TightGate-Pro

Dediziertes Remote-Controlled Browser System
zum Schutz vor Gefahren aus dem Internet

Automatisch generierter Auszug aus dem Administrationshandbuch

Datum: 11.04.2019

Herausgeber:

m-privacy GmbH

Technische Redaktion

Werner-Voß-Damm 62

12101 Berlin

Fon: +49 30 243423-34

support@m-privacy.de

www.help.m-privacy.de

Allgemeine Hinweise zu diesem Handbuch

Alle Materialien und Ausführungen wurden mit Sorgfalt erarbeitet und zusammengestellt. Den­noch sind Fehler nicht auszuschließen. Die m-privacy GmbH übernimmt keine Haftung für Schäden, die aus Unrichtigkeit einzelner Angaben entstehen.

Im Sinne einer raschen Orientierung und zur Vermeidung von Sicherheitsrisiken werden besonders wichtige Aspekte durch wiederkehrende Stichworte gekennzeichnet. Diese sind:

Hinweis
Unter diesem Stichwort werden nützliche Details zur rationellen Verwendung von TightGate-Pro er­läutert.

Achtung
Unter diesem Stichwort erfolgen Hinweise zur Problemvermeidung bzw. zur Vorbeugung von Betriebs­störungen bei TightGate-Pro.

Warnung
Unter diesem Stichwort erfolgen Hinweise auf mögliche Fehler bei der Konfiguration und Verwendung von TightGate-Pro, die weitreichende Sicherheitsrisiken bergen oder zu schwerwiegenden Betriebs­störungen führen können.

Inhaltsverzeichnis

TightGate-Viewer für Microsoft Windows

Allgemeines

Die über den Support-Bereich der m-privacy GmbH bereitgestellten Installationsdateien sind ausführbare MSI-Pakete und enthalten bereits alle benötigten Komponenten zur Audioübertragung und für das Drucken. Mit Ihnen wird auf dem Desktop des Arbeitsplatz-PCs ein neues Icon angelegt, welches die Bezeichnung "Internet" trägt. Um per Doppelklick den TightGate-Viewer erfolgreich zu öffnen, müssen zuerst ein paar Konfigurationsschritte durchgeführt werden. Diese werden unter Umsetzung erläutert.

Hintergrundwissen

Es gibt zwei Arten von Konfigurationsdateien: eine systemweite und eine benutzerspezifische. Die systemweite Konfigurationsdatei befindet sich unter:

%PROGRAMFILES%\TightGate-Pro\tgpro.cfg

Die benutzerspezifische Konfigurationsdatei ist im jeweiligen Benutzerkonto des Klientenrechners zu finden unter :

%APPDATA%\vnc\tgpro.vnc

Wird der TightGate-Viewer ohne spezielle Parameter gestartet, dann liest dieser seine Konfiguration aus der benutzerspezifischen Konfigurationsdatei. Ist eine solche noch nicht vorhanden, dann liest der TightGate-Viewer die systemweite Konfigurationsdatei aus und legt bei Beendigung der Sitzung eine benutzerspezifische Konfigurationsdatei an. In dieser werden alle Änderungen gespeichert, die der User während einer Sitzung selbst vornimmt.

Zur Änderung der systemweiten Konfigurationsdatei tgpro.cfg sind Administratorrechte auf dem Zielsystem erforderlich. Nach dem ersten Start des TightGate-Viewers wird für den jeweiligen Benutzer eine spezifische Konfigurationsdatei tgpro.vnc angelegt und fortan ausschließlich genutzt. Eventuelle spätere Änderungen an der systemweiten tgpro.cfg werden ignoriert, solange eine benutzerspezifische existiert. Änderungen müssen folglich entweder an der benutzerspezifischen Datei erfolgen oder alternativ kann die systemweite Datei angepasst werden, jedoch muss dann die benutzerspezifische Datei gelöscht werden. Sie wird dann beim nächsten Programmstart automatisch aus der systemweiten Datei erzeugt.

Umsetzung

Das wird benötigt:

→ TightGate-Viewer aus dem Download Center der m-privacy GmbH herunterladen.

Hinweis: Bitte achten sie darauf, dass sie das für Ihre Authentisierungsmethode passende Paket herunterladen (Passwort-Anmeldung oder SSO).

