Navodila za namestitev in uporabo aplikacij VPN v omrežju HKOM

Size: px

Start display at page:

Download "Navodila za namestitev in uporabo aplikacij VPN v omrežju HKOM"

Branden Baker
5 years ago
Views:

1 Navodila za namestitev in uporabo aplikacij VPN v omrežju HKOM

2 Kazalo 1. Namestitev odjemalca VPN Sistemske zahteve Potek namestitve 4 Navodila so pripravljena za odjemalec VPN Cisco, različica Uporaba odjemalca VPN Pregled podatkov o povezavi VPN Uporaba beleženja Posodabljanje odjemalca VPN Namestitev programa»ibm ISS Proventia Desktop« Namestitev za Microsoft operacijske sisteme Uporaba IBM ISS Proventia Desktop V primeru težav Težave z odjemalcem VPN Odjemalec VPN po nadgradnji OS Windows XP s SP2 ne deluje več Odjemalec VPN sporoči, da je povezava prekinjena:»reason 412: The Remote Peer is no Longer Responding« Težave s Proventia Desktop Odstranitev in ponovna namestitev agenta Ikona PD v desnem spodnjem kotu je prečrtana, možnost Start Agent iz priročnega menija pa ne deluje Protivirusni program zazna škodljivo kodo v datoteki IBE.dll oz. blackd.exe in blokira delovanje agenta Namestitev PD ni mogoča. Sistem javi napako: AgentUpdate has stopped working Po namestitvi PD se občasno pojavi modri zaslon blue screen Možnosti Stop Agent/Start Agent iz priročnega menija kljub administratorskim pravicam ne delujeta Po namestitvi PD na računalnik z OS Windows XP s SP2 računalnika ni več možno zagnati (zagon se vedno konča z modrim zaslonom blue screen) Drugo Po vzpostavitvi povezave VPN ne morem več dostopati do medmrežja (interneta) Uporaba brskalnika in nastavitve strežnika proxy 21 Stran 2 od 23

3 1. Namestitev odjemalca VPN 1.1. Sistemske zahteve Preden začnemo z namestitvijo, preverimo, ali naš računalnik izpolnjuje naslednje minimalne zahteve: Na računalniku je nameščen eden od operacijskih sistemov (samo 32 bitni; operacijski sistem Windows 95 ni več podprt, odjemalec VPN različica 4.6 pa je bil zadnji, ki je podpiral Windows NT): Windows 2000, Windows XP, Windows Vista, Windows 7; delujoča povezava IP v internet oz. omrežje HKOM; 100 MB prostega diska; zaslonska ločljivost vsaj 800x600; RAM: 128 MB za Windows 2000, 256 MB za Windows XP, 512 MB za Windows Vista/7; skrbniške pravice na OS Windows 2000, XP, Vista, 7. Za 64 bitne operacijske sisteme Windows Vista/7 se uporablja Cisco AnyConnect odjemalec. Navodila za namestitev so na voljo na naslovu vpndist.gov.si oz. vpndist.sigov.si. Pomembno: za namestitev odjemalca boste potrebovali administratorske pravice na računalniku, uporabljate pa ga lahko kot navaden uporabnik. Pomembno: pred nameščanjem je zelo priporočljivo izklopiti protivirusne programe, ki so nameščeni na našem računalniku! V nasprotnem primeru sklad IP po namestitvi odjemalca VPN morda ne bo več deloval pravilno. Po končanem nameščanju lahko protivirusne programe ponovno vklopite. Če se vaš odjemalc nahaja za požarno pregrado (npr. za usmerjevalnikom ADSL s funkcionalnostno požarne pregrade ipd.), potem morate za pravilno delovanje odjemalca zagotoviti, da požarna pregrada prepušča naslednje protokole in vrata: UDP 500 (IKE), protokol 50 (ESP), UDP 10000, TCP Nekateri internetni ponudniki ponujajo uporabnikom na izbiro varnostne nastavitve na njihovem internetnem priključku. Pomembno je, da uporabnik izbere varnostne nastavitve, ki omogočajo uporabo zgoraj naštetih vrat in protokola. Primer: ponudnik T-2 ponuja uporabnikom t.i.»varnostne cone«. Izberite»srednjo«ali»nizko varnost«. Z»visoko varnostjo«odjemalec VPN ne bo deloval, ker so zgoraj našteta vrata in protokol zaprti. Stran 3 od 23

