ZF Net Remote 1.02 Installationsanleitung

Transkript

1 ZF Net Remote 1.02 Für interne Mitarbeiter Doc.Version FIIN1

2 Inhalt 1. Einleitung Mögliche Installationsvarianten Installationsdateien Softwareversionen Hardwareanforderungen für Bit Betriebssysteme Software Installation (Übersicht) Anmerkung 4 2. GCA Client (Global Corporate Access) Start GCA-Installation Installationsort Benutzerkontensteuerung Installation gestartet Installation abgeschlossen GCA in der Windows-Taskleiste GCA deinstallieren 7 3. RSA Client (SecureIDToken-Software) RSA SecureID Installation Auswahl der Bestellregion Bestätigung der Lizenz-Vereinbarung Bestätigung der Standard-Installation Benuterkontensteuerung Installation gestartet Abschluss der Installation Deinstallation von "RSA SecurID" Junos Pulse Client Installation von Junos Pulse Installation mit ADDLOCAL Install.-Parameter Start der Junos Pulse Installation Benutzerkontensteuerung Junos Pulse: Programmstart deaktivieren Deaktivieren und neu starten des Junos-Pulse Ansicht der Junos-Verbindungsfenster mit den vier ZF- Anwahl-Profilen Abschluss der Installation Junos Pulse Deinstallation Wichtige Konfigurationseinstellungen Modifikation der Programmliste WINDOWS 7 MTU Einstellung Adaptereinstellungen ermitteln MTU ändern WINDOWS 7 Installation Zertifikate Help-Desk (IT-Support) der ZF 24 2

3 Einleitung 3 1. Einleitung Dieses Dokument beschreibt die Installation und die Einrichtung der Standardparameter für die ZF Net Remote (ZFNR) Clients. Bedienung, erweiterte Konfiguration und Fehlerbehebung werden in der aktuellen Bedienungsanleitung erläutert Mögliche Installationsvarianten Die Softwareclients sind lauffähig unter Windows 7 32/64 (SP1). Windows 7 32Bit (SP1) GCA 32Bit Junos Pulse 32Bit RSA 32Bit/64Bit Windows 7 64Bit (SP1) GCA 64Bit Junos Pulse 64Bit RSA 32Bit/64Bit 1.2. Installationsdateien Die Software ist für alle ZF-Domänen gleich. Die jeweils aktuelle Version der Software kann von folgendem https-server heruntergeladen werden. Speichern Sie die ZIP-Datei in das Verzeichnis c:\zfnrget und entpacken alle Dateien in diesen Ordner. Bemerkung: Diese Anleitung und ihre Screenshots wurden mit einem WIN7 64 Bit System erstellt Softwareversionen Junos Pulse GCA Production Vers RSA SecureID Token Einleitung

4 1.3. Hardwareanforderungen für Bit Betriebssysteme Minimum 2GB unter Windows 7 Minimum 1 GHz CPU Mindestens 4 GB freier Festplattenplatz Einleitung Software Installation (Übersicht) Löschen evtl. alter Softwareversionen Deinstallation GCA Kapitel 2.2 Deinstallation RSA Kapitel 3.2 Deinstallation Junos Pulse Kapitel 4.2 Löschen des Verzeichnisses ZFNR in alle Programme Installation der Software Installation GCA Open-Mobile-V Kapitel 2.1 Installation RSA Kapitel 3.1 Installation Junos Pulse mit Batch- Datei (WIN64 oder WIN32) Kapitel 4.1 Installation Reg-Datei (WIN64 oder WIN32) Kapitel 5 Erstellen des Verzeichnisses ZFNR in alle Programme Kapitel 6 Windows einmal neu starten 1.5. Anmerkung Achtung: Die Software muss als Administrator installiert werden! Andere VPN-Clients und alte Programmversionen müssen vorher deinstalliert werden. Nach der Installation ist der Neustart des Rechners erforderlich. Einleitung

5 GCA Client (Global Corporate Access) 5 2. GCA Client (Global Corporate Access) Bei dem GCA Software- Client handelt es sich um ein ipass-derivat der Telekom für den Internetzugang! Software und Setupdateien Bit Systeme: Open-Mobile-V V9.000.msi Bemerkung: Installation des GCA-Clients mit der Funktionalität Aufruf und Beendigung des Junos Pulse Clients über die Side bar des GCA Start GCA-Installation Hinweis: Installation des GCA-Clients erfolgt im Admin-Kontext! Eine bereits bestehende Software- Versionen muss vorher deinstalliert werden (Siehe 2.7) Installationsort Programm Verzeichnis: C:\Program Files (x86)\deutsche Telekom\Global Corporate Access\ GCA Client (Global Corporate Access)

6 Benutzerkontensteuerung Umschaltung in Admin-Kontext GCA Client (Global Corporate Access) Installation gestartet Installation abgeschlossen GCA Client (Global Corporate Access)

7 GCA in der Windows-Taskleiste GCA Client (Global Corporate Access) 7 Wenn der GCA-Client nach Installation und Neustart des Rechners nicht in der Windows- Taskleiste angezeigt wird, fehlt vermutlich der Registry-Eintrag für den GCA-Autostart. Bestätigt eine Überprüfung den fehlenden Registry-Eintrag, dann sollte die Registry entsprechend ergänzt werden. Dieser Registry- Eintrag wird im Zuge der weiteren Installation mit Abschnitt 5 in die Registry eingetragen. Funktions-Test Doppelklick auf das GCA-Symbol im Infobereich der Taskleiste öffnet das Programm mit einmaliger Tutorial-Abfrage, die abgewiesen werden kann. Die Anwendung ermöglicht sodann die Kontrolle über die aktuellen Netzwerkanbindungen des Rechners. Über die Sidebar kann mit dem oberen Button der noch zu installierende Junos Client (Kap. 4) gestartet werden, um eine SSL.VPN-Verbindung aufbauen zu können. Mit dem unteren Button kann die SSL.VPN-Verbindung wieder beendet werden GCA deinstallieren Für die Deinstallation sind Administrator- Rechte erforderlich. Die Deinstallation erfolgt über die Systemsteuerung sie ist auch dann notwendig, wenn ein Softwareupdate oder eine Neuinstallation notwendig ist. Ein Neustart nach der Deinstallation ist nicht erforderlich. GCA Client (Global Corporate Access)

8 RSA Client (SecureIDToken-Software) 8 3. RSA Client (SecureIDToken-Software) Das Programm SecureID Token speichert und verwaltet den Softtoken. Der Softtoken wird für die 2-Faktor-SSL-VPN-Authentifikation benötigt. Zur Initialisierung des Token wird ein Seed-File benötigt, das im RSA-Client sicher gespeichert wird und gebunden zum User diese Anwendung personalisiert. Die SecureID Token Software wird in der Automatisierungs- Variante installiert, d.h. der aktuell generierte Token kann vom Junos Pulse SSL-VPN-Client über eine entsprechende Applikationsschnittstelle während des Logins abgefragt und übernommen werden. Software und Setupdateien Bit Systeme: RSASecurIDTokenAuto411.msi 3.1. RSA SecureID Installation Start der Installation in der Automations-Variante Auswahl der Bestellregion RSA Client (SecureIDToken-Software)

9 Bestätigung der Lizenz-Vereinbarung RSA Client (SecureIDToken-Software) Bestätigung der Standard-Installation Benuterkontensteuerung Umschaltung in Admin-Kontext RSA Client (SecureIDToken-Software)

10 Installation gestartet RSA Client (SecureIDToken-Software) Abschluss der Installation Bei der Frage nach dem Token kann die Installation abgebrochen werden. Der Softtoken- Seed wird in einem späteren Prozessschritt durch den User auf den Rechner geladen. Die Software ist trotz des Abbruchs vollständig installiert worden. Nach der Installation ist ein Neustart des Betriebssystems erforderlich, der zusammen mit dem notwendigen Neustart nach Installation des Junos Pulse (Kapitel 4) erfolgen kann Deinstallation von "RSA SecurID" Für die Deinstallation sind Administrator- Rechte erforderlich. Die Deinstallation erfolgt über die Systemsteuerung - sie ist auch notwendig, wenn ein Softwareupdate oder eine Neuinstallation notwendig ist. Nach der Deinstallation ist ein Neustart des Betriebssystems erforderlich. RSA Client (SecureIDToken-Software)

