Progetto Remote Access

DIVISIONE SISTEMI INFORMATIVI Sistemi Informativi Progetto Remote Access Documentazione Utente VPN Client-To-Site (V. 2.11 del 16 Maggio 2016) Pagina 1 di 51

Indice generale 1 INTRODUZIONE... 3 1.1 POSTAZIONI DI LAVORO... 3 1.2 SCENARI DI UTILIZZO... 4 1.3 OVERVIEW DELLA NUOVA MODALITÀ DI ACCESSO VPN CLIENT-TO-SITE... 5 2 DIPENDENTE BMED... 6 2.1 POSTAZIONE GESTITA DAL PRESIDIO DESKTOP MANAGEMENT CEDACRI CONNESSIONE CON WINDOWS... 6 2.1.1 Shutdown del client SecuRemote... 6 2.1.2 Primo accesso e accessi successivi... 7 2.2 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON WINDOWS... 9 2.2.1 Installazione dei requisiti software e primo accesso... 9 2.2.2 Accessi successivi... 19 2.3 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON MAC OS X... 21 2.3.1 Installazione dei requisiti software e primo accesso... 21 2.3.2 Accessi successivi... 32 2.4 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON ANDROID... 34 2.4.1 Installazione dei requisiti software e primo accesso... 34 2.4.2 Accessi successivi... 41 2.5 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON APPLE IOS... 42 2.5.1 Installazione dei requisiti software e primo accesso... 42 2.5.2 Accessi successivi... 50 3 CONSULENTE BMED... 51 3.1 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON WINDOWS... 51 3.2 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON MAC OS X... 51 3.3 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON ANDROID... 51 3.4 PREDISPOSIZIONE DEI REQUISITI E PRIMA CONNESSIONE CON APPLE IOS... 51 Pagina 2 di 51

1 Introduzione 1.1 Postazioni di lavoro Il presente documento descrive i requisiti e le modalità di accesso da remoto tramite VPN C2S con le seguenti tipologie di postazioni di lavoro: PC Windows 7/8.1/10 con l utilizzo dei browser Internet Explorer 11 o Firefox per attivare la VPN C2S. o Il browser di riferimento per l attivazione della VPN C2S è Internet Explorer 11 (in distribuzione alle postazioni di lavoro dei Dipendenti BMED). o I browser Internet Explorer delle precedenti versioni (IE 8/9/10) non sono supportati da Microsoft e di conseguenza anche da Check Point (firewall che gestisce la VPN C2S). Risultano comunque funzionare pur non potendo gestire eventuali escalation ai servizi di supporto dei Vendor. o Dopo l attivazione della VPN C2S sono utilizzabili altri browser per collegarsi ad altri servizi Web. o L attivazione della VPN C2S predispone l utilizzo di un DNS e non è più necessario utilizzare il file hosts. PC Mac OS X 10.x con l utilizzo dei browser Safari o Firefox per attivare la VPN C2S. o Il browser di riferimento per l attivazione della VPN C2S è Safari. o Dopo l attivazione della VPN C2S sono utilizzabili altri browser per collegarsi ad altri servizi Web. o L attivazione della VPN C2S predispone l utilizzo di un DNS e non è più necessario utilizzare il file hosts. Smartphone e Tablet Android e Apple ios con specifiche App per gestire le VPN C2S. o Android 4.0 o versioni successive. o Apple ios 7.0 o versioni successive. Pagina 3 di 51

1.2 Scenari di utilizzo L accesso in modalità VPN C2S avviene tramite la URL https://access.mediolanum.it ed è utilizzabile esclusivamente dall esterno della rete Mediolanum; dalla rete interna la URL non è raggiungibile. L attivazione della VPN C2S è certificata solo con Internet Explorer, Firefox o Safari; dopo l attivazione potranno essere utilizzati anche altri browser. Sono previsti i seguenti scenari di utilizzo in funzione dell Utente e della postazione di lavoro: Postazione di lavoro Dipendenti Mediolanum senza diritti amministrativi sulla propria postazione Dipendente BMED Vedi par. 2.1 Consulente BMED Non applicabile Utenti con diritti amministrativi sulla propria postazione Windows Vedi par. 2.2 Utenti con diritti amministrativi sulla propria postazione Mac OS X Vedi par. 2.3 Dispositivi Smartphone e Tablet Android gestiti dall utente Vedi par. 2.4 Dispositivi Smartphone e Tablet Apple ios gestiti dall utente Vedi par. 2.5 Pagina 4 di 51

1.3 Overview della nuova modalità di accesso VPN Client-to-Site Di seguito una overview sull utilizzo della nuova modalità di accesso VPN Client-to-Site (C2S): 1) chiudere e disabilitare il vecchio client SecuRemote, se attivo; 2) accedere tramite Internet Explorer, Firefox o Safari; l attivazione della VPN è certificata solo con questa tipologia di browser e dopo l attivazione potranno essere utilizzati anche altri browser: 3) collegarsi al sito https://access.mediolanum.it; l accesso è consentito solo fuori dalla rete interna di Banca Mediolanum, dalla rete interna la URL non è raggiungibile; 4) verrà aperta una finestra di pop up in cui dovranno essere inserite le credenziali di dominio, senza il suffisso GBM\ o @xxxxxx.mediolanum.it; 5) nel caso in cui il browser abbia il blocco dei pop-up, cambiare le impostazioni solo per questo sito permanentemente; 6) dovrà essere autorizzata l installazione del plugin web; 7) finché si utilizza la VPN, non chiudere il pop-up SSL Network Extender. Dopo l autenticazione il plugin attiva la VPN e si viene connessi all interno della rete di Banca Mediolanum e non sarà più necessario utilizzare il file hosts. Pagina 5 di 51

2 Dipendente BMED 2.1 Postazione gestita dal presidio Desktop Management CEDACRI Connessione con Windows 2.1.1 Shutdown del client SecuRemote Cliccare nella notification bar Windows per visualizzare le icone. Cliccare col tasto destro sull icona del client SecuRemote e selezionare Shutdown Client. Cliccare Yes. Pagina 6 di 51

2.1.2 Primo accesso e accessi successivi Da Internet Explorer 11 (o 8) digitare la URL https://access.mediolanum.it ed effettuare il login con le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, nel pop-up SSL Network Extender : Ad autenticazione avvenuta la VPN C2S si attiva con la seguente evidenza: Note operative: L accesso in modalità VPN C2S avviene tramite la URL https://access.mediolanum.it ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Pagina 7 di 51

Non attivare contemporaneamente la vecchia (VPN IPsec basata sul client SecuRemote) e la nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 8 di 51

2.2 Predisposizione dei requisiti e prima connessione con Windows 2.2.1 Installazione dei requisiti software e primo accesso 2.2.1.1 Disabilitazione client SecuRemote Shutdown del client SecuRemote Cliccare nella notification bar Windows per visualizzare le icone. Cliccare col tasto destro sull icona del client SecuRemote e selezionare Shutdown Client. Cliccare Yes. Disabilitare il servizio all avvio della postazione Avviare il programma services.msc dal menu Start di Windows. Pagina 9 di 51

Doppio click sul servizio Check Point Endpoint Security VPN per accedere alle proprietà. Selezionare Disabilitato come Tipo di Avvio (1), premere Applica (2), premere Interrompi (3) e premere OK (4). Pagina 10 di 51

2.2.1.2 Configurazione di Internet Explorer 11 Da Internet Explorer 11 digitare la URL https://access.mediolanum.it ed effettuare il login con le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, nel pop-up SSL Network Extender : Automaticamente il firewall Check Point richiede l installazione del client SSL/VPN (ActiveX) con la seguente segnalazione: Premere Installa e consentire l esecuzione del programma SSL Network Extender con la seguente evidenza dell avanzamento dell installazione: Pagina 11 di 51

