Installation des VNC-Viewers und der Dateischleuse

Die Installation der Kientensoftware erfolgt direkt an den Arbeitsplätzen. VNC-Viewer und Dateischleusen für Linux- und Windows-Betriebssysteme können aus dem Download-Bereich der m-privacy GmbH lizenzkostenfrei bezogen werden. Die Installation unterscheidet sich nach verwendetem Betriebssystem und Authentisierungsverfahren geringfügig. Die einzelnen Installationsschritte unter Windows und unter Linux werden im nächsten Abschnitt erläutert.

Die notwendigen Programmpakete stehen im Downloadbereich der m-privacy GmbH unter http://www.m-privacy.de/support/download lizenzkostenfrei zum Abruf zur Verfügung.

Hinweise: TightGate™-Pro erlaubt generell die Vollverschlüsselung des VNC-Datentransfers zwischen dem ReCoB-System (Server) und dem Arbeitsplatzrechner (Klient). Die Verschlüsselung ist serverseitig standardmäßig aktiviert. Inwiefern dieses Leistungsmerkmal tatsächlich genutzt wird, hängt maßgeblich von der Konfiguration der VNC-Viewer auf den Klientenrechnern ab. Die CC-konforme Variante der Viewer-Software TightGate™-Pro (CC) Version 1.4 Client erlaubt in der Werkseinstellung ausschließlich die Nutzung der Zwischenablage per Einzelbestätigung, der Verbindungsaufbau zum Server erfolgt immer TLS-verschlüsselt. Weitere Hinweise zur Verschlüsselung der Kommunikation zwischen TightGate™-Pro und den Arbeitsplatzrechnern erteilt auf Anfrage der technische Kundendienst der m-privacy GmbH.

Achtung: Während alternative (an dieser Stelle nicht aufgeführte) Viewer-Programme (VNC-Viewer) in vielen Fällen mit TightGate™-Pro harmonieren, können in CC-konformen Umgebungen nur die Viewer-Programme verwendet werden, die seitens der m-privacy GmbH bereitgestellt werden. Hintergrund ist die Tatsache, dass die Verschlüsselung des Datenstroms zwischen TightGate™-Pro und den Klientenrechnern (Arbeitsplatzrechnern) bei TightGate™-Pro (CC) Version 1.4 nicht deaktiviert werden kann.

Im Vorfeld der Installation des VNC-Viewers unter Windows muss das zur geplanten Authentisierungsmethode passende Installationspaket aus dem Downloadbereich der m-privacy GmbH abgerufen werden.

Achtung: Die von der m-privacy GmbH bereitgestellten Viewer sind ausführbare MSI-Pakete und installieren neben dem Viewer auch alle benötigten Programme zur Soundübertragung. Mit alternativen VNC-Viewern ist keine Soundübertragung von TightGate™-Pro möglich.

Bei der Installation der MSI-Pakete für den Viewer und das Schleusenprogramm werden auf dem Desktop des Arbeitsplatz-PCs neue Icons angelegt, welche die Namen “Internet” (für den Viewer) bzw. “Schleuse” (für das Schleusenprogramm) tragen. Durch einen Doppelklick auf das jeweilige Icon wird die entsprechende Anwendung gestartet.

Konfiguration des Viewers für die Anmeldung mit Benutzername und Passwort Nach der Installation des MSI-Pakets für den Viewer von TightGate™-Pro muss die IPv4-Adresse von TightGate™-Pro in der Konfigurationsdatei tgpro.cfg im Programmverzeichnis von TightGate™-Pro eingetragen werden.

Die Konfigurationsdatei tgpro.cfg befindet sich unter Microsoft Windows in

C:\Programme\TightGate-Pro\tgpro.cfg

Hinter dem Eintrag „IP-Adresse von TightGate™-Pro” kann die IPv4-Adresse der Appliance oder deren auflösbarer DNS-Name angegeben werden. Abschließend ist die Datei tgpro.cfg wieder an ihren bisherigen Ort zu speichern.

Hinweise:

• Zur Änderung dieser Datei sind Administratorrechte auf dem Zielsystem erforderlich.
• Im Fall großer Nutzergruppen kann ein angepasstes MSI-Paket von der m-privacy GmbH bezogen werden, das die umgebungsspezifischen Einstellungen bereits berücksichtigt. Konfigurationsarbeiten an den Arbeitsplatzrechnern sind nach dem Rollout in diesem Fall nicht erforderlich.
• Bei Anmeldung mit Zertifikat (Single Sign-on) ist keine Konfigurationsdatei tgpro.cfg vorhanden, diese wird mit den Zertifikaten zusammen erzeugt und ausgerollt.

Konfiguration des Viewers für das zertifikatsbasierte Single Sign-on Eine Konfiguration des Viewers für das zertifikatsbasierte Single Sign-on an TightGate™-Pro ist nicht notwendig. Es ist jedoch vor der ersten Anmeldung erforderlich, dass die entsprechenden Zertifikate auf dem Arbeitsplatz-PC hinterlegt sind.

Achtung: Firewalls und Paketfilter zwischen TightGate™-Pro und den Arbeitsplatzrechnern (Klientenrechner) müssen ebenso wie eventuell im Einsatz befindliche Desktop-Firewalls Datenverkehr von TightGate™-Pro zum Klienten auf TCP-Port 4713 zulassen. Andernfalls können keine Audiosignale übertragen werden.

Achtung: Falls zwischen den Klienten und den TightGate™-Pro-Systemen eine Adressumsetzung (NAT) verwendet wird, kann die Klienten-IP-Adresse für die Audio-Verbindungen eventuell nicht korrekt ermittelt werden. Bitte wenden Sie sich in diesem Fall an die m-privacy GmbH.

Konfiguration der Dateischleuse für die Anmeldung mit Benutzername und Passwort Nach der Installation des MSI-Pakets für den Dateischleuse von TightGate™-Pro muss die IPv4-Adresse von TightGate™-Pro in der Konfigurationsdatei Schleuse.conf im Programmverzeichnis von TightGate™-Pro eingetragen werden.

Die Konfigurationsdatei Schleuse.conf befindet sich unter Microsoft Windows in

C:\Programme\TightGate-Pro\Schleuse.conf

Hinter dem Eintrag „IP-Adresse von TightGate™-Pro” kann die IPv4-Adresse der Appliance oder deren auflösbarer DNS-Name angegeben werden. Abschließend ist die Datei Schleuse.conf wieder an ihren bisherigen Ort zu speichern.

Hinweise:

• Zur Änderung dieser Datei sind Administratorrechte auf dem Zielsystem erforderlich.
• Im Fall großer Nutzergruppen kann ein angepasstes MSI-Paket von der m-privacy GmbH bezogen werden, das die umgebungsspezifischen Einstellungen bereits enthält.
• Bei Anmeldung mit Zertifikat (Single Sign-on) ist keine Konfigurationsdatei Schleuse.conf vorhanden.

Hinweis: Die Anmeldung erfolgt mit den gleichen Zugangsdaten wie sie für die Anmeldung an TightGate™-Pro verwendet werden. Es sind bei der Anmeldung nur Kleinbuchstaben erlaubt.

Achtung: Die Schleuse kann nur benutzt werden, wenn der Administrator maint die Berechtigung zur Schleusennutzung erteilt hat.

Konfiguration der Dateischleuse für das zertifikatsbasierte Single Sign-on Eine Konfiguration des Dateischleuse für das zertifikatsbasierte Single Sign-on von TightGate™-Pro ist nicht notwendig. Es ist jedoch vor der ersten Anmeldung erforderlich, dass die entsprechenden Zertifikate auf dem Arbeitsplatz-PC hinterlegt sind.

Hinweis: Die Nutzung der Dateischleuse mit Single Sign-on erfordert zwingend eine vorangehende, einmalige Single-Sign-on-Anmeldung über den Viewer an TightGate™-Pro. In allen folgenden Sitzungen kann die Schleuse wahlweise auch vor dem Viewer oder exklusiv gestartet werden. Bei Clustersystemen ist die Nutzung der Dateischleuse nach einer Wartezeit von ca. 10 Minuten nach der erstmaligen Single-Sign-on-Anmeldung über den Viewer an TightGate™-Pro möglich. Die Wartezeit entfällt bei allem folgenden Anmeldevorgängen, solange das verwendete Zertifikat dasselbe bleibt. Nach jedem Zertifikatewechsel ist eine erneute initiale Anmeldung (mit Wartezeit in Clustersystemen) erforderlich, bevor die Dateischleuse genutzt werden kann.

Im Vorfeld der Installation des VNC-Viewers unter Linux muss das zur geplanten Authentisierungsmethode passende Installationspaket aus dem Downloadbereich der m-privacy GmbH abgerufen werden.

Die von der m-privacy GmbH bereitgestellten Viewer-Programme sind installierbare Pakete und installieren nur den Viewer. Die für die Soundübertragung erforderlichen Programme sind distributionsspezifisch zusätzlich zu installieren. Benötigt werden alle Pakete für das Programm PulseAudio. Für die Benutzung der Dateischleuse für Linux empfiehlt die m-privacy GmbH, das Schleusenprogramm gftp zu installieren.

Hinweis: Vor dem Hintergrund der im Vergleich zu Windows-Umgebungen anspruchsvolleren Konfiguration unter LINUX empfiehlt es sich, für die weiteren Schritte den technischen Kundendienst der m-privacy GmbH in Anspruch zu nehmen.

Konfiguration des Viewers für die Anmeldung mit Benutzername und Passwort Zur Konfiguration des VNC-Viewers wird die Adresse (IPv4-Adresse oder Hostname) von TightGate™- Pro benötigt. Der Aufruf des VNC-Viewers erfolgt durch den Befehl:

tigervncviewer 000.000.000.000:13

Dabei ist 000.000.000.000 durch die IPv4-Adresse oder den auflösbaren Hostnamen von TightGate™-Pro zu ersetzen.

Anschließend wird noch die Audiofunktionalität zugeschaltet mit dem Befehl:

pulseaudio -L "module-native-protocol-tcp auth-anonymous=1"

Sie sollten nun am TightGate™-Pro angemeldet sein und Sound benutzen können.

Achtung: Firewalls und Paketfilter zwischen TightGate™-Pro und den Arbeitsplatzrechnern (Klientenrechner) müssen ebenso wie eventuell im Einsatz befindliche Desktop-Firewalls Datenverkehr auf TCP-Port 4713 zulassen. Andernfalls können keine Audiosignale übertragen werden.

Konfiguration des Viewers für das zertifikatsbasierte Single Sign-on Für den Aufruf von TightGate™-Pro über das zertifikatsbasierte Single Sign-on ist es notwendig, dass die von TightGate™-Pro erzeugten Zertifikate vor dem Aufruf in dem richtigen Verzeichnis des Benutzers hinterlegt werden. Sind alle Zertifikate hinterlegt, erfolgt der Aufruf durch den Befehl:

tigervncviewer -SecurityTypes "VeNCrypt,X509Cert" -x509cert ~/.vnc/x509_usercert.pem -x509key ~/.vnc/x509_key.pem -x509ca ~/.vnc/x509_ca.pem [Name des SSL-CN von TightGate-Pro]:10

Anschließend wird noch die Audiofunktionalität zugeschaltet mit dem Befehl:

pulseaudio -L "module-native-protocol-tcp auth-anonymous=1"

Sie sollten nun am TightGate™-Pro angemeldet sein und Sound benutzen können.