11 Junos Pulse Client Junos Pulse Client SSL VPN-Client für Anwahl auf ZF-Juniper-SSL-System der Telekom Software und Setupdateien 64 Bit Systeme: j-pulse-win-5.0r7.0-b bitinstaller.msi ZFNR102InstJPZF64.bat 32Bit Systeme: j-pulse-win-5.0r7.0-b bitinstaller.msi ZFNR102InstJPZF32.bat Bit Systeme: ZFNR_1_02.jnprpreconfig Es ist unbedingt erforderlich, dass die oben gelisteten Dateien im Verzeichnis c:\zfnrget abgelegt worden sind - siehe auch 1.3, da die Batch- Dateien die Software in diesem Verzeichnis erwarten Installation von Junos Pulse Hinweis: Die Installation des Junos Pulse -Clients erfolgt im Admin-Kontext! Eine bestehende Software- Versionen muss vorher deinstalliert werden (siehe 4.2). Starten Sie die Installation des Junos Pulse Clients per Batch- Datei: Wählen der Batch Datei mit der rechten Maus-Taste Anklicken: Als Administrator ausführen WIN 7 64Bit Betriebssysteme Batch Datei ZFNR102InstJPZF64.bat WIN 7 32Bit Betriebssysteme Batch Datei ZFNR102InstJPZF32.bat Junos Pulse Client

12 Junos Pulse Client Installation mit ADDLOCAL Install.-Parameter Start der Junos Pulse Installation Benutzerkontensteuerung Die Installation von Junos Pulse ist abgeschlossen. HINWEIS: Während der Installation wird die Ethernet Verbindung wegen der Installation und dem Einbau eines virtuellen Netzwerkadapters kurzzeitig unterbrochen, um den virtuellen Netzwerk Adapter einzufügen!!! Junos Pulse Client

13 Junos Pulse: Programmstart deaktivieren Junos Pulse Client 13 Grund der Deaktivierung: Der Junos Pulse Client liegt in der aktuellen Version vor und es wird kein Auto-Update über das ZF-SSL-VPN-System: benötigt. Spätere Aktualisierungen erfolgen über eine manuelle Nachinstallation. Folgenden Eintrag aus der Windows-Registrierung entfernen: Für 64 Bit-Systeme: [Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\ CurrentVersion\Run] Junos Pulse = C:\Program Files (x86)\common Files\ Juniper Networks\JamUI\Pulse.exe -tray Für 32 Bit-Systeme: [Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run] JunosPulse=C:\Program Files\Common Files\Juniper Networks\JamUI\Pulse.exe -tray Hintergrund: Der Junos Pulse würde schon beim Windows-Start die SysTray belegen, was aber nicht gewünscht ist Deaktivieren und neu starten des Junos-Pulse Nach der Installation ist der Junos Pulse Client in der Taskleiste aktiv. Nach Neustart von Windows (Abschnitt 4.1.7) wird der Junos Pulse Client nicht automatisch gestartet, wenn die Auto-Run Registrierung gemäß gelöscht wurde. Junos Pulse kann in diesem Status nicht über Taskleiste aufgerufen werden. Der Junos Pulse Client kann zur Initiierung des ersten VPN-Client-Verbindungsaufbaus durch das entsprechende Programm-Icon unter Start Programme ZFNR geöffnet werden. automatisch gestartet, wenn die Auto-Run Registrierung gemäß Kapitel nicht gelöscht wurde. Junos Pulse kann jetzt über die Task bar aufgerufen werden Junos Pulse Client

14 Junos Pulse Client Ansicht der Junos-Verbindungsfenster mit den vier ZF- Anwahl- Profilen Abschluss der Installation Nach Abschluss der Installation muss der Rechner einmal gebootet werden (Notwendig). Nach dem Reboot ist die Installation beendet Junos Pulse Deinstallation!!! Dieses Kapitel wird nur für die Deinstallation des Junos Pulse Clients benötigt!!! Für die Deinstallation der Junos Pulse Software sind Administratorechte erforderlich. Die Deinstallation via Systemsteuerung wird erforderlich bei einem Software Update bzw. einer Software - Neuinstallation. Nach Abschluss der Deinstallation wird empfohlen den Rechner einmal zu booten. Junos Pulse Client

