VPN for ansatte ved Høgskolen i Gjøvik

Transkript

1 VPN for ansatte ved Høgskolen i Gjøvik Innledning Hva skal jeg med dette? Hva blir sikret? Hva fungerer ikke? Hvorfor to løsninger? Hvordan begynner jeg å bruke Cisco VPN løsning? Nedlastning av programvare og scripts Installasjon av VPN klient på Windows: Kombinasjon av Cisco VPN og F-Secure Antivirus Konfigurasjon av VPN klient: VPN oppkobling og bruk: Få opp nettverksdisker som H:/F:/P:/V:/S:/W: Hvordan begynner jeg å bruke Thales VPN løsning?... 16

2 1 Innledning 1.1 Hva skal jeg med dette? VPN benyttes primært til å "koble seg inn" i det interne nettet, for å få tilgang til interne ressurser som disklagring og lukkede systemer. I tillegg benytter vi ved HIG VPN løsninger som krypterer kommunikasjon mellom deg (klient/bruker) og oss (server/tjenester), slik at det ikke blir mulig for utenforstående å få innsyn i den informasjonen som overføres mellom server og klient. Dersom du benytter deg av hjemmekontor, enten i form av bærbar arbeidsstasjon eller hjemme-pc, og trenger tilgang til filer som ligger på hjemmeområde eller fellesområder, kan du få dette gjennom en VPN oppkobling. Hvis du arbeider med interne systemer, som ikke er tilgjengelig via en vanlig internettoppkobling, fra hjemmekontor, trenger du en VPN tilkobling. I tillegg til at du får tilgang til slike ressurser, blir altså bruken din av slike tjenester sikret mot innsyn gjennom en slik løsning. 1.2 Hva blir sikret? Dette er avhengig av hvilken VPN løsning du benytter. HIG har to løsninger for VPN, som vi kaller Thales VPN og Cisco VPN. Benyttes Thales VPN løsningen blir all nettverkstrafikk, både det som går mot internett, og det som går mot interne systemer, sendt via HIG over kryptert forbindelse. Benyttes Cisco VPN sendes trafikk som går mot internett og eksternt tilgjengelige web-ressurser sendt direkte via din internettforbindelse. Trafikk som sendes via kryptert forbindelse mot HIG er: Disk-tilgang og lagringsressurser for ansatte Interne web-tjenester som kun er tilgjengelig for ansatte internt E-post mot pat.hig.no Programmer som kommuniserer med Ansatt/FADM-servere. 1.3 Hva fungerer ikke? Her skiller det også noe mellom hvilken VPN løsning som benyttes. Felles for begge løsninger er at systemer som krever tilkobling i FA-nettet, så som FS vil ikke virke. Det er også sannsynlig at ephorte ikke vil virke. I en del tilfeller vil også om bruk av Eudora vil kunne oppleves som tregt. Med Thales VPN løsningen skal stort sett alle andre tjenester fungere. Andre systemer er for øyeblikket under testing for å se hva som virker og ikke. 2

