk des Hauptfensters zu erkennen, aktivieren Sie unter Optionen _ > Einstellungen _ > Allgemeine die Option (IP-Adressen im Ordner Privates Netzwerk anzeigen).

6 Schnell-Installation: Anwendung, Tunnelung 6. Anwendung 1. Klicken Sie im linken Bereich des ViPNet Clients (oder des Coordinators) auf den Abschnitt Privates Netzwerk. 2. Markieren Sie im rechten Bereich des ViPNet Clients (oder Coordinators) das ViPNet-Objekt, auf das Sie zugreifen möchten und überprüfen dann die Verbindung durch Klick auf das Symbol Verbindung in der grafischen Menüleiste oben. Bei fehlender Verbindung stellen Sie sicher, dass der PC der Gegenstelle eingeschaltet und der ViPNet Client (oder Coordinator) dort gestartet ist. 7. Tunnelung Mit Hilfe von Tunnelung kann man Netzwerkdrucker oder andere IP-fähige Geräte wie z.b. ein NAS für externe Netzwerkknoten verfügbar machen. Die Integration des ungeschützen Netzwerkknotens (ohne installierte ViPNet Software) erfolgt über eine Tunnelung der IP-Adresse durch den Coordinator. Dazu wird auf dem Manager die zu Tunnelnde IP-Adresse eingetragen, dabei lassen sich einzelne IP-Adressen oder ganze IP-Bereiche definieren. Zusätzlich muss die entsprechende Anzahl der maximal vom Coordinator zu Tunnelnden IP-Adressen festgelegt werden. ViPNet Office bietet vielfältige Anwendungsmöglichkeiten, die einer sicheren Funktionalität eines LANs entsprechen. Hier nur zwei Beispiele: 1. Falls auf der Gegenstelle Netzwerkfreigaben existieren, bietet der ViPNet Client (oder Coordinator) eine komfortable Möglichkeit, darauf auf sichere Weise zuzugreifen. Markieren Sie im ViPNet Client (oder Coordinator) das ViPNet-Objekt, auf das Sie zugreifen möchten und klicken dann auf das Symbol Freigaben. Sie haben jetzt die Möglichkeit freigegebene Drucker zu installieren oder Netzlaufwerke zu verbinden. Danach ist der Umweg über Freigaben nicht mehr notwendig. 2. Falls auf der Gegenstelle der Zugang per Remote Desktop Protokoll (RDP) erlaubt ist (MS-Systemein - stellung), bietet der ViPNet Client (oder Coordinator) eine komfortable und sichere Möglichkeit, darauf zuzugreifen. Bitte beachten Sie, dass per RDP auf die Rechner mit Windows XP Home, Windows Vista Home, Windows 7 Home und Windows 8 nicht zugegriffen werden kann. Markieren Sie im ViPNet Client (oder Coordinator) das ViPNet-Objekt, auf das Sie zugreifen möchten und klicken dann auf das Symbol R. Desktop. Für die korrekte Weiterleitung der IP-Pakete vom getunnelten Gerät zurück zum externen Netzwerkknoten muss im Coordinator eine dynamische NAT-Regel definiert werden. Dies erfolgt unter Netzwerkfilter,

7 Schnell-Installation: Tunnelung NAT-Regeln und einem Rechts-Klick in die Freifläche. Durch die Regel werden virtuelle IP-Adressen der externen Netzwerkknoten, ohne weitere Konfiguration des IP-Geräts, dynamisch vom Coordinator übersetzt und die IP-Pakete korrekt weitergeleitet. Die NAT-Regel kann eine einzelne IP-Adresse oder ganze IP-Adressbereiche beinhalten. Als Internes Netzwerk gelten alle virtuellen IP-Adressen der entfernten Netzwerkknoten aus Sicht des Coordinators.

8 Schnell-Installation Internet Security Software Infotecs GmbH Oberwallstr. 24 D Berlin Tel.: Fax: Web: