TightGate-Pro

Dediziertes Remote-Controlled Browser System
zum Schutz vor Gefahren aus dem Internet

Automatisch generierter Auszug aus dem Administrationshandbuch

Datum: 11.04.2019

Herausgeber:

m-privacy GmbH

Technische Redaktion

Werner-Voß-Damm 62

12101 Berlin

Fon: +49 30 243423-34

support@m-privacy.de

www.help.m-privacy.de

Allgemeine Hinweise zu diesem Handbuch

Alle Materialien und Ausführungen wurden mit Sorgfalt erarbeitet und zusammengestellt. Den­noch sind Fehler nicht auszuschließen. Die m-privacy GmbH übernimmt keine Haftung für Schäden, die aus Unrichtigkeit einzelner Angaben entstehen.

Im Sinne einer raschen Orientierung und zur Vermeidung von Sicherheitsrisiken werden besonders wichtige Aspekte durch wiederkehrende Stichworte gekennzeichnet. Diese sind:

Hinweis
Unter diesem Stichwort werden nützliche Details zur rationellen Verwendung von TightGate-Pro er­läutert.

Achtung
Unter diesem Stichwort erfolgen Hinweise zur Problemvermeidung bzw. zur Vorbeugung von Betriebs­störungen bei TightGate-Pro.

Warnung
Unter diesem Stichwort erfolgen Hinweise auf mögliche Fehler bei der Konfiguration und Verwendung von TightGate-Pro, die weitreichende Sicherheitsrisiken bergen oder zu schwerwiegenden Betriebs­störungen führen können.

Inhaltsverzeichnis

System-Vorgaben

Die System-Vorgaben sollten in jedem Fall im Zuge der Installation konfiguriert werden. Es werden hier grundsätzliche Einstellungen vorgenommen, die auch Auswirkungen auf die Authentisierung, das Backup und andere Dienste haben.

Allgemeine systemweite Dienstvorgaben

Die systemweiten Dienstvorgaben haben weitreichende Auswirkungen. Die nachfolgende Übersicht beschreibt die einzelnen Dienste:

Menüpunkt	Beschreibung
Pseudonymisierung*	Legt fest, ob bei der Protokollierung der Benutzernamen im Klartext oder als Pseudonym protokolliert werden sollen. Es wird aus datenschutzrechtlichen Gründen empfohlen unter Pseudonym zu Protokollieren. Wird die Pseudonymisierung verwendet, so können als Administrator maint im Bedarfsfall unter dem Menüpunk Benutzerverwaltung > Erzeuge Pseudonyme fehlende Pseudonyme ergänzt werden.
Benutzer-Daten-Archiv*	Aktiviert die automatische Archivierung von: - Lesezeichen der Webbrowser Firefox und Chrome - Schlüssel- und Zertifikate der Webbrowser Firefox und Chrome - Klarnamen der Benutzerkennungen
Benutzer-Daten-Archiv-Lebensdauer*	Bei der Archivierung von Lesezeichen wird jeden Tag ein Backup geschrieben. Mit dieser Option wird festgelegt für wie viele Tage das Archiv im Backup vorgehalten werden soll. Es wird empfohlen nicht mehr als 30 Tage einzustellen. Dieser Menüpunkt ist nur verfügbar, sofern das Benutzer-Daten-Archiv aktiviert ist.
Mehrere Trans­fer-Benutzer*	Anzahl von unabhängigen transfer-Benutzern, welche kompletten Zugriff auf alle transfer-verzeichnisse von TightGate-Pro haben. Es können bis zu 99 transfer-Benutzer angelegt werden. Hinweis: Für transfer-Benutzer werden Passworte als Administrators maint über dem Menüpunkt Benutzerverwaltung > Benutzer ändern > transfer vergeben.
Gemeinsamer Ordner in Transfer*	Aktiviert den Ordner tgshare innerhalb des transfer-Ordners (Ordner auch für die Dateischleuse) eines jeden Benutzerkontos. Der Ordner tgshare ist für sämtliche Benutzer eines TightGate-Pros vollberechtigt (Lesen / Schreiben / Löschen). So können Dateien ohne weitere Konfiguration systemweit ausgetauscht werden.
Erlaubte Benutzer-IDs*	Auswahl zwischen mehreren Bereichen, in denen TightGate-Pro UIDs für angemeldete Benutzer zuweist. Namen von Benutzerkonten, die nur aus Ziffern bestehen, können sich nicht im ausgewählten Wertebereich befinden. Diese Einstellung ist nur in Sonderfällen relevant.
Pulseaudio Extra-Ports*	Auswahl zusätzlicher Port-Bereiche, die außer des Ports 4713 verwendet werden dürfen. Der letztlich verwendete Port wird durch den TightGate-Viewer bestimmt. Ohne Auswahl wird ausschließlich der Standard-Port 4713 verwendet. Hinweis: Diese Einstelloption dient nur zur Durchleitung von Audiosignalen an TightGate-Viewer auf Terminalservern (z. B. CITRIX).
Zwangstrennung für Inaktive*	Zeit in Sekunden, bis inaktive TightGate-Viewer automatisch getrennt werden. Voreingestellt sind 36000s = 10 Stunden.
Maximale Sit­zungsdauer*	Zeit in Sekunden, bis TightGate-Viewer in jedem Fall getrennt werden. Eine sofortige Neuanmeldung ist möglich, der Benutzer erhält dann einen entsprechenden Hinweis über den Grund der Trennung. Voreinge­stellt sind 86400s = 24 Stunden.
Max. gleichzeitige Benutzer	Legt fest wie viele gleichzeitige Benutzer-Sitzungen auf diesem Server erlaubt sind. Die Anzahl sollte in Relation zur verwendeten Hardware stehen.
Max. System-Last	Festlegung des Maximalen Load dieses Servers. Die Einstellung ist keine clusterweite Einstellung und sollte nur in Absprache mit dem Kundendienst der m-privacy GmbH geändert werden.
Passwort Ablaufzeit*	Legt die Ablaufzeit für Benutzerpassworte fest. Hinweis: Die vom Administrator maint vergebenen Initialpassworte sind von dieser Einstellung nicht betroffen. Initial vergebene Passworte müssen durch den Benutzer bei der ersten Anmeldung geändert werden.

Nachdem die Einstellungen vorgenommen wurden, sind diese über den Menüpunkt Speichern zu sichern. Anschließend bewirkt die Menüoption Anwenden die Aktivierung der gespeicherten Einstellungen.

Systemweite Dienstvorgaben für Benutzer

Über die systemweiten Dienstvorgaben für Benutzer kann konfiguriert werden, welche Dienste in TightGate-Pro gestartet werden, sodass diese grundsätzlich von Benutzern verwendet werden können. Werden einzelne Dienste an dieser Stelle deaktiviert, sind alle weiteren Einstellungen für die Benutzer als maint oder unter dem Menüpunkt Benutzer-Vorgaben wirkungslos.

Die nachfolgende Übersicht beschreibt die einzelnen Dienste:

Menüpunkt	Beschreibung
Audio-Unterstützung*	Globale Aktivierung des Audio-Dienstes in TightGate-Pro für Benutzer. Ob Audio für den jeweiligen Benutzer tatsächlich verfügbar ist, wird durch maint individuell pro Benutzer eingestellt.
Webcam-Unterstützung*	Aktiviert oder Deaktiviert die Unterstützung von Webcams und Mikrofonen des Arbeitsplatz-Rechners auf TightGate-Pro. Die Nutzung erfordert einen TightGate-Viewer ab Version 3.3.
Druck-Unterstützung*	Aktiviert oder Deaktiviert die Druckausgabe auf lokale Arbeitsplatz-Drucker.
Benutzer-Shell*	Erlaubt den Start einer Eingabeaufforderung (Terminal) durch die Benutzer.
Datei-Transfer*	Die Verwendung der Dateischleuse für Benutzer kann system­weit erlaubt oder verboten werden. Der dedizierte Transferbenutzer transfer hat immer Zugriff sofern er sich aus dem Klienten-Netzwerk oder dem Administrations-Netzwerk anmeldet. Hinweis: Wenn die Dateischleuse an dieser Stelle deaktiviert wird, sind Menüpunkte zur Dateischleuse in den Benutzer-Vorgaben ausge­blendet.
Tor-Browser-Unterstützung*	Aktiviert die Nutzung des TOR-Browsers. –> Anleitung zur Nutzung des TOR-Browsers in TightGate-Pro
Transfer-Protokoll*	Aktiviert oder Deaktiviert die Protokollieren aller Dateitransfers von und zum TightGate-Pro. Je nach Einstellungen im Bezug auf die Art der Protokollierung im TightGate-Pro wird das Log mit Klarnamen, unter Pseudonym oder anonym geschrieben. Die Auswertung der Protokolle erfolgt durch die Sondernutzer Revision. Eine Anleitung findet sich hier.
Transfer Protokoll Lebensdauer*	Mit dieser Option legen Sie fest für wie viele Tage die Protokolle für die Datei-Transfers vorgehalten werden soll. Dieser Menüpunkt ist nur verfügbar, sofern das Transfer-Protokoll aktiviert ist.
Transfer Dateiprüfsummen mitprotokollieren*	Legt fest, ob zu jeder protokollierten Datei-Übertragung noch eine SHA-256-Prüfsumme über die transferierte Datei geschrieben werden soll. Dieser Menüpunkt ist nur verfügbar, sofern das Transfer-Protokoll aktiviert ist. Hinweis: Die zusätzliche Berechnung der Prüfsumme kann zu Verzögerungen im System führen.
Transfer auf versteckte Archive Prüfen*	Prüft, ob sich in/an Dateien, welche übertragen werden sollen unerlaubte Archive befinden. Werden diese gefunden, wird der Transfer abgelehnt und eine Benachrichtigung dem Nutzer angezeigt. Achtung: Diese Funktion ist sehr Ressourcen intensiv und kann den Dateitransfer signifikant verlangsamen!
Auto-Download erlauben*	Aktiviert oder Deaktiviert die halbautomatische Dateischleuse für TightGate-Pro. Die Nutzung der halbautomatischen Dateischleuse ist hier beschrieben. Hinweis: Wird das Zusatzprodukt OPSWAT für die Dateischleuse verwendet, so ist die Funktion der automatischen Schleusenfunktion deaktiviert.
Auto-Download- Klienten-Ordner*	Legt den Zielordner fest, in den die halbautomatische Dateischleuse die Downloads von TightGate-Pro auf dem Klientenrechner ablegt. Dieser Menüpunkt ist nur für Windows-Klienten relevant. Sofern die Zielordner in der lokalen Konfigurationsdatei am Arbeitsplatz geändert wurde, sollte hier kein Wert gesetzt werden, da dieser den Wert in der lokalen Konfigurationsdatei überschreibt. Dieser Menüpunkt ist nur verfügbar, sofern der Auto-Download aktiviert ist. Hinweis: Für den Zielpfad können auch Windows-Umgebungsvariablen wie z.B %USERPROFILE% etc. verwendet werden.
FF-Downloads automatisch herunterladen*	Bei Aktivierung wird das Download-Verzeichnis des Firefox auf TightGate-Pro auf das transfer/autotransfer Verzeichnis umgebogen, sodass alle Downloads automatisch von der halbautomatische Schleuse verarbeitet werden. Hinweis: Dieser Menüpunkt ist nur verfügbar, sofern der Auto-Download aktiviert ist.
Chrome-Downloads autom. herunterladen*	Bei Aktivierung wird das Download-Verzeichnis des Chromebrowsers auf TightGate-Pro auf das transfer/autotransfer Verzeichnis umgebogen, sodass alle Downloads automatisch von der halbautomatische Schleuse verarbeitet werden. Hinweis: Dieser Menüpunkt ist nur verfügbar, sofern der Auto-Download aktiviert ist.