3 2 Hvorfor to løsninger? VPN for ansatte ved Høgskolen i Gjøvik HIG har i dag operativt to løsninger for VPN til ansatte. Den ene løsningen er levert av Thales, og er en såkalt "Hardware-based VPN" løsning. Dette innebærer at man trenger et spesielt kort som monteres i en bærbar datamaskin for å koble opp mot VPN. Den andre løsningen er levert av Cisco, og er en såkalt "Software-based VPN". Med denne løsningen installeres et klientprogram på PC, i stedet for et fysisk kort. For å gi en oppsummering av hvorfor begge disse to systemene eksisterer, er det best å se på en fordeler/ulemper sammenligning av de to systemene: Pro Thales VPN: Thales VPN er veldig enkelt i bruk, kun kort å montere.. Thales VPN krypterer all kommunikasjon, så alle interne systemer blir tilgjengelig, og kommunikasjon lukket. Thales VPN tunnellerer all trafikk, slik at også fulltekst-databaser levert gjennom avtaler blir direkte tilgjengelige. Thales VPN er plattformuavhengig Pro Cisco VPN: Cisco VPN har ingen ekstra kostnad per bruker, alle som har ansatt/fadm brukerkonto kan installere og bruke Cisco VPN kan benyttes med PPPoE, trådløst og på kurs/konferanse/seminarlokasjoner. Cicso VPN tunnellerer kun trafikk som går mot ansatt- og fadm- ressurser gjennom VPN. Annen trafikk går rett mot nett. Dette gir bedre hastighet på begge typer trafikk. Cisco VPN er plattformuavhengig Cisco VPN klient kan installeres på stasjonær hjemme-pc. Contra Thales VPN: Thales VPN er dyrt. Institutt/avdeling må kjøpe ett Thales kort per bruker. Thales VPN kan ikke benyttes med PPPoE linjer eller trådløst nett Thales VPN ruter all datatrafikk gjennom VPN, noe som kan gjøre forbindelse mot "eksterne" tjenester trege Thales VPN kort kan kun benyttes på bærbare maskiner Contra Cisco VPN: Cisco VPN er ikke direkte enkelt å sette opp. Flere ting å tenke på ved bruk enn Thales. Enkelte FADM tjenester blir ikke tilgjengelig, så som FS. Cisco VPN tunnellerer ikke trafikk mot fulltekst-databaser som er levert gjennom avtaler. For å kunne benytte disse fra en privat oppkobling, må en proxy-server benyttes i stedet for, eller i tillegg til Cisco VPN klienten. HIG har operativ slik proxyserver, se egen veiledning for dette. Dersom du kun har behov for tilgang til disk- og lagringsområder, bør du benytte Cisco VPN løsningen. Dette er også den løsningen du må benytte dersom du ønsker å opprette tilgang til interne ressurser fra en maskin som ikke er levert gjennom IT-Tjenesten. Dersom du har behov for en løsning som er enklest mulig å sette opp, og det er mulig for deg å få betalt et Thales VPN kort, kan dette være løsningen som passer best for deg. 3

4 3 Hvordan begynner jeg å bruke Cisco VPN løsning? Forutsetning for å kunne benytte løsningen er at datamaskinen kjører ett av følgende operativsystemer: Windows XP Professional Windows 2000 Professional Windows 98 Second Edition Mac OS X versjon 10.2 eller nyere Linux med kjerne versjon 2.4 eller nyere Solaris 7 eller nyere FreeBSD/NetBSD I tillegg må du ha tilgang til en brukerkonto som er lokal på din datamaskin, og som har lokale administratorrettigheter. På Windows maskiner betyr dette at du må kunne velge "denne maskinen"/ "this computer" i påloggingsvinduet, og at brukeren du da logger på med må ha lov til å installere programmer. Kontakt IT-Tjenesten dersom du er usikker på om du tilfredsstiller dette. Ansatte ved HiG som benytter Linux og Mac har normalt sett denne tilgangen. 4

5 3.1 Nedlastning av programvare og scripts Start med å laste ned VPN klienten. Klienten ligger foreløpig tilgjengelig for nedlastning på adressen Gå inn i den katalogen som passer for ditt operativsystem, og last ned klienten der. Videre i denne bruksanvisningen er det tatt utgangspunkt i installasjon på Microsoft Windows XP Professional m/sp Installasjon av VPN klient på Windows: Nedlastning av programmet og installasjon bør gjøres med lokal bruker. MAO: i påloggingsvinduet, pass på at "Log on to:" er satt til "this computer" og ikke ANSATT, FADM eller HIG. Riktig fil å laste ned for a installere selv på Windows XP Professional er filen Last ned denne filen til en plass du finner den enkelt igjen, for eksempel C:\temp eller til skrivebordet. Når filen er lastet ned, dobbeltklikker du på ikonet for å starte installasjonsprogrammet. De følgende skjermbildene viser en gjennomgang av standard installasjonsprosedyre. Merk at du på slutten blir bedt om å restarte maskinen. Dette må gjøres for at VPN-programvaren skal fungere korrekt. 5

