Hinweise zur Nutzung des SSL- Gateways der BITBW für die Anmeldung an Systemen in der Landesverwaltung Abteilung 3, Referat 31, Rechenzentrum Team Operative Sicherheit, Stand 24.03.2017 Dokumentenverantwortliche/r: Referat 31 Operative Sicherheit Dokumentenart: Handbuch Letzte Änderung: 24.03.2017 Version: 1.0 Status: Freigegeben Verschlussgrad: Öffentlich IT Baden-Württemberg (BITBW) Krailenshaldenstraße 44 70469 Stuttgart Telefon: +49 (0)711 89 10-40 Fax: +49 (0)711 89 10-97 69 6 E-Mail: Poststelle@bitbw.bwl.de www.bitbw.de
Seite 2/14 Dokumentenhistorie Version Datum Änderung Bearbeiter/in 0.1 16.12.2016 Erstellung des Dokuments 0.2 05.01.2017 Überarbeitung des Dokuments 0.3 13.01.2017 Ergänzung des Dokuments 0.4. 24.03.2017 Überarbeitung des Dokuments Tanja Fritz Tanja Fritz Tanja Fritz Tanja Fritz Abkürzungen Kürzel BITBW HTML IE LAN LVN RDP SSH SSL TLS URL VPN Langbezeichnung/Bedeutung Behörde für IT Baden-Württemberg Hyper Text Markup Language Internet Explorer Local Area Network Landesverwaltungsnetz Remote Desktop Protocol Secure Shell Secure Sockets Layer Transport Layer Security Uniform Resource Locator Virtual Private Network
Inhaltsverzeichnis Seite 3/14 1. Einleitung 4 2. Hinweise für die Verwendung von Windows 7 in der 64-Bit Version 4 3. Beschreibung für den Internet Explorer 7 3.1. Aufruf der Startseite 7 3.2. Anmeldung am SSL VPN-Gateway 7 3.3. Anmeldung am Zielsystem 8 3.4. Installation des Citrix Receiver 10 3.5. Toolbar des SSL-Gateways 12 4. Nutzungsempfehlungen 14 Abbildungsverzeichnis Abbildung 1: Kompatibilitätsansicht IE 9 und IE 10 5 Abbildung 2: Kompatibilitätsansicht ab IE 11 6 Abbildung 3: Aufruf der Startseite 7 Abbildung 4: Erste Anmeldung beim VPN Gateway 8 Abbildung 5: Installation des Secure Application Manager 8 Abbildung 6: Starten des Secure Application Manager 9 Abbildung 7: Weboberfläche des LUBW-Portals 9 Abbildung 8: Anmelden am System 10 Abbildung 9: Installation des Receiver 10 Abbildung 10:Starten des Downloads 11 Abbildung 11: Speichern der Datei 11 Abbildung 12: Verschieben der Toolbar 12 Abbildung 13: grünes "S"-Symbol 12 Abbildung 14: Ein- und Ausklappen der Toolbar 12 Abbildung 15: Anzeige des Hilfesystems 13 Abbildung 16: Verlassen der Sitzung/ Abmelden vom SSL-Gateway 13 Abbildung 17: "Abmelden vom SSL-Gateway" 13
1. Einleitung Seite 4/14 Die Abteilung 3 der BITBW bietet für Kunden aus der Landesverwaltung Remote- Zugriffe aus dem Internet auf Systeme im LVN an. Die Remote-Zugriffe erfolgen über das Firewall-System der BITBW und werden mit starkem Verschlüsselungsverfahren und über weitere zentral eingerichtete Sicherheits-Systeme gesichert. Mitarbeitende der Landesverwaltung können sich somit über das Internet ins LVN einwählen und die dafür ausgewählten Systeme ihrer Dienststelle nutzen. Der Zugang aus dem Internet erfolgt hierbei zunächst über eine Anmeldung an einem SSL VPN-Gateway. Als SSL VPN bezeichnet man Systeme, die den Transport privater Daten über öffentliche Netzwerke ermöglichen und als Verschlüsselungs-protokoll Transport Layer Security (TLS) oder Secure Sockets Layer (SSL) verwenden. Dabei werden die öffentlichen Netze, z.b. das Internet, als Virtual Private Network (VPN) genutzt. Teilnehmende eines VPN können Daten wie in einem internen LAN austauschen. Erst im zweiten Anmeldeschritt wird die direkte Verbindung zu den Systemen in der Landesverwaltung hergestellt. 2. Hinweise für die Verwendung von Windows 7 in der 64-Bit Version Unter Verwendung des Betriebssystems Windows 7 der 64-Bit Version mit dem Internet Explorer kommt es zu Darstellungsfehlern. Die Darstellungsfehler werden vom Hersteller verursacht, nicht von der BITBW. Um diese Fehler zu beheben, stellen Sie bitte im Internet Explorer die Kompatibilitätsansicht ein. Aktivieren der Ansicht im IE 9 und IE 10 Dazu klicken Sie im IE auf Extras > Einstellungen der Kompatibilitätsansicht und setzen den Haken bei alle Websites in Kompatibilitätsansicht anzeigen. Bestätigen Sie mit Schließen.
