Gängige Szenarien der Administration von ViPNet VPN. Anhang zum Benutzerhandbuch

Transkript

1 Gängige Szenarien der Administratin vn ViPNet VPN Anhang zum Benutzerhandbuch

2 Ziel und Zweck Dieses Handbuch beschreibt die Installatin und Knfiguratin vn ViPNet Prdukten. Für die neuesten Infrmatinen und Hinweise zum aktuellen Sftware-Release sllten Sie in jedem Fall zusätzlich unsere Release Ntes lesen insbesndere, wenn Sie ein Sftware- Upgrade zu einem höheren Release-Stand durchführen. Die aktuellsten Release Ntes sind immer zu finden unter Haftung Der Inhalt dieses Handbuchs wurde mit größter Srgfalt erarbeitet. Die Angaben in Ihrem Handbuch gelten jedch nicht als Zusicherung vn Eigenschaften Ihres Prdukts. Der Hersteller haftet nur im Umfang seiner Verkaufs- und Lieferbedingungen und übernimmt keine Gewähr für technische Ungenauigkeiten und/der Auslassungen. Die Infrmatinen in diesem Handbuch können hne Ankündigung geändert werden. Zusätzliche Infrmatinen, swie Änderungen und Release Ntes für ViPNet Prdukte finden Sie unter Der Hersteller übernimmt keine Verantwrtung für Datenverlust und Schäden, die durch den unsachgemäßen Betrieb des Prdukts entstanden sind. Cpyright Inftecs GmbH, Berlin Versin: DEU Dieses Dkument ist Teil des Sftwarepaketes und unterliegt daher denselben Lizenzbestimmungen wie das Sftwareprdukt. Dieses Dkument der Teile davn dürfen nicht hne die vrherige schriftliche Zustimmung der Inftecs GmbH verändert, kpiert, weitergegeben etc. werden. ViPNet ist ein registriertes Warenzeichen des Sftwareherstellers Inftecs GmbH. Marken Alle genannten Markennamen sind Eigentum der jeweiligen Hersteller. Wie Sie Inftecs erreichen Inftecs GmbH Oberwallstr Berlin Deutschland Tel.: +49 (0) Fax: +49 (0) WWW: supprt@inftecs.de

3 Inhalt Einführung... 5 Über dieses Dkument... 6 Zielgruppe... 6 Verwendete Knventinen... 6 Kntakt... 8 FAQ und andere Hilfsinfrmatin... 8 Kntakt... 8 Kapitel 1. Das Prgramm ViPNet Netwrk Manager auf einen anderen Cmputer übertragen... 9 Kapitel 2. Installatin eines Remtedruckers im ViPNet Netzwerk Prblemstellung frmulieren Drucker einrichten Kapitel 3. Tunnelung vn Knten, die sich nicht im Subnetz des tunnelnden Crdinatrs befinden Kapitel 4. Besnderheiten einer integrierten Firewall Allgemeine Infrmatinen Einsatz der integrierten Firewall Knfiguratin der Netzwerkfilter zum Durchlassen des Traffics Knfiguratin der Netzwerkfilter für Clients Knfiguratin der Netzwerkfilter für Crdinatren Kapitel 5. Beispiel für die Verwaltung vn Netzwerkknten-Sicherheitsrichtlinien mit Hilfe vn ViPNet Plicy Manager Kapitel 6. Remte-Steuerung vn ViPNet Netzwerkknten Autmatische Anmeldung in Windws und ViPNet Sftware Wfür wird die autmatische Anmeldung benötigt Knfiguratin der autmatischen Anmeldung in Windws Autmatische Anmeldung in ViPNet Sftware einstellen Knfiguratin des Terminalservers bei Remtesteuerung Installatin der Sftware für Remtesteuerung Starten des Prgramms für die Remtesteuerung... 44

4 Kapitel 7. Verbindungen zwischen ViPNet VPN- Netzwerk und einem Netzwerk auf Basis der Sftware ViPNet Administratr Allgemeine Infrmatinen Initiierung der Verbindung mit Hilfe des ViPNet Netwrk Manager Initiierung der Verbindung mit Hilfe der Sftware ViPNet Administratr Anfrderungen an die Partnernetzwerk-Infrmatinen des ViPNet Netzwerks unter der Steuerung vn ViPNet Administratr Anhang A. Index... 55

5 Einführung Über dieses Dkument 6 Kntakt 8 Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 5

6 Über dieses Dkument Der vrliegende Anhang zum Handbuch ViPNet VPN. Benutzerhandbuch enthält Beschreibungen vn Szenarien, die darauf ausgerichtet sind, die bei der Administratin des ViPNet VPN-Netzwerks häufig auftretenden Aufgaben zu lösen. Zielgruppe Dieses Dkument richtet sich an Administratren, in deren Zuständigkeitsbereich die Knfiguratin und Wartung des virtuellen privaten Netzwerks ViPNet VPN fällt. Vn den Lesern dieses Dkuments wird kein detailliertes Wissen im Bereich der Infrmatinstechnlgie verlangt. Eine erste allgemeine Vrstellung über Cmputernetzwerke, IP-Prtklle, Firewalls, Tunnelung und Kryptgraphie ist jedch wünschenswert. Verwendete Knventinen Weiter unten sind Knventinen aufgeführt, die im gegebenen Dkument zur Kennzeichnung wichtiger Infrmatinen verwendet werden. Tabelle 1. Symble, die für Anmerkungen benutzt werden Symbl Beschreibung Achtung! Dieses Symbl weist auf einen Vrgang hin, der für die Daten- der Systemsicherheit wichtig ist. Hinweis. Dieses Symbl weist auf einen Vrgang hin, der es Ihnen ermöglicht, Ihre Arbeit mit dem Prgramm zu ptimieren. Tipp. Dieses Symbl weist auf zusätzliche Infrmatinen hin. Tabelle 2. Ntatinen, die zur Kennzeichnung vn Infrmatinen im Text verwendet werden Ntatin Beschreibung Name Taste+Taste Namen vn Elementen der Benutzerberfläche. Beispiele: Fensterüberschriften, Feldnamen, Schaltflächen der Tasten. Tastenkmbinatinen. Zum Betätigen vn Tastenkmbinatinen sllte zunächst die erste Taste gedrückt und dann, hne die erste Taste zu lösen, die zweite Taste gedrückt werden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 6

7 Ntatin Beschreibung Menü > Untermenü > Befehl Cde Hierarchische Abflge vn Elementen. Beispiele: Menüeinträge der Bereiche der Navigatinsleiste. Dateinamen, Pfade, Fragmente vn Textdateien und Cdeabschnitten der Befehle, die aus der Befehlszeile ausgeführt werden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 7

8 Kntakt FAQ und andere Hilfsinfrmatin Infrmatinen über ViPNet-Prdukte und Lösungen, gängige Fragen und andere nützliche Hinweise sind auf der Webseite vn InfTeCS zusammengefasst. Unter den aufgeführten Links können Sie zahlreiche Antwrten auf mögliche während des Prduktbetriebs auftretenden Fragen finden. Allgemeine Geschäftsbedingungen ViPNet-Lösungen im Überblick Frequently Asked Questins ViPNet-Wissensdatenbank Kntakt Bei Fragen zur Nutzung vn ViPNet-Sftware swie möglichen Wünschen und Anregungen nehmen Sie Kntakt mit den Mitarbeitern der Firma InfTeCS GmbH auf. Für die Lösung aufgetretener Prblemfälle wenden Sie sich an den technischen Supprt. Anfrage an den technischen Supprt via Internetseite Supprt Htline +49 (0) (Tel.); +49 (0) (Fax). Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 8

9 1 Das Prgramm ViPNet Netwrk Manager auf einen anderen Cmputer übertragen Wenn in einem funktinierenden ViPNet VPN-Netzwerk das Prgramm ViPNet Netwrk Manager auf einem anderen Cmputer installiert werden sll (zum Beispiel, weil der alte Cmputer gegen einen neuen ausgetauscht wird), sllten die existierende Netzwerkstruktur und die Prgrammeinstellungen vn ViPNet Netwrk Manager beibehalten werden. Wenn die aktuelle Prgrammversin vn ViPNet Netwrk Manager aktualisiert werden sll, dann sllte das Upgrade unbedingt nch vr der Übertragung des Manager-Arbeitsplatzes auf den neuen Cmputer durchgeführt werden. Es wird angenmmen, dass bei der Übertragung des Managers auf einen neuen Cmputer flgende Bedingungen erfüllt sind: Der alte Cmputer ist funktinsfähig und das Prgramm ViPNet Netwrk Manager läuft störungsfrei (Datenbank und Schlüsseldaten sind nicht beschädigt). Das Administratrpasswrt vn ViPNet Netwrk Manager ist bekannt. ViPNet Netwrk Manager wird entweder auf einen neuen Cmputer, auf welchem nch keine ViPNet Sftware installiert ist, der auf einen funktinierenden ViPNet Client, der zum gegebenen Zeitpunkt nicht als Manager-Arbeitsplatz eingesetzt wird, übertragen. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 9

10 Führen Sie die flgenden Schritte durch, um den Manager-Arbeitsplatz auf einen anderen Cmputer zu übertragen: 1 Wenn das Prgramm ViPNet Netwrk Manager aktualisiert werden sll, dann führen Sie das Update auf dem alten Cmputer nch vr dem Übertragen des Manager-Arbeitsplatzes durch. Installieren Sie dazu die neue Versin vn ViPNet Netwrk Manager, hne dabei die alte Versin des Prgramms zu deinstallieren. 2 Exprtieren Sie auf dem alten Cmputer im Prgramm ViPNet Netwrk Manager die ViPNet Prgramm- und Netzwerkparameter auf einen abnehmbaren Datenträger. Dazu: Wählen Sie im Menü Extras den Eintrag Knfiguratin exprtieren. Speichern Sie die Exprtdatei der Knfiguratin auf einem abnehmbaren Datenträger. 3 Installieren Sie ViPNet Netwrk Manager auf dem neuen Cmputer. Es werden dabei autmatisch das DBMS MS SQL Server 2008 R2 installiert und eine neue Datenbank angelegt. 4 Imprtieren Sie die ViPNet Netwrk Manager-Knfiguratin auf dem neuen Cmputer. Dazu: Wählen Sie auf dem neuen Cmputer im Prgramm ViPNet Netwrk Manager im Menü Extras den Befehl Knfiguratin imprtieren. Wählen Sie die Exprtdatei der Knfiguratin, die auf dem alten Cmputer erstellt wurde, und flgen den Anweisungen des Assistenten. Auf diese Weise werden die Struktur des ViPNet Netzwerks, die Netzwerknummer swie die Lizenzund Registrierungsdaten des Prgramms wiederhergestellt. 5 Registrieren Sie ViPNet Netwrk Manager auf dem neuen Cmputer. Da der Cde des neuen Cmputers vm Cde des alten Cmputers abweicht, sllte eine Anfrage für einen neuen Registrierungscde erstellt und abgesendet werden. 6 Installieren Sie das Prgramm ViPNet Client der ViPNet Crdinatr auf dem neuen Cmputer (abhängig vn dem Cmputer, der als Manager-Arbeitsplatz definiert wurde) und erstellen eine neue Schlüsseldistributin. Dazu führen Sie flgende Aktinen aus: Wenn nötig, ändern Sie im Prgramm ViPNet Netwrk Manager die Einstellungen (IP-Adresse, Firewall-Einstellungen und andere) des Netzwerkkntens, der als Manager-Arbeitsplatz auftritt. Erstellen Sie eine Schlüsseldistributin (Datei DST) für den Administratr-Arbeitsplatz. Stellen Sie sicher, dass der Netzwerkknten, der auf dem alten Cmputer installiert war, nicht an das ViPNet Netzwerk angeschlssen ist. Achtung! Im ViPNet Netzwerk dürfen keine zwei Netzwerkknten mit der gleichen Schlüsselinfrmatin existieren. Installieren Sie auf dem neuen Cmputer die Sftware ViPNet Client und starten den Cmputer neu. Installieren Sie die erstellte Schlüsseldistributin (Datei DST) für den neuen Manager- Arbeitsplatz. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 10

11 7 Wenn das Prgramm ViPNet Client bereits auf dem Cmputer installiert ist, führen Sie flgende Aktinen aus: Wählen Sie in der Navigatinsleiste vn ViPNet Netwrk Manager den Netzwerkknten, der als Manager-Arbeitsplatz auftreten sll. Klicken Sie mit der rechten Maustaste auf dem Netzwerkknten und wählen im Kntextmenü Als Manager-Arbeitsplatz festlegen. Erstellen Sie eine neue Schlüsseldistributin für den neuen Manager-Arbeitsplatz und auch für den Netzwerkknten, der vrher ein Manager-Arbeitsplatz war. Installieren Sie die erstellte Schlüsseldistributin (Datei DST) für den neuen Manager- Arbeitsplatz auf dem neuen Cmputer. Entfernen Sie das Prgramm ViPNet Netwrk Manager auf dem alten Cmputer und installieren die erstellte Schlüsseldistributin für den entsprechenden Netzwerkknten. 8 Das Prgramm ViPNet Netwrk Manager auf dem neuen Cmputer ist nun einsatzbereit. Ausführliche Infrmatinen finden Sie im Dkument ViPNet VPN. Benutzerhandbuch : über die Installatin des Prgramms ViPNet Netwrk Manager, ViPNet Client und ViPNet Crdinatr Kapitel 2 Installatin und Deinstallatin vn ViPNet VPN, über die Registrierung des Prgramms ViPNet Netwrk Manager Kapitel 17 Registrierung vn ViPNet Netwrk Manager, über die Installatin der Schlüsseldistributin Kapitel 5 Verwaltung des ViPNet Netzwerkes, Abschnitte Speichern der Schlüsseldistributinen und Versand und Speicherung der Netzwerkkntenschlüssel. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 11

12 2 Installatin eines Remtedruckers im ViPNet Netzwerk Prblemstellung frmulieren 13 Drucker einrichten 14 Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 12

13 Prblemstellung frmulieren Nehmen wir an, es gibt im Bür einen gemeinsamen Drucker, der an einen der ViPNet Netzwerkknten (Cmputer A) angeschlssen ist. Die Benutzer anderer ViPNet Netzwerkknten (swhl statinärer als auch mbiler) möchten auf diesen Drucker zugreifen. Dabei verfügen die Cmputer im Bür über dynamische IP-Adressen, die sich ändern können. Abbildung 1. Remtedrucker verwenden Betrachten wir die Reihenflge der Schritte bei der Installatin eines Netzwerkdruckers auf Cmputer B, falls flgende Bedingungen eingehalten werden: Cmputer А befindet sich im Punkt А. Cmputer В befindet sich im Punkt В. An Cmputer A ist ein Drucker angeschlssen, der im Betriebssystem des Cmputers A installiert und für den öffentlichen Zugang freigegeben ist. Swhl auf Cmputer A als auch auf Cmputer B ist ViPNet Sftware installiert. Cmputer A und Cmputer B können innerhalb des ViPNet Netzwerks aufeinander zugreifen. Die Art der Verbindung zum Internet spielt bei Cmputer A und Cmputer B keine Rlle. Vm Cmputer B sll ein Dkument zum Drucker, der an Cmputer A angeschlssen ist, zum Drucken gesendet werden. Damit ein Dkument vm Cmputer B an den Drucker weitergeleitet werden kann, sllte zunächst dieser Drucker auf Cmputer B als Netzwerkdrucker eingerichtet werden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 13

14 Drucker einrichten Führen Sie auf Cmputer B die flgenden Schritte aus, um das Drucken vn Dkumenten vm Cmputer B aus zu ermöglichen (auf Cmputer A sind keine weiteren Einstellungen erfrderlich): 1 Wählen Sie im Prgrammfenster vn ViPNet Mnitr im Menü Service den Befehl Anwendungseinstellungen. Hinweis. Wenn Sie das Prgramm ViPNet Client Mnitr verwenden, dann sllten Sie alle Einstellungen im Administratrmdus durchführen. 2 Wählen Sie im Fenster Einstellungen in der Navigatinsleiste den Bereich Allgemeine und aktivieren anschließend im Panel-Ansicht das Kntrllkästchen IP-Adressen im Ordner Privates Netzwerk anzeigen. 3 Klicken Sie auf ОК. Im Bereich Privates Netzwerk werden nun die sichtbaren IP-Adressen aller Knten des aktuellen ViPNet Netzwerks abgebildet. 4 Dppelklicken Sie im Bereich Privates Netzwerk auf Cmputer A. Es wird das Fenster Netzwerkknten-Eigenschaften geöffnet. 5 Wechseln Sie im Fenster Netzwerkknten-Eigenschaften zur Registerkarte IP-Adresse und stellen sicher, dass drt das Kntrllkästchen Virtuelle IP-Adresse verwenden aktiviert ist. Falls das Kntrllkästchen nicht verfügbar ist, wenden Sie sich an den Administratr Ihres ViPNet Netzwerks der an den technischen Kundendienst der Firma Inftecs. Merken Sie sich die virtuelle IP-Adresse, die in der Registerkarte IP-Adresse abgebildet ist (wenn mehrere IP-Adressen aufgeführt sind, merken Sie sich nur die erste). Standardmäßig haben virtuelle Adressen die Frm 11.*.*.*, zum Beispiel Wechseln Sie zur Registerkarte Allgemeine und merken sich den Namen vn Cmputer A. Schließen Sie danach das Fenster Netzwerkknten-Eigenschaften. 7 Öffnen Sie die Datei %systemrt%\system32\drivers\etc\hsts zum Bearbeiten und fügen drt die flgende Zeile ein: <Virtuelle IP-Adresse Cmputer А><Leerzeichen><Name Cmputer А> Zum Beispiel: pc15 8 Stellen Sie sicher, dass der Name des Cmputers richtig umgewandelt wird, indem Sie im Menü Start den Befehl Ausführen klicken, im eingeblendeten Fenster eine Zeichenflge der Frm ping <Cmputername> eingeben und die Taste Eingabe drücken. Wenn Sie eine Rückmeldung vn Cmputer A erhalten, gehen Sie zum Schritt 9 weiter. Falls keine Rückmeldungen registriert werden, überprüfen Sie die Krrektheit der Parameter für die Verbindung zum Internet, die Richtigkeit der angegebenen IP-Adresse und des Cmputernamens. 9 Starten Sie den Drucker-Installatinsassistenten. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 14