So geht's:

Das MSI-Paket des TightGate-Viewers ausführen.

Bei Anmeldung mit Passwort:

Die Datei %PROGRAMFILES%\TightGate-Pro\tgpro.cfg öffnen und den Parameter ServerName anpassen. Dort ist der auflösbare DNS-Name von TightGate-Pro einzutragen.

Weiterhin ist sicherzustellen, dass das # vor dem Parameter SecurityTypes=X509Plain entfernt ist. Die beiden Parameter SecurityTypes=X509Krb und SecurityTypes=X509Cert sind jeweils mit einem # auszukommentieren. Danach die Einstellungen speichern.

Bei Doppelklick auf dem Desktop-Icon Internet erscheint ein Anmeldefenster in dem Benutzername und Passwort einzugeben sind.

Die Datei %APPDATA%\vnc\tgpro.vnc wird beim Schließen des TightGate-Viewers automatisch angelegt und fortan für die Anmeldung verwendet.

Bei SSO Anmeldung mit Zertifikaten:

Am TightGate-Pro sind durch maint SSL-Zertifikate für die Benutzer anzulegen und zu exportieren, wie unter Benutzerverwaltung per Benutzerzertifikaten beschrieben.

Sofern unter %APPDATA% noch kein Ordner vnc existiert ist dieser anzulegen.

Mittels WinSCP (wird bei Installation der Schleuse automatisch mit installiert) ist der User transfer an TightGate-Pro anzumelden.

Der gesamte Inhalt des Ordners /home/user/.transfer/config/certs/<Benutzername> ist in den lokalen Ordner %APPDATA%\vnc zu kopieren.

Bei Doppelklick auf das Desktop-Icon Internet auf dem Arbeitsplatz, wird der Benutzer unter Verwendung des Zertifikats angemeldet.

%APPDATA%\vnc\tgpro.vnc wird beim Schließen des TightGate-Viewers automatisch angelegt und fortan für die Anmeldung verwendet.

Bei Anmeldung mittels Active Directory:

Die Datei %PROGRAMFILES%\TightGate-Pro\tgpro.cfg öffnen und folgende Parameter anpassen:

Im Parameter ServerName ist der auflösbare DNS-Name von TightGate-Pro einzutragen.

Im Parameter krbhostname ist der auflösbare DNS-Name von TightGate-Pro eintragen.

Die Datei %PROGRAMFILES%\TightGate-Pro\tgpro.cfg öffnen und sicherzustellen, dass das # vor dem Parameter SecurityTypes=X509Krb entfernt ist. Die beiden Parameter SecurityTypes=X509Plain und SecurityTypes=X509Cert sind jeweils mit einem # auszukommentieren. Danach die Einstellungen speichern.

Bei Doppelklick auf das Desktop-Icon Internet auf dem Arbeitsplatz, wird der Benutzer angemeldet.

%APPDATA%\vnc\tgpro.vnc wird beim Schließen des TightGate-Viewers automatisch angelegt und fortan für die Anmeldung verwendet.

Nutzung der automatischen Dateischleuse

Im TightGate-Viewer ab Version 4.0.x ist die automatisierte Dateischleuse klientenseitig ausgeschaltet. Sofern diese Funktion verwendet werden soll, ist diese im TightGate-Viewer oder in der Klientenkonfiguration tgpro.cfg bzw. tgpro.vnc zu aktivieren.

Allgemeine Funktion Alternativ oder ergänzend zur manuellen Dateischleuse ist eine automatische Dateischleuse in TightGate-Pro integriert. Damit lassen sich Downloads automatisch auf den Arbeitsplatzrechner transferieren. Bei der automatische Dateischleuse hat jeder Benutzer innerhalb des Ordners transfer auf TightGate-Pro einen Unterordner Namens autotransfer. Alle Dateien, die dort abgelegt werden, durchlaufen wie gewohnt den Malware- und MIME-Typen-Filter. Bleibt die Prüfung ohne Beanstandung, erfolgt die automatische Übertragung auf den Arbeitsplatzrechner. Ohne weitere Konfiguration wird die Datei im lokalen Ordner autotransfer abgelegt, der sich als Unterordner im Windows-Standardordner Downloads befindet. Das lokale Zielverzeichnis der automatischen Dateischleuse kann aber konfiguriert werden. Der manuelle Abruf über die TightGate-Schleuse bleibt wahlweise möglich, jedoch nicht für Dateien im autotransfer-Ordner, sondern lediglich im Überordner transfer.

Wird das Zusatzprodukt OPSWAT für die Dateischleuse verwendet, so ist die automatische Dateischleuse deaktiviert.

Das wird benötigt:

→ Global aktivierte Dateischleuse

So geht's:

Anmeldung als Administrator config.

Auswahl des Menüpunkts System-Vorgaben > Datei-Transfer und diesen auf Ja setzen.

Auswahl des Menüpunkts System-Vorgaben > Auto-Download erlauben und diesen auf Ja setzen.

Nach der Aktivierung der automatischen Dateischleuse erscheint ein neuer Menüpunkt mit der Bezeichnung Auto-Download-Klienten-Ordner. Hier kann ein Zielordner festgelegt werden, in den die automatische Dateischleuse die Downloads von TightGate-Pro auf dem Klientenrechner ablegt. Für den Zielpfad können auch Windows-Umgebungsvariablen wie z. B. %USERPROFILE%\Desktop\ oder Serverpfade wie z. B. \\Server\.. verwendet werden. Auch Serverpfade können mit Windows-Umgebungsvariablen kombiniert werden.
Hinweis: Alle Pfade, in denen im Pfad "Start Menu" vorkommt werden nicht akzeptiert.

Über die Menüpunkte Speichern und Anwenden die Einstellungen übernehmen.

Anmeldung als Administrator maint.

Auswahl des Menüpunkts Benutzerverwaltung > Auto-Download. Hier kann für Kennungen die automatische Dateischleuse aktiviert werden. Wählen Sie die entsprechenden Kennungen heraus und setzen Sie den Wert auf Ja. Damit ist die Einstellung mit dem nächsten Start des TightGate-Viewers wirksam.

Zum Funktionstest melden Sie sich bitte mit dem TightGate-Viewer und der auf Auto-Download umgestellten Kennung an. Im transfer-Ordner sollte es einen neuen Unterordner mit dem Namen autotransfer geben. Kopieren Sie zum Test eine Datei in das Verzeichnis autotransfer. Die Datei sollte nach kurzer Zeit aus dem autotransfer-Verzeichnis verschwinden und anschließend im Zielverzeichnis erscheinen. Das Zielverzeichnis wird mit dem ersten Download automatisch angelegt, so es noch nicht existiert.

Bei der Benutzerverwaltung via Active-Directory erfolgt die benutzerspezifische Zuordnung zur automatischen Dateischleuse über die Mitgliedschaft in der Sicherheitsgruppe TGtransferAuto. Details zu den Sicherheitsgruppe für TightGate-Pro finden Sie hier.

Pfad für den Autotransfer-Zielordner unter Windows anpassen

Sofern Sie den global als config vergebene Auto-Download-Klienten-Ordner nicht verwenden wollen oder diesen für einzelne Benutzer lokal abändern wollen, so können sie diese durch das Hinzufügen des Parameters AutotransferFolder in die Datei tgpro.vnc vornehmen.

Bitte gehen Sie folgendermaßen vor:

Beenden Sie zuerst den TightGate-Viewer.

Öffnen Sie die Datei %APPDATA%\vnc\tgpro.vnc mit einem Editor Ihrer Wahl.

Fügen Sie in die Datei den Parameter AutotransferFolder hinzu und ergänzen diesen um den Pfad, in den der Auto-Download die Downloads von TightGate-Pro ablegen soll.
Bitte beachten Sie dass alle Pfade mit einem Backslash maskiert sein müssen. Das nachfolgende Beispiel verdeutlicht das Vorgehen:
Bsp: Lokaler Pfad, wohin die Downloads gespeichert werden soll: %USERPROFILE%\Desktop\Test (Dieser Pfad legt einen Ordner Test auf dem Desktop des Benutzers an und speichert darin die Downloads.)
Der anzulegende Parameter in der tgpro.vnc würde folgendermaßen lauten:
AutotransferFolder=%USERPROFILE%\\Desktop\\Test
Sofern Sie Serverpfade verwenden, müssen diese ebenfalls für jeden Backslash mit einem weiteren Backslash maskiert werden (z.B. \\test\… würde in der tgpro.vnc zu \\\\test\\… ).
Hinweis: Alle Pfade, in denen der Wert "Start Menu" vorkommt werden nicht akzeptiert.

Speichern Sie die Einstellungen und starten Sie den TightGate-Viewer neu.

Legen Sie eine (kleine) Datei in den autotransfer-Ordner in TightGate-Pro.

Der Download sollte nun in den von Ihnen konfigurierten Pfad erscheinen.

Sollte dies nicht der Fall sein, prüfen Sie bitte, ob der Eintrag für den AutotransferFolder noch in der tgpro.vnc vorhanden ist. Ist dies nicht der Fall, gibt es wahrscheinlich einen Syntaxfehler im Eintrag. Bitte schließen Sie den TightGate-Viewer und wiederholen Sie den Eintrag für den AutotransferFolder in der Datei tgpro.vnc. Verbinden Sie sich erneut. Sollte es wiederholt nicht nicht funktionieren,wenden Sie sich bitte an den technischen Support der m-privacy GmbH.

Aktivieren der automatischen Dateischleuse im TightGate-Viewer (ab Version 4.0.x)

Die automatische Dateischleuse ist im TightGate-Viewer ab der Version 4.0.x klientenseitig deaktiviert. Somit reicht es nicht mehr aus die automatische Dateischleuse nur serverseitig zu aktivieren, sondern es muss auch explizit auf Klientenseite die automatische Dateischleuse aktiviert werden.

Globale Vorgabe
Die klientenseitige Aktivierung der automatischen Dateischleuse kann über die zentrale Konfigurationsdatei unter %PROGRAMMFILES%\TightGate-Pro\tgpro.cfg vorgenommen werden. Hier ist der Wert AutotransferSupport=1 hinzuzufügen. Danach ist sicherzustellen, dass bei bereits bestehenden Nutzern die Datei %appdata%\vnc\tgpro.vnc gelöscht wird. Dieses Vorgehen funktioniert nur bei Benutzern, welche sich per Active Directory, LDAP oder mit Benutzername+Passwort anmelden. Für zertifikatsbasierte Anmeldungen erfolgt die Aktivierung wie folgt:

Individuelle Vorgabe
Die klientenseitige Aktivierung der automatischen Dateischleuse kann auch einzeln für Nutzer aktiviert werden. Dies kann durch den Benutzer selber erfolgen, indem im laufenden TightGate-Viewer über das Funktionsmenü F8 unter dem Menüpunkt Einstellungen > Sicherheit ein Haken bei dem Wert Auto-Transfer zulassen gesetzt wird. Sobald der TightGate-Viewer geschlossen wird, wird diese Einstellungen in der Datei gespeichert. Alternativ kann auch bei geschlossenem TightGate-Viewer in der Datei %appdata%\vnc\tgpro.vnc der Wert AutotransferSupport=1 manuell hinzugefügt werden. Beim nächsten Start des TightGate-Viewer ist der Wert dann aktiv.

Lokales Mikrofon und Webcam verwenden

Allgemeine Funktion

TightGate-Pro bietet als Schutzsystem einen hervorragenden Schutz gegenüber Angriffen auf das interne Netzwerk. Dazu zählt neben den Schutz vor unberechtigten Zugriff auf Dateien auch der unberechtigte Zugriff auf lokale Geräte. Vermehrt werden aber lokale Geräte benötigt, um den vollen Funktionsumfang im Internet nutzen zu können. Dies ist der Fall bei Webkonferenzen. Hier können sich Personen über das Internet zusammenfinden und sich Dateien oder Präsentationen vorführen, miteinander Sprechen oder sich per Videoübertragung gegenseitig sehen.

Um an solchen Webkonferenzen teilzunehmen wird meist nur ein Browser benötigt, schon kann man die Präsentationen und dem Gespräch folgen. Möchte man selbst aktiv gesehen und gehört werden, so muss ein Mikrofon und eine Webcam bereitstehen. Diese sind aber an den lokalen Arbeitsplatz gekoppelt und waren daher in TightGate-Pro bisher nicht verfügbar.

