Utiliser le portail d accès distant pour les personnels de l'insa de LYON

Transcription

1 Utiliser le portail d accès distant pour les personnels de l'insa de LYON La dernière version de ce document est disponible sur le site ftp du CISR en ftp://ftp.univ-lyon1.fr/pub/web-vpn/utiliser_le_portail_personnel_insa.pdf 8.Installation du client Openconnect mobile pour smartphone sous système Android Télécharger un client openconnect compatible avec votre smartphone Connecter un lecteur réseau Sous Système Windows Sous Système Linux (Ubuntu) Se connecter sur un serveur en Terminal Serveur Sous système Windows Sous Système Linux (Ubuntu) ) Configuration des modules ActiveX et Java sur votre navigateur ActiveX avec Internet Explorer Java sous FireFox Java sous Internet Explorer Pour toutes questions ou problèmes relatifs au portail d accès distant, contactez la DSI de l'insa de LYON via le site web du support : Table des matières 1)Authentification...3 2) Page d accueil du portail...4 3) Accéder à la documentation électronique (PORTAIL DOCUMENTAIRE DOC'INSA)...5 4) Déconnexion du portail d accès distant...6 5) Accéder à un serveur Web...7 6) Connecter un lecteur réseau pour ouvrir un répertoire partagé Saisissez le nom du lecteur réseau à connecter : Visualiser la liste des serveurs qui partagent des fichiers Accéder à votre dossier Personnel INSA Accéder à votre dossier Partages INSA ) Se connecter sur un serveur en VNC Connexion sous Internet Explorer 8 avec les modules JAVA & ActiveX activés Connexion sous Internet Explorer 8 avec le module Java sans ActiveX ou FireFox ) Se connecter sur un serveur en Telnet/SSH ) Se connecter sur un serveur en Terminal Serveur ) Installation et utilisation du client Anyconnect sur son poste de travail Installation du client Anyconnect Version 2.5 Version Windows ou MacOSX sur son poste de travail Utilisation du client Anyconnect Version 2.5 sur son poste de travail via l'interface graphique Utilisation du client Anyconnect 2.5 sur son poste de travail en mode commande (CLI)31 4.Installation de l'outil Linux Openconnect (alternative au client anyconnect 2.5 ou 3.1.x) Installation du client Anyconnect Secure Mobility (version 3.x) sous Linux Ubuntu LTS Paquets à installer avant toute installation Récupérer via le portail SSL VPN la version anyconnect en cours Sur votre de poste travail, installer le client anyconnect Installation du client Anyconnect Secure Mobility (version 3.x) en mode CLI Installation du client Anyconnect mobile pour smartphone sous système Android Télécharger un client anyconnect compatible avec votre smartphone...47 CISR / Patrick Jalaguier Version 2 1/64 CISR / Patrick Jalaguier Version 2 2/64

2 1)Authentification Ce nouveau service SSL VPN du CISR pour les personnels de l'insa de Lyon est composé d'un cluster de 2 Ciscos ASA 5510 pour assurer la répartition de charge et la redondance. Il est accessible via l'url suivante : Le portail d accès distant est accessible aux personnes ayant un compte personnel déclaré dans l annuaire de l INSA de Lyon. En cas d'échec de connexion, contactez la DSI de l'insa de LYON via le site web du support : 2) Page d accueil du portail Une fois authentifié, vous accédez à la page d accueil du portail dédié aux personnels de l'insa de Lyon. En fonction de la charge en cours, vous êtes redirigé en https sur : le premier ASA cisr-sslvpn-out1.insa-lyon.fr ou le deuxième cisr-sslvpn-out2.insa-lyon.fr Authentifiez-vous avec votre login et mot de passe de l'authentification centralisée de l'insa de Lyon, sélectionnez le groupe INSA-LYON puis cliquez sur le bouton «Ouvrir session» Différents services vous sont proposés via les boutons localisés à gauche de cette page d'accueil. CISR / Patrick Jalaguier Version 2 3/64 CISR / Patrick Jalaguier Version 2 4/64

3 3) Accéder à la documentation électronique (PORTAIL DOCUMENTAIRE DOC'INSA) Dans la page d accueil du Portail ou sur la page des Applications Web, cliquez sur le lien «Portail Documentaire DOC'INSA» vous accédez au portail documentaire de L'INSA L utilisateur peut désormais accéder aux revues et ouvrages en ligne dont l INSA de Lyon a souscrit un abonnement. L accès aux pages Web se fait en passant par les serveurs proxys de l'insa et du Service Commun de Documentation. Descriptif de l outil de navigation (encerclé en rouge ci-dessus). La flèche à double sens bascule l outil de navigation de la droite à la gauche de l écran. Le panneau permet d'entrer une adresse type URL pour accéder à un site Web L'icône permet de revenir à la page d accueil du portail d accès distant La croix rouge met fin à la session d accès distant (voir point 4 ) 4) Déconnexion du portail d accès distant Si vous cliquez sur la croix rouge de l outil de navigation, vous mettez fin à votre connexion. Si vous cliquez sur le bouton «Déconnexion» de la page d accueil du portail d accès distant, vous fermez votre connexion. CISR / Patrick Jalaguier le 15/04/14 Version 2.1 5/64 CISR / Patrick Jalaguier le 15/04/14 Version 2.1 6/64