15 10 Wählen Sie die Optin Netzwerkdrucker der Drucker, der an einen anderen Cmputer angeschlssen ist (A netwrk printer, r a printer attached t anther cmputer) und klicken dann auf Weiter (Next). 11 Geben Sie im Feld Verbindung mit dem Drucker herstellen (Cnnect t this printer) eine Zeichenflge der flgenden Frm ein: \\<Cmputername>\<Freigegebener Druckerrdner>. In unserem Beispiel könnte die Zeichenflge s aussehen: \\pc15\printer. 12 Klicken Sie auf Weiter (Next) und warten, bis alle benötigten Treiber vn Cmputer A auf Cmputer B kpiert sind (die Wartezeit kann über 20 Minuten in Anspruch nehmen). 13 Schließen Sie die Druckerinstallatin auf die übliche Art und Weise ab. Nach Durchführung der ben aufgezählten Schritte können nun Dkumente vn Cmputer B an den Drucker, der an Cmputer A angeschlssen ist, zum Drucken gesendet werden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 15

16 3 Tunnelung vn Knten, die sich nicht im Subnetz des tunnelnden Crdinatrs befinden Bei der Planung des betrieblichen ViPNet Netzwerks kann die Ntwendigkeit entstehen, Knten zu tunneln, die sich in einem separaten Segment des lkalen Netzwerks befinden, in welchem kein Crdinatr installiert ist. Diese Aufgabe kann durch zusätzliche Einstellungen auf dem Crdinatr gelöst werden, allerdings unter der Bedingung, dass Verbindungen zu getunnelten Knten vn geschützten ViPNet Knten initiiert werden. Betrachten wir das nachflgende Schema. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 16

17 Abbildung 2. Tunnelung vn Knten, die sich im separaten Subnetz befinden In dem Schema ist ein ViPNet Netzwerk abgebildet, das Cmputer in der Zentrale, Cmputer in der Filiale swie Cmputer vn entfernten ViPNet Benutzern umfasst. In der Zentrale ist ein Crdinatr 1 installiert, bei welchem ein Netzwerkadapter an das Internet und der zweite Netzwerkadapter an das lkale Bürnetzwerk angeschlssen ist. Zusätzlich befinden sich in der Zentrale mehrere ungeschützte Server (hne installierter ViPNet Sftware), die aus Sicherheitsgründen in einem separaten Netzwerksegment untergebracht sind. Das Ruting zwischen dem Netzwerksegment, in dem sich ungeschützte Server befinden, und dem Segment, in dem der Crdinatr aufgestellt ist, ist implementiert. Für ViPNet Netzwerkbenutzer in der Filiale swie für entfernte Benutzer muss ein geschützter Zugang zu den Servern bereitgestellt werden. Das heißt, mit Hilfe des Crdinatrs 1 muss die Tunnelung ungeschützter Server eingerichtet werden. Nrmalerweise wird es empfhlen, den tunnelenden Crdinatr an der Grenze des Segments aufzustellen, in welchem sich die getunnelten Knten befinden. In unserem Fall ist der Crdinatr 1 durch eine Firewall vn den getunnelten Objekten getrennt. Wenn der Crdinatr 1 ein IP-Paket vm geschützten ViPNet Knten an den getunnelten Knten übermittelt, wird als Quell-IP-Adresse die sichtbare Adresse des geschützten Kntens (ft virtuell) angegeben. Antwrtpakete vn getunnelten Knten werden an diese Adressen weitergeleitet, können aber innerhalb der vrgegebenen Netzwerkstruktur (s. Abbildung 2 auf S. 17) die Firewall nicht passieren. Um dieses Prblem zu lösen, sllte auf dem Crdinatr 1 eine Quellübersetzungsregel definiert werden, sdass IP-Pakete im Namen des Crdinatrs 1 an die getunnelten Knten weitergeleitet werden. In Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 17

18 diesem Fall können Verbindungen erflgreich aufgebaut werden, allerdings unter der Bedingung, dass ein geschützter ViPNet Knten als Initiatr auftritt. Führen Sie die flgenden Schritte aus, um die Tunnelung ungeschützter Server mit Hilfe des Crdinatrs 1, der sich in einem anderen Netzwerksegment befindet, zu rganisieren: 1 Wählen Sie im Prgramm ViPNet Netwrk Manager den tunnelnden Crdinatr aus und geben in der Registerkarte Tunnel die IP-Adressen der getunnelten Knten an (in unserem Beispiel , ). 2 Erstellen Sie im Prgramm ViPNet Netwrk Manager neue Schlüsseldistributinen und versenden diese an die Netzwerkknten. 3 Knfigurieren Sie auf dem tunnelenden Crdinatr im Prgramm ViPNet Mnitr eine Regel für die Adressübersetzung: 3.1 Wählen Sie im Hauptfensterfenster vn ViPNet Crdinatr in der Navigatinsleiste den Bereich Netzwerkfilter > NAT-Regeln. Klicken Sie dann auf Erstellen. 3.2 Geben Sie im Fenster der Optinen für NAT-Regeln im Bereich Allgemeine Optinen den Namen der neuen Regel ein. 3.3 Geben Sie im Bereich Quellen mit Hilfe der Schaltfläche Hinzufügen die sichtbaren IP-Adressen vn ViPNet Netzwerkknten ein, die Zugang zu den getunnelten Knten erhalten sllen. Beispiel: Client 1 (s. Abbildung 2 auf S. 17) besitzt die IP-Adresse Für die Clients 2 und 3 werden auf dem tunnelenden Crdinatr die virtuellen IP-Adressen und verwendet. Diese IP-Adressen sllten als im Bereich Quellen angegeben werden. Abbildung 3. Quell-Adressen angeben 3.4 Aktivieren Sie im Bereich NAT-Regeln das Kntrllkätschen Quelladresse ersetzen durch und wählen IP-Adresse des ausgehenden Netzwerkadapter (wird autmatisch festgelegt). Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 18

19 Abbildung 4. Parameter der NAT-Regel definieren 3.5 Klicken Sie auf OK. Nach Durchführung der ben aufgezählten Einstellungen werden die Server für die geschützten ViPNet Knten erreichbar sein. Die Vrteile dieser Vrgehensweise bestehen darin, dass keine Systemeinstellungen auf den getunnelten Knten geändert und keine zusätzlichen Regeln auf der Firewall, die sich an der Grenze des betrffenen Netzwerksegments befindet, knfiguriert werden müssen. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 19

20 4 Besnderheiten einer integrierten Firewall Allgemeine Infrmatinen 21 Einsatz der integrierten Firewall 22 Knfiguratin der Netzwerkfilter zum Durchlassen des Traffics 23 Knfiguratin der Netzwerkfilter für Clients 25 Knfiguratin der Netzwerkfilter für Crdinatren 29 Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 20

21 Allgemeine Infrmatinen Um einen an ein Netzwerk angeschlssenen Rechner vr einen unbefugten Zugriff und Installatin vn schädlichen Sftwarekmpnenten zu schützen, muss man den gesamten ffenen, geschützten und getunnelten Traffic kntrllieren. Zur Filterung des ffenen Datenverkehrs, der die meisten Gefahren mit sich bringt, werden Firewalls eingesetzt (z.b. Windws Firewall). Auf den geschützten ViPNet Netzwerkknten kann man außerdem die in den Prgrammen ViPNet Client und ViPNet Crdinatr integrierten Firewalls verwenden. Das Prgramm ViPNet Client stellt die Funktinen einer für jedes Benutzerknt separat knfigurierbaren Firewall. Das Prgramm ViPNet Crdinatr agiert selbst als eine Firewall, indem es ffene lkale und Transitverbindungen anhand vn bestimmten Regeln filtert, swie die Übersetzung der IP-Adressen (die NAT-Funktin) für das durchgehende Traffic übernimmt. Standardmäßig verfügen die Clients und Crdinatren eines ViPNet Netzwerks über vreingestellte Netzwerkfilter, die den gesamten ffenen Traffic durchlassen, d.h. die integrierte ViPNet VPN Firewall ist deaktiviert. Das beugt Knfliktsituatinen und Internetzugangsstörungen vr, im Fall wenn auf dem Knten eine andere Firewall aktiviert ist (z.b. Windws Firewall). Windws Firewall ist ein Bestandteil des Windws Betriebssystems, sie ist standardmäßig aktiviert und wird weder bei der Installatin vm ViPNet Client nch vn ViPNet Crdinatr autmatisch deaktiviert. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 21