Zwischenablage*	Einstellung der zugelassenen Übertragungswege bei Verwendung der Zwischenablage. Hier finden Sie die detaillierte Anleitung.
Transfer: Lebensdauer*	Festlegung einer Lebensdauer in Tagen, die Dateien im Transfer-Ordner (Dateischleuse) von Benutzern aufbewahrt werden. Nach Ablauf dieser Zeit werden die Dateien automatisch gelöscht. Der Eintrag von Null führt zu einer unbegrenzten Aufbewah­rungszeit, d. h. es erfolgt keine automatische Löschung. Hinweis: Bei intensiver Systemnutzung durch zahlreiche Benut­zer kann es zur Überschreitung des ver­fügbaren Festplattenplatzes kommen, wenn die zeitgesteuerte Lö­schung von Dateien deaktiviert wird oder der Zeitraum zu lang gewählt wurde. Es wird empfohlen einen Zeitraum von 7 Tagen einzustellen.
Importiere Custom-CA*	Bietet die Möglichkeit eigene Certification Authority (CA) Zertifikate zu importieren. Diese werden dem Standardbrowser Firefox, dem Alternativbrowser Google-Chrome sowie dem Mailprogramm Thunderbird der Benutzer hinzugefügt. Achtung: Alle Zertifikate müssen als einzelne Dateien importiert werden, es ist nicht möglich eine Zertifikatskette in einer Datei zu importieren! Es ist auch darauf zu achten, dass in der Zertifikatsdatei nur das Zertifikat enthalten ist. Alle anderen Einträge (wie z.B. Kommentare) sind vor dem Import zu entfernen.
Entferne Custom-CA*	Entfernt eine für Benutzer hinterlegte CA.
Firefox Policy importieren*	Bietet die Möglichkeit eine eigene Firefox Policy (policies.json) Datei aus dem Transfer-Verzeichnis des Administrators config zu benutzen. Die Policy steht nach dem Anwenden systemweit zur Verfügung und wird bei den Benutzern nach einer Neuanmeldung wirksam. Bitte beachten Sie auch unser FAQ mit dem Thema: Firefox mithilfe einer Richtlinie (policies.json) anpassen. Dort wird eine angepasste Standardpolicy zum Download angeboten.
Firefox Policy entfernen*	Entfernt die hinterlegte Firefox Policy.
Chrome Policy importieren*	Bietet die Möglichkeit eine eigene Chrome Policy Datei aus dem Transfer-Verzeichnis des Administrators config zu benutzen. Die Policy steht nach dem Anwenden systemweit zur Verfügung und wird bei den Benutzern nach einer Neuanmeldung wirksam. Bitte beachten Sie auch unser FAQ mit dem Thema: Google Chrome mithilfe einer Richtlinie anpassen. Dort wird eine angepasste Standardpolicy zum Download angeboten.
Chrome Policy entfernen*	Entfernt die hinterlegte Chrome Policy.
Chrome über Proxy-Filter*	Definiert, ob der Webfilter auch beim Surfen mit dem Chromebrowser angewandt wird oder nicht. Dabei gilt bei Chrome lediglich eine Einstellung für alle Benutzer und kann nicht, wie beim Firefox, individuell konfiguriert werden. Steht der Wert auf Ja, Chrome filtern wird der Webfilter bei Chrome angewandt, bei der Einstellung Nein, Chrome nicht filtern wird der Webfilter nicht angewandt.
Chrome immer interner Proxy*	Bei Ja nutzt der Chrome den den internen Proxy. Bei Nein nutzt Chrome (sofern es einen Uplink-Proxy gibt und ohne aktiven Proxy-Filter) direkt auf den Uplink-Proxy.
Autostart Browser	Legt fest, welcher Browser beim Start des TightGate-Viewer automatisch gestartet werden soll.
Benutzer-Zertifikate automatisch	Steht der Wert auf Ja, so werden beim der Anlage neuer Benutzern als Administrator maint für diese auch gleich Benutzerzertifikate zur Anmeldung an TightGate-Pro ausgestellt. Die Zertifikate werden sowohl für Nutzer angelegt, die direkt von maint angelegt werden, wie auch für Benutzer, die per CSV-Liste importiert werden.

Nachdem die Einstellungen vorgenommen wurden, sind diese über den Menüpunkt Speichern zu sichern. Anschließend bewirkt die Menüoption Anwenden die Aktivierung der gespeicherten Einstellungen.

Authentisierungs-Methoden

Eine Übersicht über die verschiedenen Möglichkeiten sich an TightGate-Pro anzumelden gibt der nachfolgende Verweis.
Benutzerverwaltung in TightGate-Pro