1.2. Potek namestitve Navodila so pripravljena za odjemalec VPN Cisco, različica 5.

$exe«razpakiramo namestitvene datoteke v začasno mapo, npr. c:\temp\cisco: 2.$

4 1.2. Potek namestitve Navodila so pripravljena za odjemalec VPN Cisco, različica korak: Z dvojnim klikom na»vpnklient50.exe«razpakiramo namestitvene datoteke v začasno mapo, npr. c:\temp\cisco: 2. korak: V začasni mapi vidimo naslednje datoteke: Namestitev pričnemo z dvojnim klikom na»vpnclient_setup.exe«. Stran 4 od 23

5 3. korak: Odpre se pozdravno okno. Nameščanje potrdimo s klikom na»next«: 4. korak: Licenčo pogodbo sprejmemo s klikom na»i accept the license agreement«. Stran 5 od 23

Če nimamo posebnih želja o fizični lokaciji programa, kliknemo»next«,

6 5. korak: Namestitveni program nam ponudi mapo, v katero bo namestil datoteke. Če nimamo posebnih želja o fizični lokaciji programa, kliknemo»next«, sicer pa»browse«in izberemo želeno mapo: 6. korak: Namestiteveni program bo pričel z nameščanjem, ko kliknete na»next«: Stran 6 od 23

7 7. korak: Po uspešno zaključeni namestitvi ponovno zaženemo računalnik: Stran 7 od 23

1.3. Uporaba odjemalca VPN 1. korak: Po ponovnem zagonu računalnika izberemo Start Programs Cisco Systems VPN Client VPN Client. 2. korak: Kateri profil izberemo?

povezave ADSL, kabelske povezave, povezave iz tujine preko lokalnega internetnega ponudnika, povezav GPRS, UMTS in HSCSD, HKOM-notranji: sem sodijo povezave VPN na notranji VPN koncentrator, ki jih

8 1.3. Uporaba odjemalca VPN 1. korak: Po ponovnem zagonu računalnika izberemo Start Programs Cisco Systems VPN Client VPN Client. 2. korak: Kateri profil izberemo? Izbiramo med tremi profili: HKOM-internet, HKOM-notranji in HKOModdaljeni: HKOM-internet: ta profil je namenjen vsem uporabnikom, ki se v HKOM povezujejo iz zunanjosti HKOM-a/interneta, npr preko: povezave ADSL, kabelske povezave, povezave iz tujine preko lokalnega internetnega ponudnika, povezav GPRS, UMTS in HSCSD, HKOM-notranji: sem sodijo povezave VPN na notranji VPN koncentrator, ki jih vzpostavljamo iz notranjosti HKOM. HKOM-oddaljenii: povezave VPN na zunanji VPN koncentrator, ki jih vzpostavljamo iz povezav GPRS in UMTS iz APN»gov.si«, klicnih dostopov v HKOM. 3. korak: Ob vzpostavitvi povezave se moramo avtenticirati z uporabo kartice SecurID z našim uporabniškim imenom (»Username«) in geslom (»Password«). Geslo je deset mestno, sestavljeno iz štiri mestnega PIN-a in šest mestne številke, ki je trenutno izpisana na kartici SecurID. Stran 8 od 23

9 4. korak: Če smo se uspešno avtenticirali, nas pozdravi spodnje sporočilo. To je hkrati tudi znak, da je povezava VPN uspešno vzpostavljena! Čestitamo! Stran 9 od 23

1.4. Pregled podatkov o povezavi VPN Ko je povezava VPN aktivna, lahko s klikom na puščico v desnem spodnjem kotu odjemalca VPN pregledamo podatke o: trajanju povezave (Connected Time), količini

10 1.4. Pregled podatkov o povezavi VPN Ko je povezava VPN aktivna, lahko s klikom na puščico v desnem spodnjem kotu odjemalca VPN pregledamo podatke o: trajanju povezave (Connected Time), količini prenesenih podatkov (Bytes In, Bytes Out), dodeljenem naslovu IP (IP Address). Več informacij najdemo pod»status Statistics«, kjer so nam na voljo možnosti»tunnel Details«,»Route Details«,»Firewall« Uporaba beleženja V primeru težav pri vzpostavljanju povezave VPN si lahko pomagamo z beleženjem (logging). Če želimo vklopiti beleženje, moramo najprej preklopiti v napredni način (»Options Advanced Mode«ali ctrl+m). Nato v meniju izberemo»log Log Setings«, kjer nastavimo primerne ravni beleženja za posamezne kategorije dogodkov. Stran 10 od 23