22 Einsatz der integrierten Firewall Die in der ViPNet VPN Sftware integrierten Firewall-Funktinen ermöglichen eine an Ihre Zwecke angepasste Verwaltung des ffenen Traffics. Sie können Filter erstellen, die bestimmte IP-Pakete aus dem ffenen Netzwerk durchlassen der blckieren, und flgende Parameter einstellen: Quelle- und Zieladressen des IP-Pakets; Filterung der IP-Pakete anhand Prtklle; Zeitplan. Außerdem können Sie mit Hilfe der ViPNet VPN Sftware die für das ffene Netzwerk erstellten Filter zentralisiert auf die geschützten Netzwerkknten anwenden. Dafür wird das Prgramm ViPNet Plicy Manager eingesetzt, mit dessen Hilfe Sie Netzwerkfilter und NAT-Regeln erstellen und danach als Teil einer Sicherheitsrichtlinie an Knten Ihres ViPNet VPN Netzwerkes übertragen können. Die vm ViPNet Plicy Manager abgeschickten Filter und Regeln werden auf den Clients und Crdinatren des Netzwerks autmatisch angewendet. Sie sind nicht editierbar, haben einer höhere Prirität und werden deswegen als Erstes ausgeführt. Wir empfehlen Ihnen die Sicherheitsrichtlinien im Prgramm ViPNet Plicy Manager zu verwalten (detaillierte Anleitung dafür finden Sie im Dkument ViPNet Plicy Manager. Administratrhandbuch ). Sllte das Prgramm ViPNet Plicy Manager nicht im Einsatz sein, können Sie Ihre eigenen Netzwerkfilter in den Prgrammen ViPNet Client und ViPNet Crdinatr erstellen. Flgende Möglichkeiten stehen Ihnen bei der Verwendung der integrierten ViPNet VPN Firewall zur Verfügung: 1 Den unerwünschten Traffic blckieren (wird empfhlen). Führen Sie hierfür flgende Aktinen durch: Erstellen Sie Ihre eigenen Filter, die den unerwünschten Traffic blckieren. Detaillierte Anleitung dafür finden Sie in den Abschnitten Knfiguratin der Netzwerkfilter für Clients (auf S. 25) und Knfiguratin der Netzwerkfilter für Crdinatren (auf S. 29). Setzen Sie die integrierte ViPNet VPN Firewall parallel zu anderen Firewalls ein. 2 Den gesamten ffenen Traffic blckieren und nur bestimmten Traffic erlauben. Achtung! Diese Methde sllte nur vn erfahrenen Administratren verwendet werden. Dafür machen Sie flgendes: Löschen Sie den Standardfilter, der den gesamten ffenen Traffic erlaubt. Der Filter, welcher den gesamten Traffic blckiert, wurde bereits bei der Prgramminstallatin autmatisch angelegt und ist nicht editierbar. Erstellen Sie Ihre eigenen Filter, die den ntwendigen Traffic erlauben und deaktivieren alle anderen Firewalls (einschließlich der Windws Firewall). Mehr dazu im Abschnitt Knfiguratin der Netzwerkfilter zum Durchlassen des Traffics (auf S. 23). Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 22

23 Knfiguratin der Netzwerkfilter zum Durchlassen des Traffics Bevr Sie eigene Filter zum Durchlassen des ffenen Traffics auf einem Client der Crdinatr eines ViPNet Netzwerkes erstellen, führen Sie flgende Aktinen durch: Löschen der deaktivieren Sie den Standardfilter, der den gesamten ffenen Traffic erlaubt. Deaktivieren Sie alle anderen Firewalls, auch die Windws Firewall (mehr dazu finden Sie auf der Internetseite vn Micrsft Jetzt können Sie Ihre eignen Filter erstellen, die den gewünschten Traffic aus ffenen Netzwerken durchlassen (siehe Abschnitte Knfiguratin der Netzwerkfilter für Clients (auf S. 25) und Knfiguratin der Netzwerkfilter für Crdinatren (auf S. 29)). Es wird außerdem empfhlen, die unten beschriebenen und nach ihrer Prirität srtierten Filter anzulegen. Die für Crdinatren eines ViPNet Netzwerkes empfhlenen Filter erlauben alle IP-Pakete flgender Arten des Traffics: DHCP-Traffic, der die Zuteilung einer IP-Adresse und anderer Parameter dem Knten ermöglicht, welche für die Kmmunikatin innerhalb eines TCP/IP-Netzwerks ntwendig sind. Hinweis. Der Filter für den DHCP-Traffic wird nur benötigt, wenn im Netz ein DHCP- Server verwendet wird. NetBIOS-Traffic, der in lkalen Netzwerken den Zugriff auf eigene lkalen Ressurcen und Ressurcen vn Remterechnern ermöglicht. Traffic des WINS-Diensts. Dieser Dienst wandelt die IP-Adressen in NetBIOS-Namen um und vereinfacht smit die Verwaltung der NetBIOS-Namespaces in TCP/IP-Netzwerken. Auf diese Weise übernimmt ein Crdinatr die Funktinen einer Firewall, die die Sicherheit der Kmmunikatinskanale zwischen Netzwerkknten und externen Cmputern (z.b. beim Zugriff auf Internetressurcen aus einem lkalen Netzwerk) gewährleistet. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 23

24 Tabelle 3. Empfhlene Einstellungen für Filter des ffenen Netzwerks auf einem ViPNet VPN Crdinatr Aktin Name Quelle Ziel Prtkll Erlauben DHCP-Traffic Alle Alle DHCP (UDP: vn 67 auf 68, vn 68 auf 67) Erlauben NetBIOS- und WINS-Traffic Alle Alle NetBIOS-DGM (UDP: vn 138 auf 138) NetBIOS-NC (UDP: vn 137 auf 137) Die ben beschriebenen Empfehlungen gelten gleichermaßen für einen Crdinatr als auch für einen ViPNet VPN Client. Außerdem empfehlen wir auf einem Client einen Filter anzulegen, der den gesamten ausgehenden Traffic eines Kntens in ein ffenes Netz erlaubt. Smit erlaubt die integrierte Firewall alle ausgehenden und beschränkt die eingehenden Anfragen auf einem ViPNet VPN Client. Tabelle 4. Empfhlene Einstellungen für Filter des ffenen Netzwerks auf einem ViPNet VPN Client Aktin Name Quelle Ziel Prtkll Erlauben DHCP-Traffic Alle Alle DHCP (UDP: vn 67 auf 68, vn 68 auf 67) Erlauben NetBIOS- und WINS-Traffic Alle Alle NetBIOS-DGM (UDP: vn 138 auf 138) NetBIOS-NC (UDP: vn 137 auf 137) Erlauben Ausgehender Traffic Mein ViPNet Alle Alle Knten Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 24

25 Knfiguratin der Netzwerkfilter für Clients Für die Clients eines ViPNet VPN Netzwerks empfehlen wir eine zentralisierte Filterverwaltung im Prgramm ViPNet Plicy Manager. Dadurch ersparen Sie sich als Netzwerkadministratr die Einzelknfiguratinen auf jedem Knten, die vr allem bei einer grßen Anzahl an Clients sehr zeitintensiv sein kann. Eine detaillierte Anleitung zur Verwaltungen der Netzwerkknten- Sicherheitsrichtlinien im Prgramm ViPNet Plicy Manager finden Sie im Dkument ViPNet Plicy Manager. Administratrhandbuch. Sllte das Prgramm ViPNet Plicy Manager nicht im Einsatz sein, können Sie die Netzwerkfilter für die Clients Ihres ViPNet VPN Netzwerks manuell anlegen. Standardmäßig wird dafür das Prgramm ViPNet Mnitr mit einer vereinfachten Benutzerschnittstelle verwendet. Im Administratrmdus stehen Ihnen die erweiterten Prgrammeinstellungen (einschließlich die Knfiguratin vn Netzwerkfiltern) zur Verfügung. Dafür benötigen Sie das Passwrt des ViPNet Kntenadministratrs, welches Sie dem Prgramm ViPNet Netwrk entnehmen können. Öffnen Sie dafür im Bereich Eigenes Netzwerk die Registerkarte Passwörter. Abbildung 5. Passwrt des Netzwerkkntenadministratrs im ViPNet Netwrk Manager anzeigen Eine detaillierte Anleitung zum Arbeiten im ViPNet Client mit Administratrrechten finden Sie im Dkument ViPNet VPN. Benutzerhandbuch im Abschnitt Arbeiten mit dem Prgramm im Administratrmdus. S erstellen Sie einen Filter des ffenen Netzwerks im Prgramm ViPNet Client: 1 Melden Sie sich im Prgramm als Administratr an. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 25

