Progetto Remote Access

Transcript

1 DIVISIONE SISTEMI INFORMATIVI Sistemi Informativi Progetto Remote Access Documentazione Utente VPN Client-To-Site (V. 2.6 del 07 Aprile 2016) Pagina 1 di 49

2 Indice generale 1 INTRODUZIONE POSTAZIONI DI LAVORO SCENARI DI UTILIZZO OVERVIEW DELLA NUOVA MODALITÀ DI ACCESSO VPN CLIENT-TO-SITE DIPENDENTE BMED POSTAZIONE GESTITA DAL PRESIDIO DESKTOP MANAGEMENT CEDACRI CONNESSIONE CON WINDOWS Primo accesso e accessi successivi PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON WINDOWS Installazione dei requisiti software e primo accesso Accessi successivi PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON MAC OS X Installazione dei requisiti software e primo accesso Accessi successivi PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON ANDROID Installazione dei requisiti software e primo accesso Accessi successivi PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON APPLE IOS Installazione dei requisiti software e primo accesso Accessi successivi CONSULENTE BMED PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON WINDOWS PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON MAC OS X PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON ANDROID PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON APPLE IOS Pagina 2 di 49

3 1 Introduzione 1.1 Postazioni di lavoro Il presente documento descrive i requisiti e le modalità di accesso da remoto tramite VPN C2S con le seguenti tipologie di postazioni di lavoro: PC Windows 7/8.1/10 con l utilizzo dei browser Internet Explorer 11 o Firefox per attivare la VPN C2S. o I browser Internet Explorer delle precedenti versioni (IE 8/9/10) non sono supportati da Microsoft e di conseguenza anche da Check Point (firewall che gestisce la VPN C2S). Risultano comunque funzionare pur non potendo gestire eventuali escalation ai servizi di supporto dei Vendor. o Il browser di riferimento per l attivazione della VPN C2S è Internet Explorer 11 (in distribuzione alle postazioni di lavoro dei Dipendenti BMED). o Dopo l attivazione della VPN C2S sono utilizzabili altri browser per collegarsi ad altri servizi Web. o Non è più necessario utilizzare il file hosts. PC Mac OS X 10.x con l utilizzo dei browser Safari o Firefox per attivare la VPN C2S. o Il browser di riferimento per l attivazione della VPN C2S è Safari. o Dopo l attivazione della VPN C2S sono utilizzabili altri browser per collegarsi ad altri servizi Web. o Non è più necessario utilizzare il file hosts. Smartphone e Tablet Android e Apple ios con specifiche App per gestire le VPN C2S. o Android 4.0 o versioni successive. o Apple ios 7.0 o versioni successive. Pagina 3 di 49

4 1.2 Scenari di utilizzo L accesso in modalità VPN C2S avviene tramite la URL ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Sono previste le seguenti casistiche in funzione dell Utente e della postazione di lavoro: Postazione di lavoro Postazione Windows gestita dal presidio Desktop Management CEDACRI che effettua l installazione dei requisiti software senza l intervento dell Utente. Postazione Windows gestita dall Utente che effettua autonomamente l installazione dei requisiti software. Sono necessari i diritti da amministratore di sistema. Postazione Mac OS X gestita dall Utente che effettua autonomamente l installazione dei requisiti software. Sono necessari i diritti da amministratore di sistema. Dispositivi Smartphone e Tablet Android e Apple ios gestiti dall Utente che effettua autonomamente l installazione e la configurazione delle specifiche App. Dipendente BMED Vedi par. 2.1 Vedi par. 2.2 Vedi par. 2.3 Vedi par. 2.4 e 2.5 Consulente BMED Non previsto Vedi par. 2.2 Vedi par. 2.3 Vedi par. 2.4 e 2.5 Pagina 4 di 49