Infine consentire la connessione con il firewall Check Point rispondente al Canonical-Name access.mediolanum.it: Al termine la VPN C2S si attiva con la seguente evidenza: Pagina 12 di 51

Note operative: L accesso in modalità VPN C2S avviene tramite la URL https://access.mediolanum.it ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Non attivare contemporaneamente la vecchia (VPN IPsec basata sul client SecuRemote) e la nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 13 di 51

2.2.1.3 Configurazione di Firefox L utilizzo del browser Firefox, in alternativa a Internet Explorer 11, richiede l installazione di Java Runtime aggiornato all ultima versione disponibile; l immagine seguente rappresenta lo stato alla data del presente documento: L aggiornamento di Java Runtime si effettua dal Pannello di controllo Java, tab Aggiorna, come da esempio seguente: Pagina 14 di 51

Da Firefox digitare la URL https://access.mediolanum.it ed effettuare il login con le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, nel pop-up SSL Network Extender ; eventualmente consentire i pop-up dal sito access.mediolanum.it: Automaticamente il firewall Check Point richiede l installazione del client SSL/VPN (Java). Ne consegue la seguente segnalazione per consentire l esecuzione del programma java (premere Attiva ): Pagina 15 di 51

Consentire sempre l esecuzione del programma Java dal sito https://access.mediolanum.it: Consentire l esecuzione del programma Check Point Deployment-Agent : Consentire l accesso del sito https://access.mediolanum.it all applicazione Check Point Deployment- Agent : Pagina 16 di 51

Effettuare il trust del firewall Check Point che risponde alla URL http://access.mediolanum.it: La configurazione iniziale di Firefox si conclude con l attivazione della VPN C2S: Pagina 17 di 51

2.2.2 Accessi successivi Da Internet Explorer 11, o Firefox come alternativa, digitare la URL https://access.mediolanum.it ed effettuare il login con le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, nel pop-up SSL Network Extender : Ad autenticazione avvenuta la VPN C2S si attiva con la seguente evidenza: Pagina 19 di 51

2.3 Predisposizione dei requisiti e prima connessione con Mac OS X 2.3.1 Installazione dei requisiti software e primo accesso 2.3.1.1 Configurazione di Safari Inizialmente è necessario aggiungere la URL https://access.mediolanum.it nella lista delle eccezioni dei siti di Java, quindi dal Java Control Panel, tab Security, cliccare il pulsante Edit Site List : Nella finestra Exception Site List, cliccare sul pulsante Add e inserire la URL https://access.mediolanum.it nel campo Location come nell esempio sottostante, in seguito chiudere entrambe le finestre cliccando sul pulsante OK : Pagina 21 di 51

Avviare Safari e cliccare su Safari e poi su Preferences, tab Security, e deselezionare Block pop-up windows (operazione necessaria): Da Safari digitare la URL https://access.mediolanum.it, per il momento chiudere la finestra SSL Network Extender che si apre automaticamente e cliccare nuovamente il link Safari e poi su Preferences, tab Security. Cliccare il pulsante Plug-in Settings e, in Configured Websites, cliccare sul menù a tendina a fianco di access.mediolanum.it e selezionare Run in Unsafe Mode : Pagina 22 di 51

Cliccare il pulsante Trust nell alert che compare: Apparirà un triangolo grigio con un punto esclamativo nel menù a tendina a fianco di access.mediolanum.it: Chiudere la finestra con il tasto Done ed in seguito chiudere la finestra delle preferenze di Safari. Pagina 23 di 51

Da Safari, all URL https://access.mediolanum.it, premere il pulsante Open SSL Network Extender window al centro della pagina oppure, se quest ultimo non è presente, ricaricare la pagina; ricomparirà la finestra di login: Inserire le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, e premere il pulsante OK, inizierà il caricamento dell Applet. Pagina 24 di 51

Premere il pulsante Run alla richiesta di avvio dell applicazione ( Do you want to run this apllication? ), eventualmente selezionando l opzione Do not show this again for apps from the publisher and location above in modo da non visualizzare nuovamente l avviso nelle connessioni successive: Cliccare Allow al successivo Security Warning, anche in questo caso selezionando l opzione Do not show this again for this app and web site in modo da non visualizzare nuovamente l avviso nelle connessioni successive: Pagina 25 di 51

Cliccare Trust server al successivo avviso, ma in questo caso non selezionare l opzione Always ask me for this web site in quanto verrebbe richiesto ad ogni connessione di eseguire il trust del server: Successivamente verrà richiesto di inserire le credenziali di root del sistema, necessarie per installare il client SNX: Pagina 26 di 51

Inserirle ed attendere la fine dell installazione del client (Nota: non verrà visualizzato alcun avviso di inizio ne di termine dell installazione). Al termine dell installazione, il client si connetterà automaticamente e la VPN C2S sarà attiva: Note operative: L accesso in modalità VPN C2S avviene tramite la URL https://access.mediolanum.it ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Non attivare contemporaneamente la vecchia (VPN IPsec basata sul client SecuRemote) e la nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 27 di 51

2.3.1.2 Configurazione di Firefox Da Firefox, in alternativa a Safari, digitare la URL https://access.mediolanum.it ed effettuare il login con le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, nel pop-up SSL Network Extender ; eventualmente consentire i pop-up dal sito access.mediolanum.it: Pagina 28 di 51

Automaticamente il firewall Check Point richiede l installazione del client SSL/VPN (Java). Ne consegue la seguente segnalazione per consentire l esecuzione del programma Java; proseguire cliccando sul pulsante Allow : Consentire sempre l esecuzione del programma Java dal sito https://access.mediolanum.it cliccando sul pulsante Allow and remember : Pagina 29 di 51

Consentire l esecuzione del programma Check Point Deployment-Agent cliccando sul tasto Allow e selezionando l opzione Do not show this again for this app and web site in modo da non visualizzare nuovamente l avviso nelle connessioni successive: Successivamente verrà richiesto di inserire le credenziali di root del sistema, necessarie per installare il client SNX: Inserirle ed attendere la fine dell installazione del client (Nota: non verrà visualizzato alcun avviso di inizio ne di termine dell installazione). Pagina 30 di 51

Al termine dell installazione, il client si connetterà automaticamente e la VPN C2S sarà attiva: Note operative: L accesso in modalità VPN C2S avviene tramite la URL https://access.mediolanum.it ed è utilizzabile esclusivamente dall esterno della rete Mediolanum. Dalla rete interna la URL non è raggiungibile. Non attivare contemporaneamente la vecchia (VPN IPsec basata sul client SecuRemote) e la nuova (SSL/VPN) modalità di accesso VPN C2S. Dopo aver effettuato il login non chiudere il pop-up SSL Network Extender o il browser utilizzato per attivare la VPN C2S. Con la VPN C2S attivata, l Utente può utilizzare altri browser supportati dall applicazione alla quale intende collegarsi. Per disattivare la VPN C2S, premere il pulsante Disconnect nel pop-up SSL Network Extender e chiudere il browser utilizzato per attivare la VPN C2S. Pagina 31 di 51

2.3.2 Accessi successivi Da Safari (o Firefox) digitare la URL https://access.mediolanum.it ed effettuare il login con le proprie credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, nel pop-up SSL Network Extender : Ad autenticazione avvenuta la VPN C2S si attiva con la seguente evidenza: Pagina 32 di 51

2.4 Predisposizione dei requisiti e prima connessione con Android 2.4.1 Installazione dei requisiti software e primo accesso Installare la App Check Point Capsule VPN dallo store Google: https://play.google.com/store/apps/details?id=com.checkpoint.vpn&hl=it ATTENZIONE: esiste anche una App con il nome Capsule Connect, lo stesso nome della App per ios, che però ha altre funzionalità non adatte allo scenario di utilizzo BMED. Pagina 34 di 51