26 Abbildung 6. Als Administratr anmelden 2 Wählen Sie in der Navigatinsleiste den Bereich Netzwerkfilter > Filter des ffenen Netzwerks aus. Abbildung 7. Standardfilter des ffenen Netywerks in ViPNet Client 3 Klicken Sie in der Panel-Ansicht auf die Schaltfläche Erstellen. 4 Geben Sie im geöffneten Fenster im Bereich Allgemeine Optinen eine Filterbezeichnung an und definieren, b er den Traffic erlauben der blckieren sll. Abbildung 8. Definitin allgemeiner Parameter für Filter 5 Geben Sie im Bereich Quellen den Absender der ffenen IP-Pakete an. Damit der Filter nur auf die ausgehenden ffenen Verbindungen Ihres Kntens angewendet wird, wählen Sie Mein ViPNet Knten aus. Wenn Sie keinen Absender angeben, wird der Filter auf alle IP-Pakete vn jeder beliebigen Quelle (auch vn Ihrem Knten) angewendet. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 26

27 Abbildung 9. Definitin der Absender ffener IP-Pakete Hinweis. Um die Erstellung vn Netzwerkfiltern im Prgramm ViPNet Client zu erleichtern, können Sie mit Objektgruppen arbeiten. Mehr dazu finden Sie im Dkument ViPNet VPN. Benutzerhandbuch im Bereich Integrierte Firewall. 6 Geben Sie im Bereich Ziel den Empfänger der IP-Pakete an, snst wird der Filter auf alle an einen beliebigen ffenen Knten verschickten IP-Pakete angewendet. 7 Geben Sie im Bereich Prtklle den Prtkll der die Gruppe vn Prtkllen an, der/die gefiltert werden sll (z.b. DHCP). Abbildung 10. Prtkll-Gruppe definieren 8 Bei Bedarf geben Sie im Bereich Zeitpläne an, wann der Filter ausgeführt werden sll (Datum und Uhrzeit). 9 Um die Erstellung des Filters abzuschließen, klicken Sie auf OK. In der Panel-Ansicht erscheint nun der neu angelegte Filter. 10 Wiederhlen Sie die Schritte 3 bis 9, um einen weiteren Filter zu erstellen. 11 Definieren Sie die Priritäten einzelner Filter, indem Sie ihre Reihenflge in der Liste Benutzerdefinierte Filter mit den Schaltflächen und anpassen: Wenn Sie Filter erstellt haben, die den unerwünschten Traffic blckieren, rdnen Sie sie nach ihrer Prirität vr dem Filter Alle Verbindungen ein. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 27

28 Wenn Sie Filter erstellt haben, die den erwünschten Traffic erlauben, wählen Sie den Standardfilter Alle Verbindungen aus und löschen ihn mit der Schaltfläche Löschen. Die Reihenflge der empfhlenen Filter zum Durchlassen vm Traffic stellen Sie entsprechend der im Anschnitt Knfiguratin der Netzwerkfilter zum Durchlassen des Traffics (auf S. 23) angeführten Tabelle. Nach der Knfiguratin der Filter zum Durchlassen vm Traffic deaktivieren Sie alle anderen Firewalls. 12 Klicken Sie in der Panel-Ansicht auf die Schaltfläche Übernehmen und bestätigen die Änderungen, um die erstellen Filter zu aktivieren. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 28

29 Knfiguratin der Netzwerkfilter für Crdinatren Für die Crdinatren eines ViPNet Netzwerks empfehlen wir eine zentralisierte Filterverwaltung im ViPNet Plicy Manager Prgramm. Detaillierte Infrmatinen zu Verwaltung der Sicherheitsrichtlinien vn ViPNet Netzwerkknten entnehmen Sie dem Dkument ViPNet Plicy Manager. Administratrhandbuch. Sllte das Prgramm ViPNet Plicy Manager nicht im Einsatz sein, können Sie lkale und Transitfilter des ffenen Netzwerks swie NAT-Regeln im Prgramm ViPNet Crdinatr erstellen. Die lkalen Filter des ffenen Netzwerks legen Sie im Bereich Netzwerkfilter > Lkale Filter des ffenen Netzwerks an. Auf den Crdinatren sind standardmäßig Filter eingerichtet, die den gesamten ffenen Traffic durchlassen. Das Vrgehen beim Anlegen eines lkalen Filters auf einem Crdinatr und einem Client (s. Knfiguratin der Netzwerkfilter für Clients auf S. 25) ist bis auf die Einstellungsmöglichkeiten für Netzwerkadapter gleich: Auf einem Crdinatr im Einstellungsfenster in den Bereichen Quellen und Ziele können neben den Quelle- und Zieladressen nch Netzwerkadapter eingestellt werden, die die IP- Pakete vn den ausgewählten Absendern (Quellen) empfangen und an die angegebenen Empfänger (Ziele) schickten sllen. Abbildung 11. Definieren des Quell-Netzwerkadapters in ViPNet Crdinatr Die NAT-Regeln richten Sie im Bereich Netzwerkknten > NAT-Regeln ein. Sie werden auf dem Crdinatr angewendet, der das lkale und das glbale Netz vneinander abgrenzt, um die zwei grundliegenden Aufgaben zu lösen: Wenn eine Verbindung des lkalen Netzwerks mit dem Internet nötig ist, wbei die Anzahl der Knten im lkalen Netzwerk die Anzahl der vm Prvider bereitgestellten öffentlichen IP-Adressen überschreitet. Für den Zugang zu internen Ressurcen aus einem öffentlichen Netzwerk. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 29

30 In diesem Bereich gibt es keine vrdefinierten Einstellungen. Detaillierte Anleitung zum Anlegen der NAT-Regeln finden Sie im Dkument ViPNet VPN. Benutzerhandbuch im Abschnitt Übersetzung vn IP-Adressen (NAT). Als Ergänzung zu den NAT-Regeln sllten im Bereich Netzwerkfilter > Transit-Filter des ffenen Netzwerks Transit-Filter des ffenen Netzwerks eingerichtet werden. Sie erlauben den Traffic zwischen Segmenten des lkalen Netzwerks und dem Internet in die angegebenen Richtungen. Standardmäßig sind diese Filter nicht vrhanden, Sie können sie aber analg den lkalen Filtern des ffenen Netzwerks einrichten. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 30

31 5 Beispiel für die Verwaltung vn Netzwerkknten- Sicherheitsrichtlinien mit Hilfe vn ViPNet Plicy Manager In diesem Abschnitt ist ein Beispiel für die Verwendung des Prgramms ViPNet Plicy Manager für die zentralisierte Verwaltung vn Sicherheitsrichtlinien der ViPNet Netzwerkknten aufgeführt. Nehmen wir an, es sll ein Filter erstellt werden, der den Zugriff vn Clients auf die Webseiten unterschiedlicher szialer Netzwerke blckiert. Das Erstellen eines slchen Filters im Prgramm ViPNet Plicy Manager und das Versenden des Filters an die ViPNet Netzwerkknten ermöglicht es dem Administratr, die manuelle Knfiguratin der Einstellungen auf jedem einzelnen Knten zu vermeiden. Auf den Netzwerkknten tritt der Filter autmatisch in Kraft, seine Parameter können dabei nicht bearbeitet werden. Führen Sie zum Erstellen eines Filters, der den Zugang zu szialen Netzwerken blckieren sll, im Prgramm ViPNet Plicy Manager auf dem Manager-Arbeitsplatz die flgenden Schritte aus: 1 Wählen Sie in der Navigatinsleiste den Bereich Richtlinienvrlagen. 2 Klicken Sie in der Panel-Ansicht auf die Schaltfläche Erstellen. 3 Geben Sie im eingeblendeten Fenster der Vrlageneigenschaften im Bereich Allgemeine Optinen den Namen der neuen Vrlage an. 4 Wählen Sie in der Navigatinsleiste den Bereich Lkale Filter des ffenen Netzwerks und klicken in der Panel-Ansicht auf die Schaltfläche Erstellen. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 31