15 Wichtige Konfigurationseinstellungen Wichtige Konfigurationseinstellungen Nachfolgende Registrierungsschlüssel werden durch Installation der.reg- Dateien in der Windows- Registry eingetragen. Für die Installation sind Admin- Rechte notwendig. In der Regel genügt ein Doppel- Klick auf die Datei um die Registrierungsschlüssel einzutragen. Betriebsystem WIN 7 32 WIN 7 64.reg-Datei ZFNRKey32_Int_1.02.reg ZFNRKey64_Int_1.02.reg Die Einstellungen bewirken: Die GCA Software wird im Infobereich nach Systemstart aufgerufen Die Software RSA SecureID Token bleibt bei Aufruf im Vordergrund. In der Software RSA SecureID Token wird dauerhaft die URL für den Seed Download eingetragen. Wichtige Konfigurationseinstellungen

16 Modifikation der Programmliste Modifikation der Programmliste Die Programm Links werden unter dem Verzeichnis ZFNR zusammengefasst. Die Programmliste wie sie unten zu sehen ist, wird in der Bedienungsanleitung beschrieben und sollte wie unten dargestellt erzeugt werden. > Struktur nach der Installation >Zielstruktur Verschieben nach ZFNR Erstellen des Verzeichnisses ZFNR in der Programm- Liste (Für alle Anwender) Verschieben der Programm- Links nach Verzeichnis ZFNR a) Junos Pulse b) RSA SecurID Token c) Global Corporate Access (Nur für ZF User) Dateien aus Verzeichnis c:\zfnrget nach Verzeichnis ZFNR kopieren a) ZF Net Remote Kurzhinweise DE 1.02.pdf b) ZF Net Remote Short Reference EN 1.02.pdf Löschen der Verzeichnisse inkl. aller Links a) Juniper Networks b) RSA c) Deutsche TELEKOM (Nur für ZF User) Modifikation der Programmliste

17 WINDOWS 7 MTU Einstellung WINDOWS 7 MTU Einstellung (Einstellung ggf. bei Netzwerkproblemen, lokale Adminrechte erforderlich) Die MTU (Max. Transmission Unit) beschreibt die Größe der Datenpakete. In manchen Netzwerken kann es erforderlich sein die MTU zu reduzieren. Der sicherste Weg geht über die Festlegung einer kleineren MTU direkt an den Partnern der Verbindung. Unter Windows 7 kann man dies mit Hilfe des Kommandozeilenbefehls NETSH.EXE erreicht werden. Dazu wird eine Eingabeaufforderung als Administrator gestartet. Im [Start]-Menü wird im Textfeld CMD.EXE eingeben und dann dies mit STRG+UMSCH und Eingabetaste gestartet. Danach wird zuerst ermittelt welche Netzwerkadapter vorhanden sind und welchen Index sie besitzen Adaptereinstellungen ermitteln >> netsh.exe interface ipv4 show interfaces Man erhält eine Liste der im System vorhandenen Netzwerkadapter Idx Met MTU State Name connected Loopback Pseudo-Interface disconnected Wireless Network Connection connected Local Area Connection 7.2. MTU ändern Dann setzt man die benötigte MTU Größe für den Netzwerkadapter auf dem die Verbindung abgewickelt wird, z.b. für Idx 1: >> netsh interface ipv4 set subinterface interface=1 mtu=1280 store=persistent Wenn für alle Verbindungen die MTU geändert werden muss: netsh interface ipv4 set subinterface interface=1 mtu=1280 store=persistent netsh interface ipv4 set subinterface interface=11 mtu=1280 store=persistent netsh interface ipv4 set subinterface interface=12 mtu=1280 store=persistent Die Option store=persistent sorgt dafür, dass die Einstellung auch noch nach einem Neustart erhalten bleibt. Die Änderung wirkt sich sofort aus. Idx Met MTU State Name connected Loopback Pseudo-Interface disconnected Wireless Network Connection connected Local Area Connection Ich denke, dass für ZF lediglich Idx geändert werden muss. Der Index Idx kann möglicherweise abweichen. Quelle der grundsätzlichen Einstellungen: Internet WINDOWS 7 MTU Einstellung