6 6 VPN for ansatte ved Høgskolen i Gjøvik

7 Kombinasjon av Cisco VPN og F-Secure Antivirus Dersom F-Secure antivirus/sikkerhetsprogramvare er installert på maskinen, må du i tillegg gjøre følgende: Gå inn i Kontrollpanel (Start/Settings/Control Panel) Hvis du får frem kategorivisning, istedenfor klassisk visning som vist i bildet over, velg Switch to classic view på venstre side i vinduet. Gå inn i Administrative Tools Gå inn i Computer Management Velg Device Manager fra kategorilisten. Fra menyen, velg View/Show hidden devices Finn frem til Non-Plug and Play Drivers Finn vsdatant i denne kategorien, høyreklikk på dette, og velg Disable Etter dette må maskinen startes på nytt.. 7

8 3.1.2 Konfigurasjon av VPN klient: Ved konfigurasjon og bruk av VPN klienten / oppkoblingen, er det forskjell på bruksmåte og oppsett avhengig av hva slags tilkobling du har mot internett. Ved bruk av ADSL oppkobling eksisterer det to forskjellige måter selve ADSL koblingen gjøres. Du må derfor vite hvilken av disse to du benytter, for å velge riktig fremgangsmåte. Grunnoppsett av VPN klienten er lik for de to oppkoblingsformene. Start VPN klienten, ikonet finnes normalt på Start-menyen under "Start/Programs/Cisco Systems VPN Client/VPN Client". Du skal få frem et vindu som ligner på figuren under: Det skal i utgangspunktet ikke være satt opp noen oppkoblinger. Vi må derfor starte med å opprette en ny tilkobling. Velg verktøyikonet "New" (kartotekkort med et rødt pluss-tegn på) fra verktøylinjen i programmet. Du får da opp en dialogboks med tomme felter. På feltet "Connection Entry", skriv inn "HiG" På feltet "Description", skriv en beskrivelse.. På feltet "Host", oppgir du adressen "vpn.hig.no" Sørg for at arkfanen "Authentication" er valgt Benytt "Group authentication" På feltet "Name", oppgi gruppenavn "ansatt" eller "fadm" På feltet "Password" oppgir du gruppens passord. Dette får du oppgitt av IT- Tjenesten Gjenta dette passordet på feltet "Confirm password" Med disse innstillingene, skal skjermbildet ditt ligne mye på bildet under. Generelle innstillinger for oppkoblingen er da ferdige, og du kan klikke på knappen "Save" for å lagre innstillingene, og gå tilbake til hovedvinduet. 8

9 Videre konfigurasjon og bruk avhenger av hvilken type oppkobling du har Oppkobling med bridgemodem (PPPoE klient) Den oppkoblingsformen som var vanlig inntil for kort tid siden, var via et såkalt bridgemodem som ikke inneholder en router. Med denne oppkoblingsformen er ADSL modemet "passivt", og selve oppkoblingen gjøres ved at klientprogramvare installeres på datamaskinen, og man må starte denne oppkoblingsprogramvaren for å komme på nett. Telenor Online ADSL var den vanligste leverandøren av denne typen, og bridgemodem oppkobling gjøres med modemtypene: Thomson SpeedTouch 510i levert før mars 2004 TopCom Xplorer 871 ADSL (ikke 871BT) Lucent Cellpipe Alcatel ADSL 1000 Alcatel Speedtouch Home Nokia ADSL modem (de fleste..) Orckit IT-Tjenesten støtter, som gjennom denne dokumentasjonen, bridgemodem oppkobling, men anbefaler ikke denne formen for oppkobling. Har du en slik oppkobling og går til anskaffelse av en bredbåndsrouter, vil bruk og oppkobling bli enklere, og i tillegg gi mulighet for å ha flere maskiner oppkoblet samtidig. En slik router har priser fra ca kr. 350, og hvis du lurer på å benytte trådløs tilknytning starter prisene rundt kr. 600,-. Med bridgemodem oppkobling, kan du ikke benytte deg av muligheten for automatisk VPN-oppkobling ved pålogging, og kan derfor ikke logge direkte på mot domenet ditt. For å koble opp med VPN må du først logge på med en lokal konto, starte VPN oppkoblingen og deretter eventuelt hente opp nettverksstasjoner gjennom et program, script, eller manuelt. Nedlastning av program for oppkobling av nettverksdiskene finner du på adressen Her finner du en fil med navnet "higdiskmounter.exe". Klikk med høyre musetast på filen, og velg "Save as.." (Lagre som..). Lagre filen en plass du finner den igjen enkelt, for eksempel på skrivebordet. Siden det ikke er mulig å benytte de mer avanserte funksjonene i VPN oppkobling med PPPoE bridgemodem, er det ikke nødvendig med ytterligere konfigurasjon av VPN klienten. Du kan da gå videre til oppkobling og bruk, se seksjonen "Oppkobling for PPPoE ADSL modem" for hvordan klienten skal brukes. 9