32 Abbildung 12. Erstellen des lkalen Filters des ffenen Netzwerks für eine Sicherheitsrichtlinienvrlage 5 Geben Sie im eingeblendeten Fenster der Eigenschaften des lkalen Filters im Bereich Allgemeine Optinen den Namen des Filters und seine primäre Aktin an: IP-Traffic blckieren (diese Aktin ist standardmäßig ausgewählt). 6 Klicken Sie im Bereich Quellen auf die Schaltfläche Hinzufügen und wählen im Menü den Eintrag Mein ViPNet Knten. Abbildung 13. Festlegen der Verbindungsquelle 7 Klicken Sie im Bereich Ziele auf die Schaltfläche Hinzufügen und wählen im Menü den Eintrag DNS- Name. 8 Geben Sie im eingeblendeten Fenster DNS-Name den DNS-Namen des Servers des szialen Netzwerks ein, zu welchem der Zugriff gesperrt werden sll, und klicken dann auf ОK. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 32

33 Abbildung 14. Festlegen des Verbindungsziels 9 Wiederhlen Sie die Schritte 6 8 für die Server aller szialen Netzwerke, die vm Filter erfasst werden sllen. 10 Klicken Sie im Fenster der Eigenschaften des lkalen Filters auf OK. 11 Wählen Sie im Fenster der Vrlageneigenschaften in der Navigatinsleiste den Bereich Netzwerkknten. 12 Klicken Sie in der Panel-Ansicht auf die Schaltfläche Hinzufügen. 13 Wählen Sie im eingeblendeten Fenster Netzwerkknten alle Clients aus, auf welche die gegebene Vrlage angewendet werden sll, und klicken dann auf OK. Abbildung 15. Wahlweises Hinzufügen vn Netzwerkknten 14 Klicken Sie im Fenster der Eigenschaften der Vrlage auf OK. 15 Wählen Sie im Hauptfenster vn ViPNet Plicy Manager den Bereich Netzwerkknten. Wählen Sie innerhalb des Bereichs alle Knten mit dem Richtlinienstatus Verteilung erfrderlich aus. 16 Klicken Sie auf die Schaltfläche Richtlinien verteilen. 17 Behalten Sie im Fenster Richtlinie verteilen die standardmäßig eingetragenen Werte bei der geben Sie die Zeit an, zu welcher die gesendeten Richtlinien in Kraft treten sllen. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 33

34 Abbildung 16. Verteilung vn Sicherheitsrichtlinien an die Netzwerkknten 18 Klicken Sie auf OK. Im Hauptfenster vn ViPNet Plicy Manager im Bereich Netzwerkknten ändert sich der Status der abgesendeten Richtlinien auf Gesendet. Sbald die Richtlinie für einen bestimmten Knten an diesen Knten erflgreich zugestellt wurde, erhält diese Richtlinie den Status An Knten zugestellt. Der erstellte Filter wird im Prgramm ViPNet Client nach der Anmeldung im Administratrmdus im Bereich Filter des ffenen Netzwerks > Filter für Sicherheitsrichtlinien angezeigt. Abbildung 17. Filter der Sicherheitsrichtlinien in ViPNet Client Ausführliche Infrmatinen zur Verwendung des Prgramms ViPNet Plicy Manager finden Sie im Dkument ViPNet Plicy Manager. Administratrhandbuch. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 34

35 6 Remte-Steuerung vn ViPNet Netzwerkknten Autmatische Anmeldung in Windws und ViPNet Sftware 36 Knfiguratin des Terminalservers bei Remtesteuerung 41 Installatin der Sftware für Remtesteuerung 43 Starten des Prgramms für die Remtesteuerung 44 Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 35

36 Autmatische Anmeldung in Windws und ViPNet Sftware Wfür wird die autmatische Anmeldung benötigt Bei der Administratin entfernter Cmputer der Cmputer, auf die der physikalische Zugriff aus irgendwelchen Gründen nur schwer möglich ist, besteht ft die Ntwendigkeit, nach einem Neustart des Rechners die Anmeldung im Betriebssystem und den Start des Prgramms ViPNet Mnitr autmatisch durchzuführen. Wenn die Sftware ViPNet Client der ViPNet Crdinatr auf einem Server mit Betriebssystem Windws installiert ist, dann ist beim Start des Betriebssystems eine Benutzeranmeldung erfrderlich. Dies ist dadurch bedingt, dass ViPNet Sftware (mit Ausnahme vn ViPNet Treiber) als Anwendung und nicht als Dienst ausgeführt wird. Damit auf einem Netzwerkknten die Anmeldung im System und der Start des Prgramms ViPNet Mnitr autmatisch durchgeführt werden (hne Benutzung der Tastatur und hne physikalischen Zugriff), sllten Sie die flgenden Schritte ausführen: Erlauben Sie die autmatische Anmeldung in den Systemeinstellungen vn Windws (s. Knfiguratin der autmatischen Anmeldung in Windws auf S. 36). Speichern Sie das ViPNet Benutzerpasswrt, das für den Zugang zu ViPNet Crdinatr der ViPNet Client verwendet wird (s. Autmatische Anmeldung in ViPNet Sftware einstellen auf S. 39). Knfiguratin der autmatischen Anmeldung in Windws Zum Einstellen einer autmatischen Anmeldung unter Windws: 1 Drücken Sie die Tastenkmbinatin Win+R. Im Menü Start (Start) können Sie auch den Befehl Ausführen (Run) wählen. 2 Geben Sie im eingeblendeten Fenster im Feld Öffnen den Befehl cntrl userpasswrds2 ein und klicken auf OK. Bei Verwendung vn Windws Vista/Server 2008/Windws 7 können Sie auch den Befehl netplwiz verwenden. 3 Führen Sie im Fenster Benutzerknten (User Accunts) in der Registerkarte Benutzer (Users) die flgende Aktinen durch: Wählen Sie in der Registerkarte Benutzer (Users) den Benutzer in der Liste aus, unter wessen Knt die Anmeldung im Betriebssystem erflgen sll, und deaktivieren das Kntrllkästchen Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 36

37 Benutzer müssen Benutzernamen und Kennwrt eingeben (Users must enter a username and passwrd t use this cmputer). Der Benutzer muss in diesem Fall zur Gruppe Administratrs gehören (Benutzer muss als Administratr des Cmputers registriert sein). Abbildung 18. Autmatische Anmeldung im Betriebssystem in der Registerkarte Benutzer knfigurieren Deaktivieren Sie in der Registerkarte Erweitert (Advanced) das Kntrllkästchen Strg+Alt+Entf drücken ist für die Anmeldung erfrderlich (Require users t press Ctrl+Alt+Delete). Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 37

38 Abbildung 19. Autmatische Anmeldung im Betriebssystem in der Registerkarte Erweitert knfigurieren Hinweis. Wenn sich der Cmputer in einer Dmäne befindet, können die angegebenen Kntrllkästchen aufgrund vn Gruppensicherheitsrichtlinien fehlen der nicht verfügbar sein. In diesem Fall ist zum Einstellen der autmatischen Anmeldung im Betriebssystem die manuelle Bearbeitung der Registry erfrderlich. Unsachgemäße Bearbeitung der Registry kann zu Störungen in der Arbeit des Betriebssystems führen, deswegen sllte vr möglichen Eingriffen unbedingt eine Sicherungskpie der Registry erstellt werden. Die Kpie ermöglicht die Wiederherstellung der Registry im Fall vn Prblemen. Wenn das Kntrllkästchen Benutzer müssen Benutzernamen und Kennwrt eingeben (Users must enter a username and passwrd t use this cmputer) fehlt der nicht verfügbar ist, dann weisen Sie den Parametern im Registry-Bereich HKEY_LOCAL_MACHINE\SOFTWARE\Micrsft\Windws NT\CurrentVersin\Winlgn die flgenden Werte zu: AutAdminLgn 1 ( wahr ). Dieser Parameter wird dazu verwendet, die autmatische Anmeldung im Betriebssystem zu aktivieren. Beim Setzen dieses Wertes auf 0 wird die autmatishe Anmeldung deaktiviert. DefaultDmainName Name der Dmäne, in der sich der Cmputer des Benutzers befindet. DefaultUserName Name des Benutzers, mit dessen Benutzerknt die autmatische Anmeldung im Betriebssystem erflgen sll. DefaultPasswrd Passwrt des Benutzers. Wenn der Wert dieses Parameters nicht angegeben ist, wird der Parameter AutAdminLgn autmatisch wieder auf 0 ( falsch ) gesetzt, was eine autmatische Anmeldung im Betriebssystem deaktiviert. Wenn die angegebenen Parameter fehlen, erzeugen Sie diese manuell, indem Sie den Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 38

