TightGate-Pro

Dediziertes Remote-Controlled Browser System
zum Schutz vor Gefahren aus dem Internet

Automatisch generierter Auszug aus dem Administrationshandbuch

Datum: 11.04.2019

Herausgeber:

m-privacy GmbH

Technische Redaktion

Werner-Voß-Damm 62

12101 Berlin

Fon: +49 30 243423-34

support@m-privacy.de

www.help.m-privacy.de

Allgemeine Hinweise zu diesem Handbuch

Alle Materialien und Ausführungen wurden mit Sorgfalt erarbeitet und zusammengestellt. Den­noch sind Fehler nicht auszuschließen. Die m-privacy GmbH übernimmt keine Haftung für Schäden, die aus Unrichtigkeit einzelner Angaben entstehen.

Im Sinne einer raschen Orientierung und zur Vermeidung von Sicherheitsrisiken werden besonders wichtige Aspekte durch wiederkehrende Stichworte gekennzeichnet. Diese sind:

Hinweis
Unter diesem Stichwort werden nützliche Details zur rationellen Verwendung von TightGate-Pro er­läutert.

Achtung
Unter diesem Stichwort erfolgen Hinweise zur Problemvermeidung bzw. zur Vorbeugung von Betriebs­störungen bei TightGate-Pro.

Warnung
Unter diesem Stichwort erfolgen Hinweise auf mögliche Fehler bei der Konfiguration und Verwendung von TightGate-Pro, die weitreichende Sicherheitsrisiken bergen oder zu schwerwiegenden Betriebs­störungen führen können.

Inhaltsverzeichnis

Netzwerk

Die Konfiguration der Netzwerk-Schnittstellen sowie der erreichbaren Server erfolgt in diesem Menü. Nachfolgend gibt es eine Übersicht über alle Menüoptionen:

Menüpunkt	Beschreibung
Netzwerk-Schnittstellen	Konfiguration der in TightGate-Pro vorhandenen Netz­werkschnittstellen. Die Einstellungen sind entsprechend der Ein­satzumgebung vorzunehmen.
IPv6 Aktivieren	Aktiviert, bzw. Deaktiviert die Iv6-Unterstützung im TightGate-Pro. Auch ohne die Aktivierung an dieser Stelle können für alle IP-Adressen im TightGate-Pro IPv6-Adressen eingetragen werden. Diese werden aber erst verwendet, sofern an dieser Stelle die IPv6-Unterstützung aktiviert wurde.
—
Nameserver*	IPv4-Adresse eines Nameservers (DNS) zur Auflösung von IPv4-Adressen. Es können bis zu 25 Nameserver referenziert werden. Sie werden in der Reihenfolge der Einträge an­gefragt, falls einzelne Server nicht erreichbar sein sollten.
Lokale Domänen-Namensserver*	Festlegung von lokal verwendeten Domänen und den zugehörigen Nameservern. Diese Einstellung ist insbesondere bei Active-Directory-Anbindungen wichtig, wenn der AD-Server keine DNS-Auflösung in das Internet ausführen kann/darf. Achtung: In der Regel muss auch die Rückauflösung (IPv4-Adresse → DNS-Name) in einem separaten Eintrag angegeben werden.
Zeitserver*	IPv4-Adresse eines Zeitservers zum Bezug der Systemzeit. Es können bis zu 25 Zeitserver referenziert werden. Diese werden in der Reihenfolge der Einträge angefragt, falls einzelne Server nicht erreichbar sind. Warnung: Insbesondere im Clusterverbund ist die korrekte Sys­temzeit über alle Nodes von großer Bedeutung. Zeitunterschiede zwischen den Rechnern eines Verbunds können zu Be­triebsstörungen führen. Daher ist unbedingt darauf zu achten, dass zumindest ein Zeitserver stets erreichbar ist. Es empfiehlt sich, den gleichen Zeitserver zu verwenden, wie er vom Active-Directory-Server verwendet wird.
—
Klienten-Netzwerke*	IPv4-Adressen bzw. Adressbereiche, die sich mit dem TightGate-Pro verbinden dürfen. Sofern für ein Klienten-Netzwerk ein spezielles Gateway notwendig ist, so ist dies direkt in der Form [IP-Adresse/valid Bits/Gateway] anzugeben. Es können maximal 25 Klienten-Netzwerke definiert werden. Hinweis: Der Zugriff von TightGate-Pro auf Dienste/Server, welche sich im Klienten-Netzwerke befinden ist grundsätzlich verboten. Warnung: Das Klienten-Netzwerk darf nicht mit dem Adressbereich 0.0.0.0/0 definiert werden, da sonst kein Internetzugriff möglich ist.
Privilegierte Klien­ten*	Einzutragen sind hier die IPv4-Adressen, die einen privilegierten Zugang zu TightGate-Pro erhalten sollen. TightGate-Pro unterscheidet zwei Grenzen, bis zu denen Benutzeranmeldungen zugelassen werden. Diese sind in der Lizenz von TightGate-Pro definiert. Die erste Grenze bezeichnet die Zahl regulärer Benutzer, die zweite Grenze bezeichnet die Zahl der privilegierten Benutzer. Sobald die Zahl zulässiger regulärer Nutzer erreicht ist, werden nur noch privilegierte Nutzer zugelassen - vorausgesetzt, deren Zahl ist noch nicht erreicht. Nach Ausschöpfung der zweiten Grenze wird jeder weitere Verbindungsversuch eines Klienten an TightGate-Pro mit einer entsprechenden Fehlermeldung abgewiesen. Privilegierte Klienten werden nicht nur entsprechend eines gesonderten Kontingents zugelassen, sondern darüber hinaus mit einem größeren Anteil an Arbeits- und Massenspeicher sowie CPU-Zeit auf TightGate-Pro ausgestattet. Hinweis: Privilegierte Klienten können auch anhand der Benut­zerkennung eingerichtet werden. Dies geschieht in der Benutzer­verwaltung als Administrator maint.
Mailserver*	Alle relevanten Einstellungen zur E-Mail-Funktionalität für Benutzer sind der Übersichtlichkeit halber unter diesem Menüpunkt zusammenge­fasst. Darunter fallen die Einstellung der Mail-Domäne sowie die Vorgabe für POP3/IMAP und SMTP.
Administrations-Netzwerke*	Festlegung von IP-Adressen oder IP-Netzwerkbereichen, die administrativen Zugriff (für die Rollen config, maint, update, backuser, root und security) auf TightGate-Pro haben sollen. Wird hier ein Netzwerk konfiguriert, so erscheint der nachfolgende Menüpunkt, unter dem der Port für den administrativen Zugriff per SSH festgelegt werden kann.
Administrations-SSH-Ports*	Auswahl des alternativen SSH-Ports, über den die Administrations-Netzwerke Zugriff auf TightGate-Pro bekommen. Zur Auswahl stehen die Ports 22,222,2222 und 22222. Achtung: Sofern Sie eine vom Standard-Port 22 abweichende Einstellung vornehmen, stellen Sie bitte sicher, dass in Ihrem Netzwerk die Firewall-Regeln zum Zugriff der Administrations-Netzwerke richtig gesetzt sind.
Nagios/SNMP Netzwerke*	Angabe aller IP-Adressen von Monitoring Servern, die TightGate-Pro überwachen sollen. Für die Überwachung ist der jeweilige Dienst (NRPE/SNMP) unter den Diensten zu aktivieren.
SSH-Server*	IPv4-Adressen von SSH-Servern, auf die über TightGate-Pro direkt zugegriffen werden kann. Die Server sind jeweils in der Form [IP-Adresse/valid Bits] anzugeben. Es sind maximal 25 SSH-Server (bzw. Netzwerke) erlaubt.
HTTP-Server*	IPv4-Adressen der HTTP-Server, auf die über TightGate‑Pro di­rekt (ohne Proxy) zugegriffen werden kann. Die Server sind in der Form [IP-Adresse/valid Bits] anzugeben. Es sind maximal 25 HTTP-Server (bzw. Netzwerke) erlaubt. Achtung: Sind unter Proxy > Proxy-Ausnahmen Server definiert, so müssen diese hier ebenfalls explizit eingetragen werden, da sonst die Server ggf. nicht erreicht werden können.
HTTP-Ports*	Angabe auf welche Ports sich die unter HTTP-Server eingetragenen Server verbinden dürfen. Hinweis: Dieser Menüpunkt ist nur verfügbar, sofern HTTP-Server eingetragen sind.
RDP/Citrix-Server*	IPv4 Adresse(n) von Citrix- oder Windows-Servern, auf die von TightGate-Pro direkt zugegriffen werden kann. Ein entsprechen­des Klienten-Programm (remmina) ist bereits in TightGate-Pro implementiert. Die Benutzung wird im Benutzer-Handbuch unter Re­mote Desktop Verbindungen zu CITRIX- und Windows-Servern beschrieben.