10 Tillegg for Telenor Online med PPPoE: OBS: Hvis du benytter Telenor ADSL oppkoblingsprogramvaren, vil denne gjøre endringer i oppsettet for nettverkskortet ditt. Disse innstillingene er forskjellige fra de som benyttes ved HIG. Dersom du benytter samme maskin på jobb og hjemme, må du derfor gjøre endringer i oppsettet for nettverk når du skal benytte maskinen hjemme, og når du skal koble maskinen opp igjen på HIG. Veiledningen som følger gjelder for brukere som sitter i domenet "ANSATT". Brukere i FADM bes kontakte IT-Tjenesten for veiledning. Start med å kjøre startpakken til Telenor Online. Når denne er fullført, gå inn i kontrollpanelet ("Start/Settings/Control Panel") og åpne "Network Connections" (Nettverkstilkoblinger i norsk utgave). Klikk med høyre musetast på "Local Area Connection" og velg "Properties". Marker linjen "Internet Protocol (TCP/IP)" ved å klikke en gang på den, og klikk deretter på knappen "Properties". Du vil da få opp nettverkskortets nettverksinstillinger. Her vil innstillingene enten være satt til "Automatisk" (DHCP) eller "Statisk" (brukerdefinert). Hvis innstillingene etter installasjon er satt til automatisk ("Obtain an IP address automatically"), har du et oppsett som kan benyttes både på jobb og hjemme, uten behov for å endre innstillingene ytterligere. Hvis derimot oppsettet er endret til statisk ("Use the following IP address"), må oppsettet endres for å kunne benyttes både hjemme og på jobb. Start med å notere informasjonen som står i feltene for IP adresse, subnet mask, gateway og DNS slik de står. Dersom du i "TCP/IP Properties" dialogen har arkfanene "General" og "Alternate Configuration", er det mulig å sette systemet opp slik at det automatisk skifter innstillinger til å passe hjemme og på jobb. Under arkfanen "General" merker du da av "Obtain an IP address automatically" og "Obtain DNS server address automatically". Gå deretter over til arkfanen "Alternate Configuration" og oppgi innstillingene du noterte tidligere i oppsettet her. Disse innstillingene vil normalt sett ligne mye på de som er vist i eksemplet under. 10

11 Dersom du i "TCP/IP Properties" dialogen ikke finner "Alternate Configuration" vil du måtte gå inn her og endre innstillinger hver gang du skifter mellom jobb og hjemme. Pass derfor på opplysningene som er notert fra denne dialogen. 11