Achtung: Firewalls und Paketfilter zwischen TightGate™-Pro und den Arbeitsplatzrechnern (Klientenrechner) müssen ebenso wie eventuell im Einsatz befindliche Desktop-Firewalls Datenverkehr auf TCP-Port 4713 zulassen. Andernfalls können keine Audiosignale übertragen werden.

Konfiguration der Dateischleuse für die Anmeldung mit Benutzername und Passwort Unter LINUX eignet sich insbesondere das Programm gftp zum Datenaustausch zwischen TightGate™-Pro und einem Arbeitsplatzrechner.

Konfiguration von gftp:

• Angabe des Rechners: IPv4-Adresse oder auflösbarer Hostnamen von TightGate™-Pro
• Port: nicht erforderlich
• Nutzername: Benutzername auf TightGate™-Pro
• Passwort: Passwort auf TightGate™-Pro
• Protokoll: SSH2

Die Verbindung wird nach Klick auf das Verbindungs-Icon hergestellt.

Hinweis: Es können nur Dateien über das Transfer-Verzeichnis ausgetauscht werden.

Konfiguration der Dateischleuse für das zertifikatsbasierte Single Sign-on Die Unterstützung für Single Sign-on unter Linux ist derzeit mit dem SFTP-Klienten „Filezilla” möglich. Es kann lizenzkostenfrei bezogen werden. Nähere Informationen erteilt der technische Kundendienst der m-privacy GmbH.

Der TightGate™-Viewer für Mac OS X ist in einer regulären Version zur Anmeldung mit Zugangsdaten (Benutzername und Kennwort) und einer Version zur Anmeldung per Single Sign-on verfügbar. Letztere erfordert ein Zertifikat, das mit TightGate™-Pro erzeugt und auf dem Apple-Rechner installiert werden muss, der sich unter der jeweiligen Benutzerkennung mit TightGate™-Pro verbinden soll. Versionen des TightGate™-Viewers für den Mac für TightGate™-Pro (CC) Ver. 1.4 befinden sich derzeit in Vorbereitung.

Hinweis: Der TightGate™-Viewer für Mac OS X unterstützt die Betriebssysteme Mac OS X 10.6.x (Snow Leopard) sowie 10.7.x (Lion).

Nach dem Klick auf das Programm-Icon des Installationspaket erfolgt der Installationsprozess über einen Assistenten. Es entsteht ein neuer Ordner im Hauptverzeichnis “Programme”. Darin befindet sich die eigentliche Viewer-Applikation und die Programmkomponente zur Desinstallation. Letztere löscht eine installierte Viewer-Software rückstandsfrei vom jeweiligen Rechner, einschließlich eventuell eingespielter Zertifikate zum Single Sign-on.

Der Viewer selbst startet nach Klick auf das betreffende Programm-Icon und verhält sich je nach gewählter Anmeldeart unterschiedlich. Für die Anmeldung mit Zugangsdaten ist zunächst die IPv4-Adresse oder der Rechnername des zu kontaktierenden ReCoBS-Servers einschließlich Domäne in die angezeigte Dialogbox einzugeben. Die Verbindung zu TightGate™-Pro wird aufgebaut, die Anmeldung mit Benutzername und Kennwort ist möglich.

Achtung: Wird zur manuellen Anmeldung ein Rechnername eingegeben oder wird die Anmeldung per Single Sign-on genutzt, muss entweder ein betriebsbereiter und erreichbarer DNS-Server im jeweiligen Klientennetzwerk vorhanden sein oder ein Eintrag in die Datei /etc/hosts des jeweiligen Klienten erfolgen, damit der Name korrekt in die IPv4-Adresse des ReCoBS-Servers aufgelöst werden kann. Zur Bearbeitung der Datei /etc/hosts sind Root-Privilegien auf dem Klientenrechner erforderlich, die über den Befehl sudo erlangt werden können (nur für Benutzerkonten mit Administratorrechten). Nach jeder Bearbeitung der Datei /etc/hosts ist der DNS-Cache des Klienten manuell zu aktualisieren und die korrekte Auflösung im Terminalfenster zu überprüfen. Sind die geschilderten Voraussetzungen hinsichtlich der Namensauflösung nicht erfüllt, ist keine Verbindung zu TightGate™-Pro möglich. Nähere Informationen erteilt der technische Kundendienst der m-privacy GmbH.