5 1.3 Overview della nuova modalità di accesso VPN Client-to-Site Di seguito una overview sull utilizzo della nuova modalità di accesso VPN Client-to-Site (C2S): 1) chiudere il vecchio client SecuRemote, se attivo; 2) accedere tramite Internet Explorer o Safari (per l autenticazione è certificato solo questa tipologia di browser, dopo potranno essere utilizzati anche altri browser): 3) collegarsi al sito l accesso è consentito solo fuori dalla rete interna di Banca Mediolanum; 4) verrà aperta una finestra di pop up in cui dovranno essere inserite le credenziali di dominio, senza il suffisso GBM\ 5) nel caso in cui il browser abbia il blocco dei pop-up, cambiare le impostazioni solo per questo sito permanentemente; 6) dovrà essere autorizzata l installazione del plugin web. Dopo l autenticazione il plugin attiva la VPN e si viene connessi all interno della rete di Banca Mediolanum e non sarà più necessario utilizzare il file hosts. Pagina 5 di 49

6 2 Dipendente BMED 2.1 Postazione gestita dal presidio Desktop Management CEDACRI Connessione con Windows Primo accesso e accessi successivi Da Internet Explorer 11 (o 8) digitare la URL ed effettuare il login con le proprie credenziali di dominio, senza il o GBM\, nel pop-up SSL Network Extender : Ad autenticazione avvenuta la VPN C2S si attiva con la seguente evidenza: Pagina 6 di 49

7 Note operative: L accesso in modalità VPN C2S avviene tramite la URL ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Non attivare contemporaneamente la vecchia (VPN IPsec) e nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 7 di 49

8 2.2 Predisposizione dei requisiti e prima connessione con Windows Installazione dei requisiti software e primo accesso Configurazione di Internet Explorer 11 Da Internet Explorer 11 digitare la URL ed effettuare il login con le proprie credenziali di dominio, senza il o GBM\, nel pop-up SSL Network Extender : Automaticamente il firewall Check Point richiede l installazione del client SSL/VPN (ActiveX) con la seguente segnalazione: Pagina 8 di 49

9 Premere Installa e consentire l esecuzione del programma SSL Network Extender con la seguente evidenza dell avanzamento dell installazione: Infine consentire la connessione con il firewall Check Point rispondente al Canonical-Name access.mediolanum.it: Al termine la VPN C2S si attiva con la seguente evidenza: Pagina 9 di 49

10 Pagina 10 di 49

12 Configurazione di Firefox L utilizzo del browser Firefox richiede l installazione di Java Runtime aggiornato all ultima versione disponibile; l immagine seguente rappresenta lo stato alla data del presente documento: L aggiornamento di Java Runtime si effettua dal Pannello di controllo Java, tab Aggiorna, come da esempio seguente: Pagina 12 di 49

13 Da Firefox digitare la URL ed effettuare il login con le proprie credenziali di dominio, senza il o GBM\, nel pop-up SSL Network Extender ; eventualmente consentire i pop-up dal sito access.mediolanum.it: Automaticamente il firewall Check Point richiede l installazione del client SSL/VPN (Java). Ne consegue la seguente segnalazione per consentire l esecuzione del programma java: Pagina 13 di 49

14 Consentire sempre l esecuzione del programma Java dal sito Consentire l esecuzione del programma Check Point Deployment-Agent : Consentire l accesso del sito all applicazione Check Point Deployment- Agent : Pagina 14 di 49

15 Effettuare il trust del firewall Check Point che risponde alla URL La configurazione iniziale di Firefox si conclude con l attivazione della VPN C2S: Pagina 15 di 49

17 2.2.2 Accessi successivi Da Internet Explorer 11 digitare la URL ed effettuare il login con le proprie credenziali di dominio, senza il o GBM\, nel pop-up SSL Network Extender : Ad autenticazione avvenuta la VPN C2S si attiva con la seguente evidenza: Pagina 17 di 49

19 2.3 Predisposizione dei requisiti e prima connessione con Mac OS X Installazione dei requisiti software e primo accesso Configurazione di Safari Inizialmente è necessario aggiungere la URL nella lista delle eccezioni dei siti di Java, quindi dal Java Control Panel, tab Security, cliccare il pulsante Edit Site List : Nella finestra Exception Site List, cliccare sul pulsante Add e inserire la URL nel campo Location come nell esempio sottostate, in seguito chiudere entrambe le finestre cliccando sul pulsante OK : Pagina 19 di 49