Mit der aktuellen Version von TightGate-Pro hat die m-privacy GmbH nun eine Möglichkeit geschaffen diese lokalen Geräte wie Mikrofon und Webcam für TightGate-Pro sicher verfügbar zu machen, um so sicher an Webkonferenzen teilnehmen zu können.

Das wird benötigt:

→ Aktueller TightGate-Viewer
→ Global aktivierte Option zur Nutzung der Webcam auf TightGate-Pro
→ lokales Mikrofon
→ lokale Webcam

So geht's:

Das Anschalten von Webcam oder Mikrofon bei geöffnetem Browser kann zu Abstürzen des Browsers bis hin zum komplett hängenden TightGate-Viewern führen. Bitte schließen Sie daher immer vor dem Anschalten des lokalem Mikrofons und der lokalen Webcam alle Browser im TightGate-Pro.

Anmeldung als Administrator config.

Auswahl des Menüpunkts System-Vorgaben > Webcam-Unterstützung. Globale Aktivierung der Webcam-Unterstützung durch Auswahl Ja.

Über die Menüpunkte Speichern und Anwenden, die Einstellungen übernehmen.

Anschließend neu mit dem TightGate-Viewer anmelden. Sobald die Anmeldung durchgeführt wurde, bitte alle Browser schließen. Danach im TightGate-Viewer mit der Funktionstaste F8 das Einstellungsmenü öffnen. In dem Menü gibt es ganz oben einen Menüpunkt, welcher den aktuellen Status der Nutzung der lokalen Geräte anzeigt und über den ein Untermenü zum An- und Abschalten der lokalen Ressourcen geöffnet werden kann.

Bitte klicken Sie auf dem Menüpunkt Webcam und Mikrofon. Es öffnet sich ein Menü, über welches Sie die lokalen Webcam + Mikrofon hinzufügen können. Für die lokalen Webcams gibt es ein Auswahlmenü, in dem Ihnen alle lokal verfügbaren Webcams angezeigt werden. Sie können zu der Webcam auch die Auflösung einstellen. Beim Mikrofon gibt es nur die Möglichkeit das unter Windows definierte Standard-Mikrofon zu nutzen. Haben Sie Ihre Auswahl getroffen, können Sie diese mit Anwenden oder OK anwenden. Die Menüpunkt Anwenden und OK sind funktional identisch, bei Anwenden bleibt das Menü jedoch geöffnet, sodass weitere Einstellungen vernommenen werden können, bei OK wird das Menü geschlossen.

Danach kann der Browser (Firefox oder Chrome) gestartet werden, um an der Webkonferenz teilzunehmen. Nach Abschluss der Webkonferenz schließen Sie bitte den Browser und deaktivieren Sie wieder das Mikrofon und die Webcam über das Funktionsmenü F8.

Bei jedem Start des TightGate-Viewers sind die lokalen Geräten immer deaktiviert. D.h. selbst wenn Sie vergessen sollten nach einer Webkonferenz das lokale Mikrofon oder die lokale Webcam zu trennen, so sind diese spätestens nach den Neustart des TightGate-Viewers wieder deaktiviert.

Sie können nun wie oben beschrieben das lokale Mikrofon und die lokale Webcam zu TightGate-Pro zuschalten und an Webkonferenzen teilnehmen.

Wenn Sie die lokalen Geräte nicht mehr benötigen, so schalten Sie diese einfach wieder über das Einstellungsmenü (Funktionstaste F8) ab.

Über das Einstellungsmenü können Sie auch jederzeit der Status der lokalen Geräte prüfen. Hinter dem Menüpunkt Webcam und Mikrofon wird in Klammern der aktuelle Staus angezeigt. Beim starten stehen die Werte auf (aus/aus), was bedeutet, dass Webcam und Mikrofon nicht mit TightGate-Pro verbunden sind. Wird nun die Webcam mit TightGate-Pro verbunden, so wird dies im Funktionsmenü über den Wert (an/aus) signalisiert. Wird auch das Mikrofon noch hinzugeschaltet, zeigt der Wert (an/an). Werden die Geräte wieder getrennt, so springt die Signalisierung wieder auf (aus/aus).