2.4.1.1 Configurazione automatica Android - Metodo 1 Dopo l installazione della App dallo store Android, collegarsi alla URL https://access.mediolanum.it con il browser del dispositivo e premere ok per consentire l apertura del pop-up: Selezionare il link Link to automatically create the site in Capsule APP (ios or Android) : Pagina 35 di 51

Selezionare Yes proceed per consentire la configurazione automatica della connessione VPN: Digitare le credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\, per attivare la VPN C2S: Pagina 36 di 51

Premere OK per consentire l attivazione della VPN C2S: La VPN si attiva con la seguente evidenza: Pagina 37 di 51

Mettere in background la App Capsule VPN ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 38 di 51

2.4.1.2 Configurazione manuale Android Metodo 2 Dopo l installazione della App dallo store Android, eseguire la App ed effettuare la prima configurazione con i seguenti parametri: Nome: dichiarare un nome a piacimento; Es.: Banca Mediolanum. Server: access.mediolanum.it Authentication method: scegliere Username e Password e digitare le credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\: Pagina 39 di 51

Disconnettere la VPN e modificare i parametri di connessione con la funzione di configurazione in alto a destra nella home page della App Capsule VPN. Selezionare Edit Site e modificare il TUNNEL TYPE da IPsec a SSL. Effettuare nuovamente la connessione. Mettere in background la App Capsule VPN ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 40 di 51

2.4.2 Accessi successivi Eseguire la App Capsule VPN effettuando il login con le credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\: Mettere in background la App Capsule VPN ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 41 di 51

2.5 Predisposizione dei requisiti e prima connessione con Apple ios 2.5.1 Installazione dei requisiti software e primo accesso Installare la App Check Point Capsule Connect dallo store Apple: https://itunes.apple.com/it/app/capsule-connect-by-check-point/id506669652?mt=8 Pagina 42 di 51

2.5.1.1 Configurazione automatica ios Metodo 1 Dopo l installazione della App dallo store Apple, collegarsi alla URL https://access.mediolanum.it con il browser del dispositivo e premere Chiudi per ignorare l apertura del pop-up: Pagina 43 di 51

Selezionare il link Link to automatically create the site in Capsule APP (ios or Android) : Pagina 44 di 51

Selezionare Apri per consentire l esecuzione della App Capsule Connect: Pagina 45 di 51

Premere Yes per consentire la configurazione della VPN C2S: Pagina 46 di 51

La VPN si attiva con la seguente evidenza: Mettere in background la App Capsule Connect ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 47 di 51

2.5.1.2 Configurazione manuale ios Metodo 2 Dopo l installazione della App dallo store Apple, eseguire la App ed effettuare la prima configurazione con i seguenti parametri: Nome: dichiarare un nome a piacimento; Es.: Banca Mediolanum. Server: access.mediolanum.it Authentication method: scegliere Username e Password e digitare le credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\: Pagina 48 di 51

Disconnettere la VPN e modificare i parametri di connessione tramite la i a fianco del nome del sito. Selezionare Edit Site e modificare il TUNNEL TYPE da IPsec a SSL. Effettuare nuovamente la connessione. Mettere in background la App Capsule Connect ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 49 di 51

2.5.2 Accessi successivi Lanciare la App Capsule Connect effettuando il login con le credenziali di dominio, senza il suffisso @xxxxxx.mediolanum.it o GBM\: Mettere in background la App Capsule Connect ed effettuare gli accessi alle risorse interne BMED con il browser o con le eventuali App supportate dalle applicazioni BMED. Disconnettere la VPN C2S al termine dell utilizzo. Pagina 50 di 51

3 Consulente BMED 3.1 Predisposizione dei requisiti e prima connessione con Windows Vedi par. 2.2 3.2 Predisposizione dei requisiti e prima connessione con Mac OS X Vedi par. 2.3 3.3 Predisposizione dei requisiti e prima connessione con Android Vedi par. 2.4 3.4 Predisposizione dei requisiti e prima connessione con Apple ios Vedi par. 2.5 Pagina 51 di 51