20 Avviare Safari e cliccare su Safari e poi su Preferences, tab Security, e deselezionare Block pop-up windows (operazione necessaria): Da Safari digitare la URL per il momento chiudere la finestra SSL Network Extender che si apre automaticamente e cliccare nuovamente il link Safari e poi su Preferences, tab Security. Cliccare il pulsante Plug-in Settings e, in Configured Websites, cliccare sul menù a tendina a fianco di access.mediolanum.it e selezionare Run in Unsafe Mode : Pagina 20 di 49

21 Cliccare il pulsante Trust nell alert che compare: Apparirà un triangolo grigio con un punto esclamativo nel menù a tendina a fianco di access.mediolanum.it: Chiudere la finestra con il tasto Done ed in seguito chiudere la finestra delle preferenze di Safari. Pagina 21 di 49

22 Da Safari, all URL premere il pulsante Open SSL Network Extender window al centro della pagina oppure, se quest ultimo non è presente, ricaricare la pagina; ricomparirà la finestra di login: Inserire le proprie credenziali di dominio, senza il o GBM\, e premere il pulsante OK, inizierà il caricamento dell Applet. Pagina 22 di 49

23 Premere il pulsante Run alla richiesta di avvio dell applicazione ( Do you want to run this apllication? ), eventualmente selezionando l opzione Do not show this again for apps from the publisher and location above in modo da non visualizzare nuovamente l avviso nelle connessioni successive: Cliccare Allow al successivo Security Warning, anche in questo caso selezionando l opzione Do not show this again for this app and web site in modo da non visualizzare nuovamente l avviso nelle connessioni successive: Pagina 23 di 49

24 Cliccare Trust server al successivo avviso, ma in questo caso non selezionare l opzione Always ask me for this web site in quanto verrebbe richiesto ad ogni connessione di eseguire il trust del server: Successivamente verrà richiesto di inserire le credenziali di root del sistema, necessarie per installare il client SNX: Pagina 24 di 49

25 Inserirle ed attendere la fine dell installazione del client (Nota: non verrà visualizzato alcun avviso di inizio ne di termine dell installazione). Al termine dell installazione, il client si connetterà automaticamente e la VPN C2S sarà attiva: Note operative: L accesso in modalità VPN C2S avviene tramite la URL ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Non attivare contemporaneamente la vecchia (VPN IPsec) e nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 25 di 49

26 Configurazione di Firefox Da Firefox digitare la URL ed effettuare il login con le proprie credenziali di dominio, senza il o GBM\, nel pop-up SSL Network Extender ; eventualmente consentire i pop-up dal sito access.mediolanum.it: Pagina 26 di 49

27 Automaticamente il firewall Check Point richiede l installazione del client SSL/VPN (Java). Ne consegue la seguente segnalazione per consentire l esecuzione del programma Java; proseguire cliccando sul pulsante Allow : Consentire sempre l esecuzione del programma Java dal sito cliccando sul pulsante Allow and remember : Pagina 27 di 49

28 Consentire l esecuzione del programma Check Point Deployment-Agent cliccando sul tasto Allow e selezionando l opzione Do not show this again for this app and web site in modo da non visualizzare nuovamente l avviso nelle connessioni successive: Successivamente verrà richiesto di inserire le credenziali di root del sistema, necessarie per installare il client SNX: Inserirle ed attendere la fine dell installazione del client (Nota: non verrà visualizzato alcun avviso di inizio ne di termine dell installazione). Pagina 28 di 49

29 Al termine dell installazione, il client si connetterà automaticamente e la VPN C2S sarà attiva: Note operative: L accesso in modalità VPN C2S avviene tramite la URL ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Non attivare contemporaneamente la vecchia (VPN IPsec) e nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 29 di 49

30 2.3.2 Accessi successivi Da Safari (o Firefox) digitare la URL ed effettuare il login con le proprie credenziali di dominio, senza il o GBM\, nel pop-up SSL Network Extender : Ad autenticazione avvenuta la VPN C2S si attiva con la seguente evidenza: Pagina 30 di 49