Seite 5/14 Abbildung 1: Kompatibilitätsansicht IE 9 und IE 10 Aktivieren der Kompatibilitätsansicht ab IE 11 Klicken Sie im IE auf Extras > Einstellungen der Kompatibilitätsansicht und tragen Sie die URL wenn nicht bereits automatisch geschehen- in das Feld unter Folgende Websites hinzufügen: und klicken Sie auf Hinzufügen. Bitte achten Sie darauf, dass unten in den Kästchen keine Haken gesetzt sind. Drücken Sie anschließend auf Schließen.
Seite 6/14 Abbildung 2: Kompatibilitätsansicht ab IE 11 In einigen Fällen kommt es vor, dass die URL beim nächsten Öffnen des Browsers nicht mehr in der Kompatibilitätsansicht gespeichert ist. Bitte prüfen Sie daher nochmals die Ansicht und fügen Sie die URL nochmals hinzu.
Seite 7/14 3. Beschreibung für den Internet Explorer 3.1. Aufruf der Startseite Der Aufruf der Startseite für den Zugang erfolgt über die Eingabe folgender Adresse im Adressfeld des Browsers: https://umwelt-portal.landbw.de Abbildung 3: Aufruf der Startseite 3.2. Anmeldung am SSL VPN-Gateway Nach Eingabe der Adresse im Browser sehen Sie die in Abbildung 4 dargestellte Anmeldemaske. Am SSL-Gateway wurde für die Anmeldung ein Anmeldekonto für Sie eingerichtet. Für die Generierung des Passworts wurde Ihnen ein Einmalpasswortgenerator (Token) mit einer persönlichen PIN ausgehändigt. Das Passwort setzt sich aus der persönlichen PIN und aus der Ziffernfolge, welche Sie mit dem Token generieren, zusammen. Den zu dem Token zugehörigen Benutzernamen erhalten Sie von Ihrer Dienststelle. Bitte tragen Sie in das Textfeld neben Benutzername Ihren mitgeteilten Benutzernamen ein. Dieser beginnt mit lubwssl. Tragen Sie anschließend in das Textfeld neben Passwort zuerst Ihre persönliche 4- stellige PIN (XXXX) und direkt im Anschluss die mit dem Token generierte Ziffernfolge (XXXXXXXX) ein. Drücken Sie hierzu so lange auf die Taste auf dem Token, bis Sie eine Ziffernfolge sehen. Das in das Textfeld eingetragene 12-stellige Passwort hat anschließend folgendes Format: XXXXXXXXXXXX. Bestätigen Sie danach durch Anklicken der Schaltfläche Anmelden.
Seite 8/14 Abbildung 4: Erste Anmeldung beim VPN Gateway 3.3. Anmeldung am Zielsystem Bei der ersten erfolgreichen Anmeldung am SSL VPN-Gateway wird auf Ihrem PC, bzw. Notebook das Programm Secure Application Manager installiert (siehe Abbildung 5 Installation des Secure Application Manager ). Für die Installation sind Administrator-Rechte erforderlich. Klicken Sie in dem Fenster auf Immer. Anschließend startet die Installation. Abbildung 5: Installation des Secure Application Manager Sollten Sie nach Anklicken von Immer das Fenster Benutzerkontosteuerung mit der folgenden Meldung erhalten: Möchten Sie zulassen, dass durch das folgende Programm Änderungen an diesem Computer vorgenommen werden? Wählen Sie in diesem Fenster Ja aus. Der Secure Application Manager wird nach jeder Anmeldung am SSL VPN-Gateway gestartet (siehe Abbildung 6 Starten des Secure Application Manager ). Sollte Ihnen
Seite 9/14 das Fenster Benutzerkontosteuerung nochmals angezeigt werden, bestätigen Sie bitte mit Ja. Abbildung 6: Starten des Secure Application Manager Nach der erfolgreichen Installation, bzw. dem erfolgreichen Start des Secure Application Manager gelangen Sie auf eine Weboberfläche mit den Links zu den Zielsystemen, auf denen die Anmeldung erfolgen soll (siehe Abbildung 7 Weboberfläche des LUBW-Portals ). In diesem Portal wird Ihnen der Haupt- NAIS- Server und der Ausweichserver zur Verfügung gestellt. Durch Auswahl des entsprechenden Links können Sie sich mit einem der beiden NAIS-Server verbinden. Abbildung 7: Weboberfläche des LUBW-Portals Nach Auswahl eines Links wird Ihnen die Anmeldemaske des jeweiligen NAIS-Servers angezeigt. Dort melden Sie sich mit Ihren entsprechenden Zugangsdaten an. Der Anmeldevorgang entspricht der Anmeldung, wie Sie diese direkt in Ihrer Dienststelle am Arbeitsplatz durchführen (siehe Abbildung 8 Anmelden am System ). Hinweis: Für die Nutzung der Anwendungen in den Zielsystemen ist die Installation des Citrix Receiver erforderlich. Ist dieser bereits auf Ihrem PC, bzw. Notebook installiert, wird dieser gestartet und anschließend das Anmeldefenster des Servers angezeigt. Falls
Seite 10/14 dieser noch nicht auf Ihrem PC oder Notebook installiert sein sollte, ist die Installation des Receivers in Punkt 3.4. Installation des Citrix Receiver beschrieben. Abbildung 8: Anmelden am System 3.4. Installation des Citrix Receiver Sollte auf Ihrem PC oder Notebook der Citrix Receiver noch nicht installiert sein, können Sie diesen durch Anklicken des Links auf der Startseite des Portals direkt von der Citrix-Webseite herunterladen. Klicken Sie hierzu auf den blau hinterlegten Begriff Citrix-Receiver (siehe Abbildung 9: Installation des Receiver ). Abbildung 9: Installation des Receiver Nach Anklicken des Links werden Sie direkt zur Downloadseite von Citrix weitergeleitet. Zum Starten des Downloads klicken Sie auf Download Receiver for Windows (siehe Abbildung 10 Starten des Downloads ).
