Collax Business Server NCP Secure Entry Client Interoperability Guide V Collax Business Server (V ) NCP Secure Entry Client 8.

Transkript

1 Collax Business Server NCP Secure Entry Client Interoperability Guide V. 1.3 Collax Business Server (V ) NCP Secure Entry Client 8.21 Dies ist eine Anleitung, die die Konfigurationsschritte beschreibt, um einen Road Warrior per NCP Secure Entry Client unter Windows an einen Collax Business Server mit bekannter IP-Adresse oder bekanntem DNS-Namen mit Ihrem lokalen Netz zu verbinden. Die Besonderheiten bei der VPN-Anbindung eines PDA mit Windows CE werden am Schluss dieser Anleitung gezeigt. Getestet mit: Windows 2000 SP4, Windows XP SP1 & SP2, Windows CE Voraussetzungen Collax Business Server: Auf Collax Business Server muss ein Netz angelegt werden, aus dem die Gegenstelle eine IP-Adresse erhält. Das Netz für die IP- Adresse der Gegenstelle darf nicht Teil eines lokalen Netzes sein. Wie Sie die Netze anlegen, ist im Administrationshandbuch beschrieben. NCP Secure Entry Client: Collax Business Server ist über die öffentliche IP-Adresse erreichbar und NCP Secure Entry Client ist installiert. Zertifikat erzeugen Collax Business Server: Legen Sie auf Collax Business Server ein lokales Server Zertifikat und ein nicht-lokales Server-Zertifikat wie im Administrationshandbuch beschrieben an. Die beiden Zertifikate sollten von einer CA abgeleitet sein. Das nicht-lokale Server- Zertifikat darf nicht mit einem Passphrase versehen werden. Zertifikat exportieren Collax Business Server: Exportieren Sie das nicht-lokale Server-Zertifikat im PKCS#12 Format. Wählen Sie hierbei das dazugehörige CA-Zertifikat aus. Zum Schutz vor unberechtigtem Zugang müssen Sie es an dieser Stelle mit einem Export-Passwort sichern, das länger als vier Zeichen ist. Um das Zertifikat auf einem Windows-Rechner importieren zu können, muss die Endung.p12 sein. >>

2 VPN Verbindung konfigurieren Collax Business Server: Legen Sie auf Collax Business Server wie im Administrationshandbuch beschrieben einen neuen VPN-Link an. Im Feld Initiieren geben Sie Einwahl an. Die Parameter der Verschlüsselung müssen auf beiden Seiten identisch sein. NAT-Traversal Befindet sich der Rechner mit NCP Secure Entry Client hinter einem Router in einem maskierten Net (NAT), muss auf Collax Business Server unter Netzwerk / Links / Allgemein die Option NAT-Traversal aktivieren gesetzt sein. Sollten Sie NAT- Traversal verwenden, muss die Option Kompression beim VPN-Link deaktiviert sein. Zugänge freigeben In der Firewall-Matrix muss entschieden werden, welche Verbindungen Sie von dem VPN-Client zulassen wollen.

3 NCP Secure Entry Client: Nachdem Sie den NCP Secure Entry Client installiert haben und den Windows Rechner neu gebootet haben, startet die Oberfläche für den Verbindungsaufbau und die Konfiguration automatisch. Starten Sie den Konfigurations-Assistenten, indem Sie auf Ja klicken. Alternativ können Sie den Konfigurations-Assistenten auch über das Menü Konfiguration und den Punkt Profil-Einstellungen aufrufen.

4 Für die VPN-Verbindung zu Collax Business Server legen Sie einen Neuen Eintrag an. Die wichtigsten Einstellungen werden nun mit einem Assistenten durchgeführt. In der ersten Auswahl wählen Sie Verbindung zum Firmennetz über IPSec.

5 Im nächsten Dialog geben Sie dem Profil der neuen VPN-Verbindung einen beliebigen Namen. Wählen Sie im Dialog Verbindungsart die Methode aus, mit der Sie eine Internet-Verbindung aufbauen. Im folgenden wird beschrieben, wie Sie die Verbindung mit ISDN aufbauen. Wollen Sie die Verbindung über ein Modem, DSL oder das lokale Netz aufbauen, gehen Sie analog vor. Geben Sie Ihre ISDN-Einwahldaten, Benutzername und Passwort, sowie die Telefonnummer Ihres Internet-Providers an. Im Dialog VPN Gateway-Parameter geben Sie den DNS-Namen (auch DynDNS) oder die IP-Adresse an, über die Collax Business Server erreichbar ist.

6 Im nächsten Dialog wählen Sie als Exchange-Modus die Option Main Mode aus. Als PFS-Gruppe geben Sie DH-Gruppe2 (1024 Bit) an. Im Dialog IPSec-Konfiguration Preshared Key wird unter Lokale Identität die Option ASN1 Distinguished Name ausgewählt.