32 2.4 Predisposizione dei requisiti e prima connessione con Android Installazione dei requisiti software e primo accesso Installare la App Check Point Capsule VPN dallo store Google: ATTENZIONE: esiste anche una App con il nome Capsule Connect, lo stesso nome della App per ios, che però ha altre funzionalità non adatte allo scenario di utilizzo BMED. Pagina 32 di 49

33 Configurazione automatica Android - Metodo 1 Con il browser del dispositivo collegarsi alla URL e premere ok per consentire l apertura del pop-up: Selezionare il link Link to automatically create the site in Capsule APP (ios or Android) : Pagina 33 di 49

34 Selezionare Yes proceed per consentire la configurazione automatica della connessione VPN: Digitare le credenziali di dominio, senza il o GBM\, per attivare la VPN C2S: Pagina 34 di 49

35 Premere OK per consentire l attivazione della VPN C2S: La VPN si attiva con la seguente evidenza: Pagina 35 di 49

36 Mettere in background la App Capsule VPN ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 36 di 49

37 Configurazione manuale Android Metodo 2 Dopo l installazione della App dallo store Android, eseguire la App ed effettuare la prima configurazione con i seguenti parametri: Nome: dichiarare un nome a piacimento; Es.: Banca Mediolanum. Server: access.mediolanum.it Authentication method: scegliere Username e Password e digitare le credenziali di dominio, senza il o GBM\: Pagina 37 di 49

38 Disconnettere la VPN e modificare i parametri di connessione con la funzione di configurazione in alto a destra nella home page della App Capsule VPN. Selezionare Edit Site e modificare il TUNNEL TYPE da IPsec a SSL. Effettuare nuovamente la connessione. Mettere in background la App Capsule VPN ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 38 di 49

39 2.4.2 Accessi successivi Eseguire la App Capsule VPN effettuando il login con le credenziali di dominio, senza il o GBM\: Mettere in background la App Capsule VPN ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 39 di 49

40 2.5 Predisposizione dei requisiti e prima connessione con Apple ios Installazione dei requisiti software e primo accesso Installare la App Check Point Capsule Connect dallo store Apple: Pagina 40 di 49

41 Configurazione automatica ios Metodo 1 Con il browser del dispositivo collegarsi alla URL e premere Chiudi per ignorare l apertura del pop-up: Pagina 41 di 49

42 Selezionare il link Link to automatically create the site in Capsule APP (ios or Android) : Pagina 42 di 49

43 Selezionare Apri per consentire l esecuzione della App Capsule Connect: Pagina 43 di 49

44 Premere Yes per consentire la configurazione della VPN C2S: Pagina 44 di 49

45 La VPN si attiva con la seguente evidenza: Mettere in background la App Capsule Connect ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 45 di 49

46 Configurazione manuale ios Metodo 2 Dopo l installazione della App dallo store Apple, eseguire la App ed effettuare la prima configurazione con i seguenti parametri: Nome: dichiarare un nome a piacimento; Es.: Banca Mediolanum. Server: access.mediolanum.it Authentication method: scegliere Username e Password e digitare le credenziali di dominio, senza il o GBM\: Disconnettere la VPN e modificare i parametri di connessione tramite la i a fianco del nome del sito. Selezionare Edit Site e modificare il TUNNEL TYPE da IPsec a SSL. Pagina 46 di 49

47 Effettuare nuovamente la connessione. Mettere in background la App Capsule Connect ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 47 di 49

48 2.5.2 Accessi successivi Lanciare la App Capsule Connect effettuando il login con le credenziali di dominio, senza il o GBM\: Mettere in background la App Capsule Connect ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 48 di 49

49 3 Consulente BMED 3.1 Predisposizione dei requisiti e prima connessione con Windows Vedi par Predisposizione dei requisiti e prima connessione con Mac OS X Vedi par Predisposizione dei requisiti e prima connessione con Android Vedi par Predisposizione dei requisiti e prima connessione con Apple ios Vedi par. 2.5 Pagina 49 di 49