Weiterführende Hinweise:

→ Übersicht von TightGate-Pro unterstützter Webkonferenz-Systeme.
→ Testanleitung zur Nutzung vom lokalem Mikrofon und Webcam mit TightGate-Pro

Hinweise für Terminalserver-Anlagen (z. B. CITRIX)

Die Nutzung von TightGate-Pro über Terminalserver-Anlagen ist möglich. Grundsätzlich erfolgt die Installation des TightGate-Viewers analog zur Vorgehensweise bei dedizierten Arbeitsplatzstationen. Es besteht jedoch eine Besonderheit im Hinblick auf die notwendigen Portfreigaben für die Audioübertragung.

Audioübertragung:

Um den Ton bei Terminalserver-Anlagen an den richtigen Klientenrechner übertragen zu können, ist es erforderlich statt dem Standardaudioport einen Wertebereich einzustellen. Hierfür ist mit der Administrationsrolle config unter System-Vorgaben > Pulseaudio Extra-Ports ein Wertebereich einzustellen. Für RSBAC-Zertifikats-Anmeldung sind im Anschluss mit der Administrationsrolle maint die Nutzerzertifikate neu zu erstellen und zu verteilen. Für Benutzerauthentifizierungen per Active Directory ist eine manuelle Anpassung der tgpro.vnc Datei (zu finden in %APPDATA%\vnc) vorzunehmen. In diesem Fall müssen die Zeilen PAPortMin=<Startwert> und PAPortMax=<Endwert> ergänzt bzw. angepasst werden. Außerdem sind im Programmverzeichnis in der Datei tgpro.cfg die gleichen Werte zu ergänzen. Diese Datei gilt für User, die bisher noch keine lokale Kopie/Sicherung im %APPDATA%\vnc haben.

Bei jeder Anmeldung des Benutzers wird nun automatisch ein freier Port gesucht und für die Dauer der Sitzung reserviert. Somit werden Kollisionen mit anderen Klientenrechnern verhindert.

Hinweise zum Vollbildmodus / Umschaltung zwischen Applikationen

Mit der Tastenkombination ALT+Tab kann zwischen laufenden Applikationen umgeschaltet werden. Sofern der TightGate-Viewer im Fenster-Modus betrieben wird, wirkt sich ALT+Tab nur auf die Umgebung außerhalb des TightGate-Viewers aus. Im Vollbild-Modus wird hingegen zwischen laufenden Applikationen innerhalb des TightGate-Viewers gewechselt.

Dieses Verhalten kann dahingehend geändert werden, dass auch im Vollbild-Modus ALT+Tab nicht an TightGate-Pro weitergegeben wird. Die Tastenkombination wirkt sich dann in jedem Fall ausschließlich auf die Umgebung außerhalb des TightGate-Viewers aus. Um dieses Verhalten zu konfigurieren, kann in der Konfigurationsdatei des TightGate-Viewers der Parameter FullScreenSystemKeys=0 gesetzt werden.

Alternativ kann im Fenstermenü des TightGate-Viewers (Aufruf mit F8) unter Einstellungen > Eingabemethoden > Systemtasten direkt zum Server senden der Haken entfernt werden.

Aufruf des TightGate-Viewers ohne Verwendung von tgpro.conf und tgpro.vnc

Soll z. B. für Testzwecke einmalig eine abweichende Konfiguration verwendet werden, ohne diese zu speichern oder vorherige Werte zu übernehmen, kann der TightGate-Viewer per Konsole mit der Option -noconfig und beliebig vielen weiteren Optionen aufgerufen werden. Der Aufruf von der Konsole würde folgendermaßen aussehen:

%PROGRAMFILES%\TightGate-Pro\vncviewer.exe -noconfig

Führt man diesen Beispielaufruf aus, werden die IP des Servers und die Zugangsdaten des Benutzers in folgenden Dialogen abgefragt.