11 Z izbiro»log Enable«oz. ctrl+e vklopimo beleženje, z»log Log Window«oz. ctrl+l odpremo posebno okno, kjer se dogodki izpisujejo. Če želimo, lahko zabeležene dogodke shranimo v datoteko s klikom na gumb»save«. Stran 11 od 23

12 1.5. Posodabljanje odjemalca VPN Najnovejšo distribucijo odjemalca VPN najdemo na strani»vpndist.gov.si«(dostopna iz interneta) oz.»vpndist.sigov.si«(dostopna iz intraneta). Staro različico odstranimo z delovne postaje in namestimo novo skladno z navodili. Stran 12 od 23

13 2. Namestitev programa»ibm ISS Proventia Desktop«2.1 Namestitev za Microsoft operacijske sisteme Za Windows 2000/XP namestimo naslednjo distribucijo programa: PD9Full.exe Za Windows Vista/7 (32/64-bit) operacijski sistem namestimo posebno distribucijo: PD101Win7.exe Za operacijske sisteme Windows 95/98/Me namestimo distribucijo agenta RealSecure Desktop Protector 7.0, za katerega ni več na voljo varnostnih posodobitev: RSDP70.exe Namestitev začnemo z dvoklikom na ime datoteke. Namestitev se izvede nevidno brez komunikacije z uporabnikom in lahko traja nekaj minut. Za namestitev so potrebne administratorske pravice na računalniku, nato pa deluje tudi z navadnim uporabnikom. 2.2 Uporaba IBM ISS Proventia Desktop Stanje Proventia Desktop (PD) (glej sliko spodaj) lahko vedno vidimo v spodnjem desnem kotu poleg ure. Program nas o alarmnem dogodku obvesti z utripanjem ikone in spremembo njene barve. Windows 2000/XP Windows Vista/7 Če z miško dvokliknemo ikono, se odpre okno, ki nam ponuja več informacij. S klikom na zavihek»events«si lahko ogledamo podrobnosti o dogodkih. Prečrtan znak z vprašajem pred dogodkom pomeni, da PD blokira dostop do vašega računalnika za dotično vrsto prometa. Če znak ni prečrtan, potem PD uporabnika zgolj obvešča o dogodku, prometa pa ne blokira. Stran 13 od 23

14 Program razvršča dogodke v različne varnostne nivoje in jih barvno označuje. Posamezne barve pomenijo: Ikona Stopnja Opis ogroženosti rdeča 7-10 Kritičen dogodek: premišljen napad na računalnik z namenom poškodovanja podatkov ali operacijskega sistema. oranžna 4-6 Resen dogodek: poskus pridobivanja podatkov o oz. na sistemu brez namena poškodovanja. rumena 1-3 Sumljiv dogodek: naš računalnik trenutno ni ogrožen, vendar morda nekdo išče varnostno luknjo v sistemu. zelena 0 Informacija: normalno stanje, ni zaznan noben poskus napada. Pod zavihkom»intruders«lahko vidmimo»osebno izkaznico«napadalca: Stran 14 od 23

Na seznamu napadalcev se lahko znajde tudi računalnik, ki ga uporabljamo. To pomeni, da je PD prepoznal poizkus napada na druge računalnike v omrežju.

15 Na seznamu napadalcev se lahko znajde tudi računalnik, ki ga uporabljamo. To pomeni, da je PD prepoznal poizkus napada na druge računalnike v omrežju. Potencialno nevarno akcijo smo lahko sprožili sami, lahko pa to tudi pomeni, da je naš računalnik okužen z virusom, trojanskim konjem ipd. V tem primeru lahko PD blokira odhodni promet ali pa nas o dogodku le obvešča. Pod zavihkom»history«si lahko ogledamo povezavo obsega prometa s posameznimi varnostnimi nivoji, kar nam lahko pomaga določiti naravo oz. vrsto napada na naš računalnik. Stran 15 od 23

16 Stran 16 od 23

3. V primeru težav 3.1. Težave z odjemalcem VPN 3.1.1. Odjemalec VPN po nadgradnji OS Windows XP s SP2 ne deluje več Odjemalci VPN, ki so starejši od različice 4.