12 Oppkobling med routermodem (kontinuerlig oppkoblet) Det som i dag er den vanligste oppkoblingsformen er en routerbasert oppkobling. Dette innebærer at oppkoblingen din alltid er oppe, uten at du trenger å starte oppkoblingen med et program på datamaskinen. Denne oppkoblingsformen har NextGenTel levert helt siden de kom inn på det norske markedet, det samme gjelder Bluecom og MTU Link. Telenor, Tiscali og Tele2 startet med leveranse av PPPoE oppkobling, og gikk etter hvert over til routeroppkoblet ADSL. Har du en Telenor Online ADSL som er levert etter mars 2004, har du med veldig stor sannsynlighet en routeroppkobling. Routermodemer som er levert av Telenor og Tele2 inkluderer: Thomson SpeedTouch 546T Thomson SpeedTouch 510i levert etter mars 2004 TopCom Explorer 871BT Netopia (alle modeller) Jensen ADSL Router Har du "oppgradert" et eldre ADSL abonnement med en trådløs løsning, så har du en routeroppkobling. Det samme gjelder dersom du kan koble til flere datamaskiner mot nett samtidig, uten å installere spesiell programvare. Hvis din bredbåndstilkobling er kontinuerlig påkoblet, slik den er med router-oppkobling, kan du benytte dette til å få en fullverdig domenepålogging. Mens du er innlogget med din lokale brukerkonto, gå inn i VPN-klienten. Der finner du menyvalget "Options" (se bilde). I denne menyen velger du "Windows Logon Properties". I dialogen som kommer opp, krysser du av for "Enable start before logon". Dette valget gjør at VPN-klienten vil starte automagisk når du senere trykker <Ctrl><Alt><Del> for å logge på. Valget "Disconnect VPN Connection when logging off" er valgfri, men det er opplevd at avlogging tar mye lengre tid når denne opsjonen er valgt. 12

13 3.1.3 VPN oppkobling og bruk: OBS: Brukere av "Offline Folders" og brukere av Trådløs oppkobling! Vær klar over at dersom du benytter deg av et trådløst nett som krever brukergodkjenning, for eksempel det trådløse nettet "HIG-W" ved HiG, må du først logge på med en lokal bruker, og logge deg på det trådløse nettet, før du kan starte VPN klienten. Dersom du ønsker å benytte fullverdig domenepålogging med en slik trådløs løsning må du først gjøre lokal pålogging og aktivering av nett, deretter logge av logge på igjen med VPN. Brukere av "Offline folders" kan oppleve problemer med tilgang til, og synkronisering av de stasjonene som er satt som "Offline folders" ved pålogging med vanlig domenekonto. Hvis du opplever slike problemer, anbefales det at du bruker lokal pålogging, slik som for PPPoE oppkobling Oppkobling for PPPoE ADSL modem For å kunne benytte VPN når du har bridgemodem ADSL, må du logge på med, og arbeide med en lokal brukerkonto. Etter pålogging starter du oppkoblingen for ADSL slik at du er koblet mot internett. Når internettkoblingen din er oppe og går, starter du VPN klientprogrammet som du normalt finner under "Start/Programs/Cisco Systems VPN Client/VPN Client". Pass på å markere "Connection Entry" linjen for "HIG", som vi opprettet under gjennomgangen av oppsett. Klikk deretter på knappen "Connect" (en kontakt med en pil over) på verktøylinjen. Programmet vil da starte og kommunisere med VPN server, og så vise "User Authentication" vinduet. Her oppgir du brukernavn og passord som du vanligvis benytter for å logge på med domenepålogging på jobb. 13