. Seite 11/14 Abbildung 10:Starten des Downloads Beim Internet Explorer erscheint oben oder unten im Browserfenster nach Starten des Downloads die Anfrage, ob Sie die Datei ausführen oder speichern möchten. Klicken Sie auf Speichern und wählen Sie einen Speicherort Ihrer Wahl aus (siehe Abbildung 11 Speichern der Datei ). Abbildung 11: Speichern der Datei Kehren Sie anschließend zur Weboberfläche des LUBW-Portals durch Anklicken des Zurück-Pfeils oben links neben der Adressleiste (siehe grüne Markierung in Abbildung
Seite 12/14 11 Speichern der Datei ) zurück. Anschließend können Sie sich mit einem der im Portal zur Verfügung stehenden Server verbinden. 3.5. Toolbar des SSL-Gateways Im Browserfenster wird Ihnen oben rechts eine Toolbar angezeigt. Diese ist Bestandteil der Verbindung über das SSL-Gateway und gehört nicht zur Citrix-Umgebung. Nachfolgend werden die Funktionalitäten der einzelnen Symbole der Toolbar erläutert. Verschieben der Toolbar Nach der Anmeldung am SSL VPN-Gateway wird Ihnen die Toolbar rechts oben eingeblendet. Durch Anklicken der beiden Pfeile auf der linken Seite der Toolbar (siehe rote Markierung in Abbildung 12 Verschieben der Toolbar ) springt diese auf die linke Seite des Bildschirms. Abbildung 12: Verschieben der Toolbar Rückkehr zur Linkauswahl Durch Anklicken des grünen S -Symbols in der Toolbar gelangen Sie zur Startseite mit der Linkauswahl zurück (siehe rote Markierung in Abbildung 13 grünes S -Symbol). Abbildung 13: grünes "S"-Symbol Ein- und Ausklappen der Toolbar Die Toolbar lässt sich durch Anklicken des einzelnen Pfeils ein- und ausklappen (siehe rote Markierung in Abbildung 14 Ein- und Ausklappen der Toolbar ). Abbildung 14: Ein- und Ausklappen der Toolbar
Anzeige des Hilfesystems Seite 13/14 Durch Auswahl des Rettungsrings in der Toolbar (siehe rote Markierung in Abbildung 15 Anzeige des Hilfesystems ) gelangen Sie zum Hilfesystem. Dort finden Sie weitere Informationen oder Tipps. Abbildung 15: Anzeige des Hilfesystems Beenden der Sitzung/ Abmelden vom SSL-Gateway Variante 1 Möchten Sie die Sitzung beenden und Sie sich vom SSL-Gateway abmelden, klicken Sie in der Toolbar auf das Tür-Symbol (siehe rote Markierung in Abbildung 16 Verlassen der Sitzung/ Abmelden vom SSL-Gateway ). Abbildung 16: Verlassen der Sitzung/ Abmelden vom SSL-Gateway Beenden der Sitzung/ Abmelden vom SSL-Gateway Variante 2 Befinden Sie sich bereits auf der Startseite mit der Linkauswahl, können Sie sich über das Türsymbol oben rechts in der Toolbar (siehe rote Markierung in Abbildung 17 Abmelden vom SSL-Gateway ) vom SSL-Gateway abmelden und die Sitzung beenden. Alternativ können Sie durch Anklicken des grünen S - Symbols (siehe Abbildung 13 grünes S -Symbol) in der Toolbar zur Startseite zurückkehren und sich anschließend abmelden. Abbildung 17: "Abmelden vom SSL-Gateway"
4. Nutzungsempfehlungen Seite 14/14 Bei der Nutzung des Zugangs sollte beachtet werden, dass öffentlich zugängliche Rechner-Systeme, z B. Internet-Cafes, Hotels o. ä. grundsätzlich als sicherheitskritisch einzustufen sind und folglich für einen Verbindungsaufbau zum LVN ungeeignet sind. Eine Verwendung privater Rechner-Systeme für einen Zugriff auf die Landesverwaltung sollte von der Dienststelle genehmigt werden. Sofern aus dem Ausland auf Dienste der Landesverwaltung zugegriffen werden soll, muss hierfür ein Client-System von der Dienststelle zur Verfügung gestellt werden.