17 3. V primeru težav 3.1. Težave z odjemalcem VPN Odjemalec VPN po nadgradnji OS Windows XP s SP2 ne deluje več Odjemalci VPN, ki so starejši od različice 4.6 imajo lahko težave s požarno pregrado, ki je vgrajena v Windows XP, SP2. Priporočamo nadgradnjo odjemalca na najnovejšo različico. Zapis o tem je dosegljiv na strani proizvajalca Cisco: Odjemalec VPN sporoči, da je povezava prekinjena:»reason 412: The Remote Peer is no Longer Responding«Pri uporabi odjemalca VPN Cisco se uporabnikom včasih zgodi, da se njihova povezava VPN prekine s sporočilom»reason 412: The Remote Peer is no Longer Responding«. V nekaterih primerih pride do napake zaradi v Windows XP vgrajene požarne pregrade (SP2), ki blokira pakete keepalive. Možni rešitvi: 1) Namesto enkapsulacije TCP lahko uporabimo UDP: Izberemo»Connection Entries«, profil»hkom-internet«, kliknemo»modify«, na zavihku»transport«izberemo»ipsec over UDP (NAT/PAT) in kliknemo»save«: Stran 17 od 23

2) V požarni pregradi v Windows XP naredimo izjemo za vrata

»ike«, številka vrat»500«in izberemo»udp«: Dodatno

18 2) V požarni pregradi v Windows XP naredimo izjemo za vrata 500/UDP oz. protokol IKE: V Nadzorni plošči izberemo»požarni zid programa Windows Izjeme Dodaj vrata«. Kot ime vpišemo npr.»ike«, številka vrat»500«in izberemo»udp«: Dodatno izberemo»spremeni obseg Lasten seznam«in vpišemo» / «: Aktiviramo izjemo in kliknemo»v redu«: Stran 18 od 23

19 3.2. Težave s Proventia Desktop Odstranitev in ponovna namestitev agenta Iz ukazne vrstice na lokaciji: C:\Program Files\ISS\Proventia Desktop (verzija 9 in 10) C:\Program Files\IBM\Desktop Protection (verzija bit) C:\Program Files (x86)\ibm\desktop Protection (verzija bit) zaženite ukaz: AgentRemove.exe -full Pri starejši distribuciji za Windows 7 je potrebno odstraniti tudi RapApp kompatibilnostni popravek v Control Panel/Programs and Features. Nato znova zaženite računalnik ter ponovno namestite Proventia Desktop. Najnovejše distribucije so na voljo na naslovu»vpndist.gov.si«(dostopna iz interneta) oz.»vpndist.sigov.si«(dostopna iz intraneta). Za odstranitev in ponovno namestitev potrebujete administratorske pravice (polni način v primeru aktivnega UAC) Ikona PD v desnem spodnjem kotu je prečrtana, možnost Start Agent iz priročnega menija pa ne deluje Inštalacija programa je poškodovana. Sledite navodilom za odstranitev in ponovno namestitev agenta Protivirusni program zazna škodljivo kodo v datoteki IBE.dll oz. blackd.exe in blokira delovanje agenta Gre za lažno zaznavo škodljive kode. V nastavitvah protivirusnega programa je potrebno dodati direktorij C:\Program Files\ISS\Proventia Desktop med izjeme, ki se ne preverjajo Namestitev PD ni mogoča. Sistem javi napako: AgentUpdate has stopped working Gre za težavo s kompatibilnostjo Sophos 7.0 protivirusnim programom, ki pa se pojavi le na nekaterih sistemih. Popolnoma odstranite Sophos 7.0, znova zaženite računalnik, namestite Proventia Desktop ter nato ponovno namestite Sophos 7.0. Začasni izklop Sophos-a ne zadošča. V izogib težavam pri posodabljanju, dodajte tudi direktorij C:\Program Files\ISS\Proventia Desktop med izjeme, ki se ne preverjajo Po namestitvi PD se občasno pojavi modri zaslon blue screen Gre za težavo s kompatibilnostjo F-Secure Client Security protivirusnim programom. Nekompatibilnosti ni mogoče razrešiti, zato je edina možnost odstranitev F-Secure Client Security in uporaba drugega protivirusnega programa Možnosti Stop Agent/Start Agent iz priročnega menija kljub administratorskim pravicam ne delujeta Gre za težavo s kompatibilnostjo UAC na Windows Vista/7. Začasno izklopite funkcionalnost UAC ali ročno ustavite servis IBM Security Protection v Computer Management. Stran 19 od 23