14 Når brukernavn og passord er oppgitt, klikker du knappen "OK". Når brukergodkjenning er fullført vil VPN klientprogrammet forsvinne fra skjermen, og du vil få et lite ikon som viser en hengelås på oppgavelinjen, ved klokken. Selve oppkoblingen er da fullført. Tilgang til nettverksdisker og slikt er ikke klargjort, se egen seksjon for informasjon om dette Oppkobling for Routeroppkoblet bredbånd Hvis du benytter trådløs nettverkstilknytning, eller har "Offline folders" satt opp på maskinen din, les seksjonen "OBS: Brukere av..." før du fortsetter. I beskrivelsen her tar vi utgangspunkt i at du benytter funksjonen for start av VPN før pålogging. Dersom du ikke ønsker å benytte denne funksjonen (for eksempel for å redusere påloggingstid), følg anvisningen for oppkobling ved bruk av PPPoE over. Når du har aktivert start av VPN før pålogging, vil VPN klienten starte opp idet du trykker <Ctrl><Alt><Del> for å starte påloggingen. Ved første pålogging etter at maskinen har blitt slått på, vil det komme opp en boks som informerer om at VPN klienten venter på at nettverket skal bli klart. Dersom du ønsker å logge på med lokal bruker, eller er tilkoblet kablet nett ved HiG, kan du klikke "Cancel" i denne dialogboksen. Når du trykker <Ctrl><Alt><Del> vil altså VPN klienten starte opp. Når nettverket er klart, vil klientens brukergrensesnitt komme i nedre venstre hjørne på skjermen (Dersom du vil logge på lokalt, eller maskinen er tilkoblet kablet nett på HIG, gjør du ingenting med denne..). Sørg her for at "HIG" elementet som vi opprettet tidligere er valgt, og klikk knappen "Connect". Du skal da få frem spørsmål om brukernavn og passord for VPN koblingen. Oppgi ditt brukernavn på formen brukeren@ansatt.hig.no eller brukeren@fadm.hig.no, og passordet du bruker ved domenepålogging, og klikk "OK". Når VPN påloggingen er fullført kan du fortsette pålogging på normalt vis ved å oppgi brukernavn, passord og domene i Windows påloggingsvinduet. Alle diskene dine skal være tilgjengelige etter pålogging, uten at noe mer trenger å gjøres. Hvis du allikevel mangler noen av diskene, for eksempel S: når du logger på på denne måten, ta da kontakt med IT-Tjenesten. 14

15 3.2 Få opp nettverksdisker som H:/F:/P:/V:/S:/W: Dersom du benytter routeroppkoblet ADSL og starter VPN klienten før pålogging mot domene, så skal alle diskene dine være tilgjengelige uten at noe mer trenger å gjøres. Hvis du allikevel mangler noen av diskene, for eksempel S: når du logger på på denne måten, ta da kontakt med IT-Tjenesten. Hvis du ikke benytter deg av funksjonen for domenepålogging via VPN, for eksempel fordi du har bridgemodem oppkobling, så er ikke diskene tilgjengelige etter at du logger på med lokal brukerkonto. For da å få tilgang til nettverksdiskene kan du enten manuelt hente opp disse stasjonene (se egen veiledning), eller du kan benytte programmet "HIGDiskMounter". Dette programmet ligger tilgjengelig for nedlastning på adressen: Høyreklikk på linken til filen "higdiskmounter.exe" og velg "Save as..". Plasser filen på en lett tilgjengelig plass, for eksempel Skrivebordet. Filen du laster ned skal få HIG-logoen som ikon. Når du dobbeltklikker på ikonet, vil du få frem en boks som spør deg etter brukernavn, passord og domene. Fyll inn disse opplysningene, pass på at du velger rett domene (ANSATT eller FADM). Deretter klikker du på knappen "Koble til" for å hente opp diskene. Dersom du etter en ventetid får opp en feilmelding, les feilmeldingen for å se om det er noe du har "bommet" på. Dersom du får opp en feilmelding du mener du ikke har mulighet til å gjøre noe med selv, send en mail til med feil-teksten, samt tallverdien for "err #" fra feilmeldingen. Når du er "ferdig" med din arbeidssesjon, er det viktig at du kobler fra nettverksdiskene før du avslutter VPN klienten. Dette gjør du enklest ved å starte "HIGDiskMounter" på nytt, oppgi brukernavn, passord og domene, og deretter klikke på "Koble fra" knappen. 15

16 4 Hvordan begynner jeg å bruke Thales VPN løsning? Enkelt og greit: ta kontakt med IT-tjenesten. 16