7 Nun wird die virtuelle IP-Adresse des VPN-Clients im Dialog IPSec-Konfiguration IP-Adresse vergeben. Achten Sie darauf, dass diese Adressen nicht doppelt vergeben werden. Wählen Sie im Feld IP-Adressen-Zuweisung die Option IP-Adresse manuell vergeben aus. Als IP-Adresse geben Sie eine Adresse aus dem Netz an, das auf Collax Business Server für den Remote-Zugriff konfiguriert wurde. Die Subnet-Maske ist dieselbe wie auf Collax Business Server für das Remote-Netz. DNS- Server und WINS-Server können Sie angeben. Dies wird in der Regel die lokale IP-Adresse von Collax Business Server sein (vgl. Absender-Adresse bei der Collax Business Server Link-Konfiguration). Als nächstes folgt der Dialog Firewall-Einstellungen. Für die ersten Verbindungsversuche sollten Sie die Firewall deaktivieren: Stateful Inspection aktivieren auf Aus. Für den Zugriff auf Microsoft Netzwerk-Resourcen können Sie Erlaube NetBIOS über IP aktivieren.

8 Ein neues Profil ist nun bei den Profil-Einstellungen enthalten. Um eine VPN-Verbindung aufbauen zu können, sind noch ein paar Einstellungen notwendig. Klicken Sie hierzu auf Konfigurieren. In den ersten drei Formularen Grundeinstellungen, Netzeinwahl und Line Management brauchen Sie keine Änderungen durchführen.

9 Ändern Sie im Formular IPSec-Einstellungen die Einstellungen IKE-Richtlinie auf RSA Signatur und IPSec-Richtlinie auf ESP AES128 MD5. Diese beiden Optionen können auch auf Automatischer Modus gesetzt bleiben, der Verbindungsaufbau ist dann aber ein bisschen langsamer.

10 In den nächsten beiden Formularen Identität und IP-Adressen-Zuweisung sind die Einstellungen bereits korrekt gesetzt.

11 Im Formular VPN IP-Netze geben Sie das Netz und die dazugehörige Netzmaske ein, das auf der Gegenseite Collax Business Server erreicht werden soll. Die letzten beiden Formulare Zertifikats-Überprüfung und Firewall-Einstellungen können wiederum unverändert bleiben. Es empfiehlt sich jedoch die Firewall auf eine sichere Einstellung zu stellen. Wenn eine VPN-Verbindung aufgebaut wurde, ist der Client-Rechner Teil des LANs von Collax Business Server. Ist er angreifbar, so ist das gesamte Netz angreifbar.

12 Schließen Sie die Konfiguration ab, indem Sie auf OK klicken. Alle Einstellungen sind jetzt vorgenommen, im nächsten Schritt importieren sie das Zertifikat. Der Dialog für den Import befindet sich unter Zertifikate im Menü Konfiguration.

13 In der Registrierkarte Benutzer Zertifikat des Dialogs Zertifikate wählen Sie in der Auswahl Zertifikat die Option aus PKCS#12-Datei aus. Geben Sie im Feld PKCS#12-Dateiname die Datei des Zertifikats an oder wählen Sie es über... mit einem File-Browser aus. Klicken Sie OK Wenn Sie jetzt Collax Business Server als Zielsystem auswählen und auf Verbinden klicken, wird das Passwort PIN des Zertifikats abgefragt. Dies ist das Passwort, das beim Export des PKCS#12-Zertifikats auf Collax Business Server vergeben wurde.

14 Wenn die Eingabe korrekt war, wird versucht eine VPN-Verbindung zu Collax Business Server aufzubauen. Die Verbindung ist zustande gekommen:

15 NCP Secure Entry Client für Windows CE Nach Installation des NCP Secure Entry CE Client Configurator auf einem Windows Rechner wird die Konfiguration in gleicher Weise wie oben beschrieben durchgeführt. Ist der PDA über ActiveSync mit dem Windows Rechner verbunden, kann zuerst die Installation des NCP Secure Entry Client für Windows CE auf dem PDA über den Menüpunkt Verbindung / PDA Installation durchgeführt werden und anschließend kann per Download-Button die Konfiguration überspielt werden. Im Unterschied zur oben beschriebenen Konfiguration deaktivieren sie nun die Kompression auf dem Collax Business Server, da ein PDA hiermit überlastet ist. Bei Angabe des Zertifikats muss der Pfad auf dem PDA mit angegeben werden. Dies kann in Form der Umgebungsvariablen %INSTALLDIR% geschehen. Nun muss noch das Zertifikat auf den PDA übertragen werden: Konfiguration / Übertrage PKCS#12 Datei zum PDA. Zum Aufbau der VPN-Verbindung zwischen dem PDA und Collax Business Server starten sie nun noch den Treiber mit dem Programm NCP Client Driver. Danach kann mit dem NCP Client Monitor die VPN-Verbindung hergestellt werden.