39 Datentyp Zeichenflge (REG_SZ) verwenden. Wenn das Kntrllkästchen Strg+Alt+Entf drücken ist für die Anmeldung erfrderlich (Require users t press Ctrl+Alt+Del) fehlt der nicht verfügbar ist, dann weisen Sie dem Parameter Disablecad im Registry-Zweig HKEY_LOCAL_MACHINE\SOFTWARE\Micrsft\Windws NT\CurrentVersin\Plicies\System den Wert 1 ( wahr ) zu. Wenn dieser Parameter fehlt, erzeugen Sie diesen manuell, indem Sie den Typ DWORD verwenden. Klicken Sie auf Übernehmen (Apply). 4 Geben Sie im Fenster Autmatische Anmeldung (Autmatically Lg On) das Passwrt ein und klicken auf OK. Abbildung 20. Fenster zur Passwrt-Eingabe für die autmatische Anmeldung im Betriebssystem Bei nachflgenden Starts des Cmputers wird die Anmeldung im Betriebssystem unter dem Knt des gewählten Benutzers hne Eingabe eines Passwrts und hne Betätigung der Tastenkmbinatin Strg+Alt+Entf durchgeführt. Autmatische Anmeldung in ViPNet Sftware einstellen Damit der Netzwerkkntenauch im Fall eines außerplanmäßigen Systemneustarts verfügbar bleibt, sllte das Benutzerpasswrt im System gespeichert werden. Führen Sie dazu die flgenden Schritte aus: 1 Stellen Sie sicher, dass im Hauptfenster des Prgramms ViPNet Netwrk Manager auf der Registerkarte Schlüssel das Kntrllkästchen Passwrt darf gespeichert werden für den betrffenen Netzwerkknten aktiviert ist. Wenn dieses Kntrllkästchen deaktiviert ist, dann aktivieren Sie es und senden anschließend ein Schlüsselupdate an den Netzwerkknten. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 39

40 Abbildung 21. Aktivieren der Passwrtspeicherung Wenn das Speichern des Passwrts im Prgramm ViPNet Netwrk Manager erlaubt ist, dann wird das Kntrllkästchen Passwrt speichern im Fenster zur Passwrteingabe auf dem Netzwerkknten standardmäßig aktiviert. 2 Starten Sie auf dem Netzwerkknten die Sftware ViPNet Crdinatr der Client. 3 Geben Sie das ViPNet Benutzerpasswrt ein. 4 Aktivieren Sie das Kntrllkästchen Passwrt speichern (falls es nicht bereits aktiviert ist) und klicken auf OK. Nach der Durchführung der aufgezählten Schritte wird die Benutzeranmeldung im Prgramm ViPNet Crdinatr der ViPNet Client beim Start des Servers autmatisch durchgeführt (die Eingabe des Benutzerpasswrts ist dabei nicht erfrderlich). Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 40

41 Knfiguratin des Terminalservers bei Remtesteuerung Während der Arbeit in einer Terminal-Sitzung (z.b. bei Verbindungen zum Server mit Hilfe des Prgramms Remte Desktp Cnnectin) kann die flgende Situatin auftreten: beim Beenden der Terminal-Sitzung wird das Prgramm ViPNet Mnitr autmatisch aus dem Speicher des Remte-Servers entladen und der Schutz des IP-Traffics wird deaktiviert. Wenn dieses Prblem auf einem Crdinatr auftritt, dann kmmt es auf allen ViPNet Netzwerkknten, die diesen Crdinatr als Firewall der IP- Adressenserver verwenden, zu Störungen in der Verbindung. Dieses Prblem tritt auf, wenn der Terminal-Server s knfiguriert wurde, dass er alle Anwendungen des Benutzers nach seiner Anmeldung in der Sitzung beendet. In der flgenden Abbildung sind Einstellungen im Snap-In RDP-Tcp Eigenschaften aufgeführt, die zum unerwünschten Beenden des Prgramms ViPNet Mnitr führen. Abbildung 22. Fehlerhafte Einstellungen eines Terminal-Servers Zur Lösung des Prblems sllten alle Einstellungen durch das Deaktivieren der Kntrllkästchen Benutzereinstellungen überschreiben auf ihre Standardwerte zurückgesetzt werden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 41

42 Abbildung 23. Krrekte Einstellungen des Terminal-Servers Hinweis. Im Betriebssystem Windws Server 2008 R2 werden die Terminal-Dienste als Remte-Desktp-Dienste bezeichnet. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 42

43 Installatin der Sftware für Remtesteuerung Wenn Sie Remte-Verbindungen zu ViPNet Netzwerkknten mit Hilfe vn externen Prgrammen wie Remte Administratr (Radmin), VNC der Remte Desktp Cnnectin aufbauen möchten, dann stellen Sie zunächst sicher, dass die angegebenen Prgramme auf Ihrem Cmputer installiert sind. Sie erhalten die Installatinspakete für diese Prgramme, indem Sie die Pakete vn den flgenden Webseiten herunterladen: Remte Administratr: vn der Web-Seite Radmin Das Paket Remte Administratr umfasst Client- und Server-Sftwaremdule. VNC: vn der Web-Seite RealVNC Das Paket VNC umfasst Client- und Server-Sftwaremdule. Remte Desktp Cnnectin: vn der Micrsft Web-Seite Das Prgramm Remte Desktp Cnnectin ist in den Betriebssystemen Windws XP, Windws Server 2003, Windws Vista, Windws Server 2008, Windws 7, Windws 8 standardmäßig installiert. Die Verbindungen können vn allen Cmputern aufgebaut werden, die eine beliebige Versin der aufgeführten Betriebssysteme benutzen. Als Zielcmputer können jedch nur Cmputer auftreten, auf denen die Betriebssystemversin Enterprise, Prfessinal der Ultimate installiert ist. Ausführliche Infrmatinen sind auf der Webseite vn Micrsft enthalten Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 43

44 Starten des Prgramms für die Remtesteuerung Die Sftware ViPNet Mnitr ermöglicht den Remte-Zugriff auf ViPNet Netzwerkknten mit Hilfe vn externen Prgrammen wie Remte Administratr (Radmin), VNC der Remte Desktp Cnnectin. Der Remtezugang kann für den Administratr eines Kntens nützlich sein, falls der physikalische Zugang zu diesem Knten erschwert ist. Ebens kann der Remtezugang vn einem Benutzer verwendet werden, der vn zu Hause aus auf einem Cmputer im Bür arbeiten möchte. Zum Starten eines Prgramms für den Remte-Zugriff: 1 Wählen Sie im Prgrammfenster vn ViPNet Mnitr in der Navigatinsleiste den Bereich Privates Netzwerk. 2 Klicken Sie mit der rechten Maustaste auf den Netzwerkknten, auf den remte zugegriffen werden sll, zeigen Sie im Kntextmenü auf den Eintrag Externe Prgramme und wählen dann den Startbefehl für das benötigte Remtezugriffsprgramm aus. Abbildung 24. Starten einer externen Anwendung Die Befehle im Untermenü Externe Prgramme sind nur dann aktiv, wenn die entsprechenden Prgramme auf dem Cmputer installiert sind (s. Installatin der Sftware für Remtesteuerung auf S. 43). Außerdem sllte der gewählte Netzwerkknten eine vn Null abweichende Zugangs-IP- Adresse besitzen. Zusätzlich sllte auf diesem Knten die entsprechende Server-Sftware (z.b. Radmin Server, VNC Server) installiert, knfiguriert und gestartet sein. Hinweis. Beim Verwenden des Prgramms Remte Desktp ist es nicht erfrderlich, zusätzliche Server-Sftware auf dem Knten zu installieren. Mit Hilfe vn Remte Desktp kann der Remte-Zugriff zu beliebigen ViPNet Netzwerkknten aufgebaut werden, die unter dem Betriebssystem Windws arbeiten. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 44

45 Falls alle genannten Bedingungen erfüllt sind, öffnet sich das Verbindungsfenster. Sbald die Verbindung aufgebaut ist, wird das Eingabefenster für das Zugangspasswrt für den gewählten Knten angezeigt. Nach der Eingabe des Passwrts wird ein Fenster geöffnet, das den Desktp des Remtekntens anzeigt. Hinweis. Es sllte beachtet werden, dass für einen erflgreichen Verbindungsaufbau zu einem ViPNet Netzwerkknten die Sftware für den Remte-Zugriff krrekt knfiguriert sein sllte. Bei Verwendung des Prgramms Remte Desktp sllten zum Beispiel auf dem Netzwerkknten, zu dem die Verbindung hergestellt wird, die flgenden Einstellungen vrgenmmen werden: Remte-Verbindungen sllten in den Systemeigenschaften erlaubt sein. Das Benutzerknt des externen Benutzers sllte zur Liste der Remte-Benutzern hinzugefügt werden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 45

46 7 Verbindungen zwischen ViPNet VPN- Netzwerk und einem Netzwerk auf Basis der Sftware ViPNet Administratr Allgemeine Infrmatinen 47 Initiierung der Verbindung mit Hilfe des ViPNet Netwrk Manager 48 Initiierung der Verbindung mit Hilfe der Sftware ViPNet Administratr 50 Anfrderungen an die Partnernetzwerk-Infrmatinen des ViPNet Netzwerks unter der Steuerung vn ViPNet Administratr 52 Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 46