Der Viewer zur Anmeldung mit Benutzername und Passwort bedarf keiner weitergehenden Konfiguration. Der auflösbare Name des ReCoBS-Server bzw. dessen IPv4-Adresse müssen zum Verbindungsaufbau eingegeben werden, dann erfolgt die Abfrage der Zugangsdaten. Hinsichtlich der Verfügbarkeit eines DNS-Servers sind die Hinweise im vorangehenden Abschnitt zu beachten.

Zur Nutzung des Single Sign-Ons (SSO) muss die dafür vorgesehene Version des TightGate™-Viewers für den Apple Macintosh analog obiger Beschreibung installiert werden. Zusätzlich ist ein Zertifikat zur jeweiligen Nutzerkennung zu generieren. Die notwendigen Schritte sind im Administrationshandbuch beschrieben. Das Zertifikat selbst lässt sich auf der Konsole des Klientenrechners im Programm “Terminal” installieren.

Falls der SSO-Klient für den Mac noch nicht aufgerufen wurde, muss zunächst ein Verzeichnis namens “.vnc” im Benutzerordner erzeugt werden. Dann können die Zertifikate dort abgelegt werden. Wir nehmen der Einfachheit halber an, sie befänden sich zunächst auf dem Desktop im Verzeichnis “Zertifikat”. Die Befehlsfolge ist in diesem Fall:

mac: ~ User$ mkdir .vnc <RETURN>

mac: ~ User$ cp Desktop/Zertifikat/*.* .vnc <RETURN>

Mit einem Klick auf das Viewer-Icon öffnet sich der TightGate™-Klient und meldet den jeweiligen Benutzer ohne weitere Rückfrage an TightGate™-Pro an.

Auch die Dateischleuse kann komfortabel unter Mac OS X genutzt werden. Hierzu ist ein beliebiges FTP-Programm notwendig, welches das SFTP-Protokoll unterstützt. Die nachfolgenden Hinweise gelten für den FTP-Klienten “Cyberduck”.

Nach dem Download ist das Programm unmittelbar lauffähig. Es muss nicht im eigentlichen Sinne “installiert” werden, sollte jedoch im “Programme”-Ordner abgelegt sein. Nach dem Start wählt man “Neue Verbindung” und ganz zuoberst im Dialogfenster zunächst “SFTP (SSH Verbindung)”. Je nach gewählter Verbindungsart kann die Anmeldung nun mit Benutzername und Kennwort erfolgen oder nach Hinterlegung des entsprechenden Zertifikats mittels Single Sign-on.

Zur Anmeldung mittels Single Sign-on ist zunächst die Datei “transfer” aus dem Dateipaket, das beim Anlegen der Benutzerzertifikate von TightGate™-Pro generiert wird, zu extrahieren. Diese kann an einem beliebigen Ort hinterlegt sein, beispielsweise im Benutzerverzeichnis des jeweiligen Anwenders. In “Cyberduck” muss im Verbindungsdialog ganz unten das Kontrollkästchen “Public Key Authentifizierung verwenden” aktiviert werden. Es öffnet sich ein Dateibrowser und bietet die Möglichkeit, die soeben abgelegte Datei “transfer” zu referenzieren. Damit die Anmeldung per Single Sign-on korrekt arbeitet, muss der betreffende Benutzername noch in das dafür vorgesehene Feld eingetragen werden.

Ein Klick auf “Verbinden” baut die Verbindung zum Transferverzeichnis auf TightGate™-Pro auf. Zugleich wird die Verbindung in den “Verlauf” de SFTP-Klienten eingetragen.