HOB GmbH & Co. KG Schwadermühlstr. 3 90556 Cadolzburg Tel: 09103 / 715-0 Fax: 09103 / 715-271 E-Mail: support@hob.de Internet: www.hob.de HOB Remote Desktop VPN Sicherer Zugang mobiler Anwender und Geschäftspartner in das Firmennetzwerk April 2008
HOB RD VPN HOB bietet mit RD VPN (Remote Desktop Virtual Private Network) eine hochsichere Zugangsmöglichkeit auf firmeninterne Applikationen und Daten an. Je nach Zielsystem steht das entsprechende Kommunikationsprotokoll zur Verfügung (z.b. RDP für Windows-basierte Systeme oder 3270 für IBM Mainframes, etc.). In Verbindung mit HOB X11Gate ist auch der Remote-Zugriff auf einen Unix/Linux-Desktop möglich. Der Nutzer braucht hierfür nichts zu installieren, ebenso ist der Zugriff von jedem beliebigen Internetzugang aus möglich. Für die RDP-basierte Verbindung (Remote Desktop Protokoll) stehen zahlreiche Windows-Gegenstellen zur Verfügung: 2
1. HOB WTS Computing Zugriff auf Microsoft Windows Terminal Server Farmen Die HOB Lösung bietet den sicheren Zugriff auf Windows Terminal Server Farmen auch über das Internet an. Der HOB WebSecureProxy schottet hierfür die einzelnen Terminal Server vor dem direkten Zugriff aus dem Internet ab. Ebenso werden durch ihn die Zugriffe auf die einzelnen Server, in Abhängigkeit der jeweiligen CPU-Last, gesteuert. Es handelt sich hierbei um ein echtes Load Balancing. 2. HOB Desktop-on-Blade Zugriff auf Blade Server Farmen Alternativ zum Windows Terminal Server können ebenso in Farmen zusammengefasste Blade Server mit Windows XP Professional oder Windows Vista (Business, Ultimate) Betriebssystem angesprochen werden. Auch hier übernimmt die HOB Lösung die korrekte Verteilung auf die Blade Server. Um beispielsweise besonders leistungsfähige Blade Server bevorzugt einzusetzen ist eine entsprechende Priorisierung möglich. Die Nutzung virtueller Windows XP Professional/Vista (Business, Ultimate) Gastsysteme, auf Basis von VMware, ist ebenso möglich. 3. HOB Desktop-on-Demand Zugriff auf Arbeitsplatzrechner Hierbei können Anwender mit der HOB Lösung auch auf firmeninterne Windows XP Professional/Vista (Business, Ultimate) Arbeitsplätze zugreifen. Dabei ist es egal ob der betreffende Rechner ausgeschaltet ist. Der HOB WebSecureProxy nutzt die in modernen Rechnern implementierte Wake-on-LAN Funktionalität, so dass der Zielrechner auch über das Internet eingeschaltet werden kann. Dateien können bei allen drei genannten Szenarien über die bestehende RDP Verbindung ausgetauscht werden. Für HOB WTS Computing gilt dies sowohl für den Windows 2000 Server, Windows Server 2003 als auch für Windows Server 2008 als Gegenstelle. Von der Druckerhardware unabhängigen Druckoutput auf der Clientseite ermöglicht die HOB EasyPrint Technologie, die serverseitig einen Standarddruckertreiber verwendet. Zur Sicherung der Kommunikation über das Internet wird das SSL Protokoll verwendet. Alle bereits etablierten Algorithmen wie beispielsweise 3DES aber auch der AES Algorithmus, mit bis zu 256 Bit Schlüssellänge, stehen zur Verfügung. 3