20 Po namestitvi PD na računalnik z OS Windows XP s SP2 računalnika ni več možno zagnati (zagon se vedno konča z modrim zaslonom blue screen) Težavo povzroča nova funkcionalnost v WinXP SP2: Data Execution Prevention (DEP). Težavo odpravimo tako, da v datoteki boot.ini (skrita sistemska datoteka, običajo v c:\) zamenjamo ukaz»/noexecute=optin«z»/noexecute=alwaysoff«. Postopamo lahko takole (angleška različica Windows XP): zaženemo računalnik v varnem načinu in se prijavimo v sistem; z desnim klikom na ikono»my Computer«odpremo meni in izberemo»properties«; kliknemo na zavihek»advanced«; v razdelku»startup and Recovery«izberemo»Settings«; datoteko boot.ini odpremo za popravljanje s klikom na»edit«;»/noexecute=optin«zamenjamo z»/noexecute=alwaysoff«in shranimo spremembe; ponovno zaženemo računalnik Drugo Po vzpostavitvi povezave VPN ne morem več dostopati do medmrežja (interneta) Preverite, ali imate v brskalniku ustrezno nastavljen strežnik proxy (gl. razdelek 4). Stran 20 od 23

4. Uporaba brskalnika in nastavitve strežnika proxy Uporabniki, ki brskajo po medmrežju preko vzpostavljene povezave VPN v HKOM, morajo v brskalnik vpisati naslov strežnika proxy.

21 4. Uporaba brskalnika in nastavitve strežnika proxy Uporabniki, ki brskajo po medmrežju preko vzpostavljene povezave VPN v HKOM, morajo v brskalnik vpisati naslov strežnika proxy. V omrežju HKOM je to»proxy.gov.si«. Če pa povezava VPN ni aktivna in dostopa uporabnik v internet neposredno preko svojega ponudnika, potem je običajo potrebno izklopiti uporabo strežnika proxy. V»MS Internet Explorerju«konfiguriramo nastavitve strežnika proxy v:»tools Internet Options Connections LAN Settings«npr. za povezavo ADSL ali kabelsko povezavo, oz.»tools Internet Options Connections Dial-up and VPN Settings«če gre za klicno (npr. GPRS) povezavo. Stran 21 od 23

22 Pod»Advanced Exceptions«vpisujemo naslove, do katerih ne dostopamo preko proxyja: Če uporabljamo brskalnik, ki temelji na kodi»mozilla«, npr.»mozilla Firefox«, potem lahko uporabimo samodejno zaznavanje nastavitev z uporabo skripta. Naslov, na katerem se nahaja skript, je» V brskalnik»mozilla Firefox«ga je potrebno vpisati v»orodja Možnosti Povezava Nastavitve povezave«v polje»uri samodejne nastavitve za proxy:«. Stran 22 od 23

S tako konfiguriranim brskalnika se izognemo ročnemu izklapljanju strežnika proxy, če se z internetom povežemo direktno preko našega internetnega ponudnika.

23 S tako konfiguriranim brskalnika se izognemo ročnemu izklapljanju strežnika proxy, če se z internetom povežemo direktno preko našega internetnega ponudnika. Samodejna nastavitev deluje na spodaj opisani način: Ko smo z omrežjem HKOM povezani preko tunela VPN, zaženemo brskalnik, ta pa se z izvedbo skripta, ki ga prebere z naslova» nauči potrebna pravila za povezovanje z internetom preko proxyja. Če smo povezani z internetom direktno preko ponudnika, ne da bi vzpostavili tunel VPN, potem brskalniku naslov» dostopen. V tem primeru brskalnik smatra, da je internet dosegljiv direktno (in ne preko proxyja). Ljubljana, Sestavil: Andrej Rakar, Srečko Milanič Stran 23 od 23

Delavnica za konfiguriranje dostopovnih točk WEB konfiguracija LANCOM L-54

Delavnica za konfiguriranje dostopovnih točk WEB konfiguracija LANCOM L-54 Boštjan Lemut Prva povezava na L-54 s povezovalnim kablom povežemo mrežna vmesnika na računalniku in L-54 v brskalniku vpišemo