47 Allgemeine Infrmatinen Achtung! In diesem Kapitel wird ausschließlich die Verbindung zwischen einem ViPNet VPN- und einem Netzwerk auf Basis der Sftware ViPNet Administratr behandelt. Die Verbindung zwischen zwei ViPNet VPN-Netzwerken wird im Dkument ViPNet VPN. Benutzerhandbuch behandelt. ViPNet Administratr stellt eine kmplexe Lösung aus Sft- und Hardwarekmpnenten dar, die flgende zwei Hauptaufgaben erfüllen sll: Einrichtung einer geschützten Umgebung für die sichere Übertragung vn vertraulichen Daten unter Verwendung öffentlicher Verbindungskanäle der Standleitungen (Internet-, Telefnleitungen, u. s. w.) durch Installatin eines virtuellen privaten Netzwerks (VPN). Aufbau eines Systems öffentlicher Schlüssel (PKI) und Einrichtung einer Zertifizierungsstelle mit dem Ziel, die Verwendung vn digitalen Signaturen in den verschiedenen Sftwareanwendungen zu ermöglichen. Es besteht die Möglichkeit, Partnernetzwerk-Verbindungen zwischen einem geschützten Netzwerk auf Basis vn ViPNet VPN 4.2 und einem Netzwerk unter der Verwaltung vn ViPNet Administratr Versin und höher aufzubauen. In diesem Abschnitt wird das Zusammenwirken des ViPNet VPN- Netzwerks und des Netzwerks unter der Steuerung vn ViPNet Administratr 4.2.x beschrieben. Als Initiatr der Partnernetzwerk-Verbindung kann dabei swhl der Administratr des ViPNet VPN- Netzwerks als auch der Administratr des Netzwerks unter der Steuerung vn Sftware ViPNet Administratr auftreten. Das Netywerk unter der Steuerung vn ViPNet Administratr enthält mehr als zehn verschiedenen Sftware-Kmpnenten und Mdulen, und die Struktur eines ViPNet Netzwerkes unter der Steuerung vn Sftware ViPNet Administratr ist kmplexer als die Struktur eines ViPNet VPN-Netzwerks. Deswegen sllte die Verbindung zwischen einem ViPNet VPN- und einem ViPNet Netzwerk unter dem Steuerung vn ViPNet Administratr in einer bestimmten Reihenflge aufgebaut werden (s. Abschnitte unten). Die vm Administratr des Netzwerks unter der Steuerung vn ViPNet Administratr übermittelte Partnernetzwerk-Infrmatin sllte eine Reihe vn Anfrderungen erfüllen (s. Anfrderungen an die Partnernetzwerk-Infrmatinen des ViPNet Netzwerks unter der Steuerung vn ViPNet Administratr auf S. 52). Es wird empfhlen, die Einrichtung der Partnernetzwerk-Verbindung ausgehend vm ViPNet Administratr nur bei Bedarf zu verwenden. Achtung! Eine Partnernetzwerk-Verbindung mit einem Netzwerk unter der Steuerung vn ViPNet Administratr ist nicht möglich, wenn das Prgramm ViPNet Netwrk Manager in Ihrem Netzwerk auf einem Crdinatr installiert ist. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 47

48 Initiierung der Verbindung mit Hilfe des ViPNet Netwrk Manager Als bevrzugte Optin zur Einrichtung einer Partnernetzwerk-Verbindung zwischen einem Netzwerk unter der Steuerung vn ViPNet Netwrk Manager und einem Netzwerk unter der Steuerung vn ViPNet Administratr kann der Ansatz gewählt werden, bei welchem die Verbindung vm Administratr des ViPNet VPN-Netzwerks initiiert wird. In diesem Fall umfasst der Vrgang der Verbindungseinrichtung drei Etappen: 1 Initiierung der Partnernetzwerk-Verbindung durch den Administratr der Sftware ViPNet Netwrk Manager. 2 Der Empfang und die Verarbeitung der Partnernetzwerk-Infrmatinen durch den Administratr des ViPNet Netzwerks (unter der Steuerung vn ViPNet Administratr), die Herstellung vn Verbindungen zwischen diesen Netzwerken, der Versand der sgenannten Antwrtdatei mit Exprtdaten in das Netzwerk unter der Steuerung vn ViPNet Netwrk Manager. Die Antwrtdatei sllte dabei bestimmte Anfrderungen erfüllen (s. Anfrderungen an die Partnernetzwerk- Infrmatinen des ViPNet Netzwerks unter der Steuerung vn ViPNet Administratr auf S. 52). 3 Empfang vn Exprtdateien im ViPNet Netwrk Manager, Bestätigung der Verbindungen mit den Knten anderes Netzwerks, Fertigstellung der etablierten Partnernetzwerk-Verbindung. Zum Einrichten einer Partnernetzwerk-Verbindung sllten die flgenden Schritte durchgeführt werden: 1 Erstellen Sie im ViPNet Netwrk Manager zum Initiieren der Partnernetzwerk-Verbindung eine Datei mit den Partnernetzwerk-Infrmatinen. Diese Datei sllte durch ein Passwrt geschützt sein und flgende Elemente enthalten: Name und Nummer des Partnernetzwerks unter der Steuerung vn ViPNet Administratr, Gateway-Crdinatr, Liste der ViPNet VPN-Netzwerkknten, die an der Partnernetzwerk-Verbindung teilnehmen sllen. Leiten Sie die Datei mit den Partnernetzwerk-Infrmatinen und das Passwrt auf eine sichere Art an den Administratr des Netzwerks unter der Steuerung vn ViPNet Administratr weiter. 2 Der Administratr anderes Netzwerks sllte flgendermaßen in der Sftware ViPNet Administratr vrgehen, um die Partnernetzwerk-Infrmatinen zu verarbeiten: Die Partnernetzwerk-Infrmatinen in Frm eines Archivs im *.lzh-frmat empfangen. Im Prgramm ViPNet Netwrk Cntrl Center: Die Datei mit den Partnernetzwerk-Infrmatinen im Fenster der Partnernetzwerke annehmen. Den Namen des ViPNet VPN-Partnernetzwerks und den Gateway-Crdinatr angeben, die Einrichtung des Partnernetzwerks bestätigen. Die *.lzh-datei in einen separaten Ordner entpacken. Im Prgramm ViPNet Key and Certificatin Authrity: Im Schlüsselcenter den Internetzwerk-Masterschlüssel mit der Erweiterung *.key unter Verwendung des Schutzpasswrts, das im Prgramm ViPNet Netwrk Manager definiert wurde, aus dem Ordner laden. Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 48

49 Den Internetzwerk-Masterschlüssel aktivieren und als aktuellen Schlüssel festlegen. Im Prgramm ViPNet Netwrk Cntrl Center: Im Fenster der Partnernetzwerke die Benutzer des Netzwerks unter der Steuerung vn ViPNet Administratr auswählen, die an den Partnernetzwerk-Verbindungen teilnehmen sllen. Die Verbindungen zwischen den Benutzern eigenes Netzwerks und den Benutzern des Netzwerks unter der Steuerung vn ViPNet Administratr definieren. Ausgehende Partnernetzwerk-Infrmatinen für das ViPNet VPN-Netzwerk zusammenstellen und in ein *.lzh-archiv verpacken. Die erstellten Exprtdateien mit den Partnernetzwerk-Infrmatinen in Frm eines *.lzh- Archivs an den Administratr des ViPNet Netwrk Manager weiterleiten. 3 Empfangen Sie die Partnernetzwerk-Infrmatinen aud dem Netzwerk unter der Steuerung vn ViPNet Administratr und gehen dann flgendermaßen vr: Nehmen Sie im Prgramm ViPNet Netwrk Manager die eingehenden Partnernetzwerk- Infrmatinen aus anderem Netzwerk, indem Sie den Pfad zum erhaltenen *.lzh-archiv angeben. Der Assistent für Partnernetzwerk-Verbindungen überprüft, b die erhaltene Datei mit dem ViPNet Netwrk Manager kmpatibel ist. Wenn die erhaltenen Partnernetzwerk-Infrmatinen inkrrekte Daten enthalten, können die Infrmatinen nicht bearbeitet werden. Auf der Seite des Assistenten wird eine entsprechende Fehlermeldung angezeigt (s. Abbildung 25 auf S. 49) und ein Fehlbericht wird erstellt. In diesem Fall sllten Sie den Fehlerbericht an den Administratr des ViPNet Netzwerks auf Basis der Sftware ViPNet Administratr überreichen, damit die Partnernetzwerk-Infrmatinen krrigiert und erneut versendet werden können. Abbildung 25. Partnernetzerk-Infrmatin enthält inkrrekte Daten Gängige Szenarien der Administratin vn ViPNet VPN. Anhang zum Benutzerhandbuch 49