4. HOB WebSecureProxy Zugriff auf firmeninterne Server Der HOB WebSecureProxy kann neben den genannten Szenarien auch beliebige SSL-Anfragen von externen Clientanwendungen an firmeninterne Server weiterleiten. Beispielsweise könnte ein am Client installiertes MS Outlook via SSL gesicherter POP3S, IMAPS oder SMTPS-Kommunikation E-Mails mit dem firmeninternen Mailserver austauschen. Der Mailserver selbst verwendet keine SSL Verschlüsselung und ist von den E-Mailclients nur indirekt erreichbar. Durch den HOB WebSecureProxy findet eine Abschottung der Zielsysteme vor dem direkten Zugriff aus dem Internet statt. 5. HOB WebSecureProxy Web-Server-Gate Zugriff auf firmeninterne Webserver Das HOB WSP Web-Server-Gate erweitert die Funktionalität des HOB WebSecureProxy. Anfragende Webbrowser können hiermit auf interne Webserver umgeleitet werden. Zwischen dem clientseitigen Webbrowser und dem HOB WebSecureProxy wird über HTTPS kommuniziert, ab dem HOB WebSecureProxy und dem Zielsystem über HTTP oder HTTPS. Das HOB WSP Web- Server-Gate interpretiert die Webseiten neu, HTML- und Javascript-Links werden für den Browser am Client automatisch umgesetzt. Ein Target-Filter beschränkt den Webzugriff des Anwenders auf, vom Administrator freigegebene, Webserver. 6. HOB WSP Universal Client SSL-Tunnelung lokaler Clientanfragen Für Nicht-SSL-fähige Clientsoftware bietet der, lokal installierbare oder via Webbrowser herunterladbare, HOB WSP Universal Client die Funktionalität eines lokalen Client-SSL-Gateway. Clientseitige TCP-Anfragen werden demnach an einem definierten TCP-Port angenommen und an das entsprechende Zielsystem über den HOB WebSecureProxy weitergeleitet. Die Clientapplikationen richten ihre Anfragen dazu an localhost als Zielsystem. Zur Nutzung des HOB WSP Universal Client sind clientseitig keine lokalen Admin-Rechte notwendig. Mehr Information hierzu im Whitepaper HOB WSP Universal Client. 7. HOB Web-to-Host Sämtliche genannten Szenarien sind mit HOBLink J-Term, der leistungsfähigen Web-to-Host Lösung von HOB, für den Zugriff auf Legacy-Applikationen kombinierbar. 4
8. HOB Secure Communications Server Gehärtetes Basis-Betriebssystem für HOB RD VPN Als optionales Add-On bietet HOB, momentan noch in BETA- Version, HOB SCS als Basisplattform für HOB RD VPN an. Die Installations-CD enthält ein gehärtetes Linux Betriebssystem sowie alle zum Betrieb von HOB RD VPN benötigten Komponenten. Zur Inbetriebnahme wird nur ein Standard-PC ab Intel Pentium III mit mind. 512 MByte Arbeitsspeicher und mehr als 4 GByte Plattenplatz benötigt. Eine Version für die x64-plattform wird folgen. HOB RD VPN ist im Gegensatz zu herkömmlichen SSL VPN Lösungen eine hoch skalierbare Softwarelösung. HOB RD VPN ist flexibler, da jede Windows- und Legacy-Applikation in der Firmenzentrale nutzbar ist. Die Bereitstellung anwendungsspezifischer Connectoren entfällt. Die Implementierung des SSL Protokolls wurde vom Bundesamt für Sicherheit in der Informationstechnik (kurz: BSI) gemäß der Common Criteria EAL2 zertifiziert. Die Zertifizierung gemäß EAL 4+ ist in Arbeit. Die 32 Bit Windows Version des HOB WebSecureProxy ist von Microsoft für Windows Server 2003 Standard Edition zertifiziert. Der HOB WebSecureProxy ist für die folgenden Plattformen verfügbar: Microsoft Windows (x86, EM64T, Itanium) Linux (x86, EM64T, Itanium) Sun Solaris (Sparc, EM64T) HP-UX (PA-Risc, Itanium) IBM AIX Im Vergleich zu IPSec basierten VPN Lösungen entfällt der Installationsaufwand auf der Clientseite sowie der notwendige Virenschutz zwischen den angebundenen Clients und der Firmenzentrale. HOB GmbH & Co. KG April 2008 5