18 WINDOWS 7 Installation Zertifikate WINDOWS 7 Installation Zertifikate Für Aktivierung und den SSL.VPN-Verbindungsaufbau benötigt der ZFNR-Client folgende Zertifikate auf dem Windows-Client-System, die bei entsprechenden Zertifikatsfehlermeldungen nachinstalliert werden müssen: Die Überprüfung der Zertifikate erfolgt über das IE-Browser-Menü unter [Extras Internetoptionen Inhalte Zertifikate] in den Zertifikats-Speichern : Vertrauenswürdige Stammzertifizierungsstellen und Zwischenzertifizierungsstellen ]. DigiCert High Assurance EV Root CA DigiCert SHA2 High Assurance Server CA RSA root CA for rsa3-shared.int.gca-protect.de ZF interne Zertifikate. Werden von diversen ZF-Applikationen benötigt: ZF Root CA ZF CA 01 Die Zertifikate sind unter C:\ZFNRget zu finden (s. Abschnitt 1.3) und können bei Bedarf wie folgt nachinstalliert werden. a. Zertifikats-Dateien : - DigiCertHighAssuranceEVRootCA.cer - DigiCertSHA2HighAssuranceServerCA.cer - RSA_root_CA_for_rsa3-shared.int.gca-protect.de.cer - zf_root_ca_internal_use.cer - zf_intermediate_ca.cer WINDOWS 7 Installation Zertifikate

19 WINDOWS 7 Installation Zertifikate 19 b. Installation der Zertifikate jeweils per Doppelklick auf DigiCertHighAssuranceEVRootCA.cer DigiCertSHA2HighAssuranceServerCA.cer WINDOWS 7 Installation Zertifikate

20 WINDOWS 7 Installation Zertifikate 20 RSA_root_CA_for_rsa3-shared.int.gca-protect.de.cer zf_root_ca_internal_use.cer WINDOWS 7 Installation Zertifikate

21 WINDOWS 7 Installation Zertifikate 21 zf_intermediate_ca.cer WINDOWS 7 Installation Zertifikate

22 WINDOWS 7 Installation Zertifikate 22 Installationsablauf nach jeweils Klick auf die [Zertifikat installieren ]-Schaltfläche: Achtung! Die folgenden Zertifikate kommen in den Zertifikatsspeicher: Vertrauenswürdige Stammzertifizierungsstellen DigiCert High Assurance EV Root CA RSA root CA for rsa3-shared.int.gca-protect.de zf_root_ca_internal_use.cer WINDOWS 7 Installation Zertifikate

23 WINDOWS 7 Installation Zertifikate 23 Achtung! Die folgenden Zertifikate kommen in den Zertifikatsspeicher: Zwischenzertifizierungsstellen DigiCert SHA2 High Assurance Server CA zf_intermediate_ca.cer WINDOWS 7 Installation Zertifikate

24 Help-Desk (IT-Support) der ZF Help-Desk (IT-Support) der ZF ZF EMEA IT Helpdesk Mo.-Fr. / 05:00 22:00 Uhr (CES+CEST), Telefon: ZF AMERICA - North IT Helpdesk Mon. to Fri., 8am to 5pm (Eastern Standard Time) phone: ZF AMERICA - South IT Helpdesk Mon. to Thu., 7:30 to 17:15 (GMT -3 Time) Fri 7:30 to 15:30 (GMT -3 Time) phone: ZF APA IT Helpdesk Shanghai Mon. to Fri 8am to 5pm phone: ZF IT Global Helpdesk Mon. to Sun 0:00am to 12:00pm phone: RBAS (ehemals ZFLS) Benutzerservice Mo-Fr. / 06:30-18:00 Uhr (CES+CEST), Telefon: Help-Desk (IT-Support) der ZF