Aufruf des TightGate-Viewers mit Logging

Soll für Analysezwecke die Funktionalität des TightGate-Viewers geloggt werden, so ist dieser mit dem zusätzlichen Parameter (-log) aufzurufen. Es wird empfohlen beim Logging den TightGate-Viewer über die Konsole zu starten, damit nicht dauerhaft Log-Dateien erzeugt werden. Der Aufruf von der Konsole würde bei der Benutzerauthentifizierung via Benutzerzertifikat oder Active-Directory folgendermaßen aussehen:

%PROGRAMFILES%\TightGate-Pro\vncviewer.exe -log *:file:100

Wir der TightGate-Viewer so aufgerufen, wird im Verzeichnis unter %temp%\tgprotemp eine Log-Datei mit dem Namen vncviewer.log erstellt. Die Datei vncviewer.log ist eine Textdatei und kann mit beliebigen Texteditoren gelesen werden.

Aufruf des TightGate-Viewers mit Debugging

Soll für Analysezwecke die genaue Paketfolge des TightGate-Viewers geloggt werden, um Verbindungsabbrüche zu analysieren, so ist der TightGate-Viewer über den Sonderport 5901 und dem zusätzlichen Parameter (-log) aufzurufen. Es wird empfohlen beim Debugging/Logging den TightGate-Viewer über die Konsole zu starten, damit nicht dauerhaft Log-Dateien erzeugt werden. Es wird empfohlen das Debugging nur in Absprache mit dem technischen Kundendienst der m-privacy GmbH zu verwenden.

Der Aufruf des TightGate-Viewers mit der Debugging-Option erfordert, dass der TightGate-Viewer sich über den Port 5901 mit TightGate-Pro verbinden darf. Im Normalbetrieb ist nur die Verbindung über den Port 5900 vorgesehen. Daher sind vor der Nutzung die entsprechenden Netzwerkregeln anzupassen.

Der Aufruf von der Konsole erfolgt folgendermaßen:

%PROGRAMFILES%\TightGate-Pro\vncviewer.exe -log *:file:100 [IP-Adresse]:5901

Wird der TightGate-Viewer so aufgerufen, erstellt er im Verzeichnis unter %temp%\tgprotemp eine Log-Datei mit dem Namen vncviewer.log. Die Datei vncviewer.log ist eine Textdatei und kann mit beliebigen Texteditoren gelesen werden.

Die Datei ist zu Analysezwecken an den technischen Kundendienst der m-privacy GmbH zu senden.

Mit mehreren Benutzern auf einem Rechner arbeiten

Es ist möglich mehrere Verknüpfungen des TightGate-Viewers auf dem Desktop anzulegen und diese mit unterschiedlichen Konfigurationen zu belegen. Hierfür ist per Rechtsklick auf dem Desktop-Icon das Menü Einstellungen und der Reiter Verknüpfung auszuwählen. Unter Ziel ist nun nach der Angabe des Programmpfades mit -configdir=<Pfad> der Pfad zu dem Ordner mit der zu nutzenden Konfigurationsdatei anzugeben. In diesem Ordner müssen für das Anmeldeverfahren SSO auch alle Nutzerzertifikate abgelegt werden.

Bei der Angabe des Pfades ist jeder Backslash mit einem weiteren zu maskieren (Bsp.: C:\\Users\\benutzername\\…). Würde man statt der Angabe eines abweichenden configdir beliebige andere Optionen angeben, würden diese in die tgpro.vnc Datei im Standardverzeichnis (%APPDATA%\vnc) übernommen werden. Bei mehreren Verknüpfungen des Tightgate-Viewers würden diese also gegenseitig ihre Konfigurationen überschreiben und sich nur in den in der Verknüpfung angegebenen Werten unterscheiden. Sofern es also gewünscht ist auch alle anderen Optionen, die nicht manuell angegeben wurden, wie z. B. die Größe des Fensters, zu übernehmen, sind zwingend mehrere tgpro.vnc Dateien erforderlich.

Appendix zu Konfigurationsoptionen

In der Regel besteht keine Notwendigkeit die tgpro.vnc Datei im Verzeichnis %APPDATA%\vnc oder die Vorlage unter %PROGRAMFILES%\TightGate-Pro\tgpro.cfg nach Eintragung der Verbindungsoptionen manuell zu bearbeiten. Die nachfolgende Liste gibt eine Übersicht über verschiedene Optionen und Parameter.

Auswahl von Aufrufparametern beim Programmaufruf

Parameter	Beschreibung
ConfigDir	Gibt das Verzeichnis an, in dem die zu verwendende Konfigurationsdatei tgpro.vnc sowie die Zertifikate für die Benutzeranmeldung liegen.
noConfig	Es wird weder die tgpro.vnc noch tgpro.cfg verwendet und die Einstellungen werden auch nicht beim Schließen gespeichert.
rwConfig	Soll das Standardverzeichnis (%APPDATA%\vnc) weiterhin genutzt werden und nur ein anderer Pfad für den Aufruf der tgpro.vnc Datei verwendet werden, kann dieser hiermit angegeben werden.

Bei Pfadangaben muss jeder Backslash mit einem weiteren "\" maskiert werden!

Parameter für tgpro.cfg bzw. tgpro.vnc

Optionen	Beschreibung
ServerName	Auflösbarer FQDN von TightGate-Pro.
krbhostname	Auflösbarer FQDN von TightGate-Pro bei der Benutzeranmeldung per Active Directory.
SecurityTypes	Hiermit wird angegeben, welches Verfahren für die Anmeldung verwendet werden soll. Es ist nur ein Verfahren zu aktivieren. Folgende Verfahren gibt es: X509krb = Anmeldung mit Active Directory Ticket X509Plain = Anmeldung mit Benutzername und Passwort X509Cert = Anmeldung mit Zertifikaten, die auf TightGate-Pro erstellt wurden.
PAPortMin	Beginn des Wertebereichs für Pulseaudio Ports (anzugeben bei Terminal Clients).
PAPortMax	Ende des Wertebereichs für Pulseaudio Ports (anzugeben bei Terminal Clients).
Maximize (1=aktiv)	Der TightGate-Viewer öffnet sich immer in maximaler Größe.
PrintSupport (1=aktiv)	Aktiviert oder deaktiviert die Druckunterstützung von TightGate-Pro auf lokale Arbeitsplatzdrucker.
AdobePrintDialog (1=aktiv)	Öffnet bei Druckaufträgen vom TightGate-Pro am lokalen Arbeitsplatz den Adobe-Druckdialog, sofern der Acrobat Reader dort installiert ist. Voraussetzung ist ebenfalls, dass die Druckunterstützung (PrintSupport=1) aktiviert ist.
QuickPrint (1=aktiv)	Druckaufträge werden ohne Dialog direkt an den Standarddrucker weitergegeben.
SoundSupport (1=aktiv)	Der Ton kann damit aktiviert oder deaktiviert werden. (Wurde der Ton seitens maint oder global als config deaktiviert, ist diese Einstellung wirkungslos.)
AutotransferFolder	Legt den Pfad fest, wohin bei aktivierter automatisierter Dateischleuse Downloads von TightGate-Pro im lokalen Klienten geschrieben werden.
AutotransferSupport (1=aktiv)	Aktiviert, bzw. deaktiviert die automatische Dateischleuse am Klienten. Eine clientseitig deaktivierte automatische Dateischleuse kann serverseitig nicht überschrieben werden.
AcceptClippboard (1=aktiv)	Aktiviert, bzw. deaktiviert die Einzelfallbestätigung der Zwischenablage von TightGate-Pro zum Windows-Klienten.
SendClipboard (1=aktiv)	Aktiviert, bzw. deaktiviert die Einzelfallbestätigung der Zwischenablage vom Windows-Klienten zu TightGate-Pro.
EnforceClipboard (1=aktiv)	Wird diese Einstellung aktiviert, so kann ein Benutzer über das F8-Menü keine Änderungen an den Vorgaben für die Zwischenablage vornehmen.
Menukey (Default=F8)	Viele Einstellungen lassen sich nach Aufruf des TightGate-Viewers über ein Funktionsmenü (im Standard F8) vornehmen, ohne die Konfigurationsdateien manuell anzupassen. Hiermit kann die Funktionstaste definiert werden, mit dem der Menüaufruf erfolgt.

Eine vollständige Liste der verfügbaren Programmparameter für den TightGate-Viewer erhalten Sie, wenn in der Eingabeaufforderung unter Windows im Programmpfad %PROGRAMFILES%\TightGate-Pro folgendes Programm starten:

vncviewer.exe --help