4 Vous pouvez ouvrir une nouvelle session en cliquant sur le bouton «Connexion». 6) Connecter un lecteur réseau pour ouvrir un répertoire partagé Ce module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe «Configuration des modules ActiveX et Java sur votre navigateur». Cliquez sur le bouton «Connectez un lecteur réseau» de la page d'accueil du portail. 5) Accéder à un serveur Web Dans la page d accueil du Portail ou sur la page des Applications Web, saisissez dans le champ Adresse le nom du serveur complet puis cliquer sur Parcourir Vous pouvez soit saisir le nom du serveur de fichiers, scanner le réseau Rocad pour lister les serveurs qui partagent des fichiers, accéder directement à votre dossier Personnel INSA ou pointer votre dossier Partages. 1. Saisissez le nom du lecteur réseau à connecter : Rentrer le nom du lecteur réseau à connecter (serveur/répertoire partagé) dans la barre d adresse (la liste déroulante affiche cifs:// pour connecter un lecteur réseau) puis cliquez sur Parcourir La syntaxe pour les répertoires est du type : serveur/répertoire-partagé (Il ne faut pas saisir les caractères «://» car ils seront ajoutés automatiquement à l adresse). CISR / Patrick Jalaguier le 15/04/14 Version 2.1 7/64 CISR / Patrick Jalaguier le 15/04/14 Version 2.1 8/64

5 puis saisissez vos identifiants (login et mot de passe) pour vous authentifier. 2. Visualiser la liste des serveurs qui partagent des fichiers Cliquez sur le bouton à gauche «Connectez un lecteur réseau», puis cliquer sur le lien «Browse Entire Network» Vous accédez ensuite à la liste des fichiers partagés par ce serveur : Le système affiche les domaines par liste alphabétique. Pour visualiser les autres domaines non listés, cliquez sur les différentes flèches présentes dans la barre d'outil. CISR / Patrick Jalaguier le 15/04/14 Version 2.1 9/64 CISR / Patrick Jalaguier le 15/04/14 Version /64

6 4. Accéder à votre dossier Partages INSA 3. Accéder à votre dossier Personnel INSA Cliquez sur le bouton à gauche «Connectez un lecteur réseau», puis cliquez sur le lien «Dossier Personnel Cliquez sur le bouton à gauche «Connectez un lecteur réseau», puis cliquez sur le lien «Dossier Partages» Vous accédez directement à votre dossier personnel localisé sur le serveur de fichiers centralisé de l'insa. Vos identifiants (login : pnom et mot de passe) que vous avez rentré pour accéder au portail d'entrée SSL VPN INSA ont été utilisés pour pointer cette ressource. Vous accédez directement au dossier Partages localisé sur le serveur de fichiers centralisé de l'insa. Vos identifiants (login : pnom et mot de passe) que vous avez rentré pour accéder au portail d'entrée SSL VPN INSA ont été utilisés pour pointer cette ressource. CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

7 7) Se connecter sur un serveur en VNC Ce module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe «Configuration des modules ActiveX et Java sur votre navigateur». Cliquer sur le bouton «VNC Connections», saisissez dans le champ adresse vnc:// le nom du serveur complet ou son adresse ip puis cliquez sur Parcourir Authentifiez-vous pour valider la session VNC sur le serveur distant. 1. Connexion sous Internet Explorer 8 avec les modules JAVA & ActiveX activés Se référer au paragraphe «Configuration des modules ActiveX et Java sur votre navigateur» pour configurer ces modules. L'applet java est lancée, une fenêtre de connexion s'ouvre. Valider l avertissement de sécurité vous indiquant que la signature numérique de l application est erronée en cliquant sur le bouton «Exécuter» CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

8 La session VNC apparaît dans une nouvelle fenêtre : Le module ouvre une interface de connexion au serveur VNC pour l'authentification Cliquez sur le bouton «Disconnect» en haut à gauche (encerclé en rouge ci-dessus) pour mettre fin à la session VNC. Lorsque ceci fonctionne 2. Connexion sous Internet Explorer 8 avec le module Java sans ActiveX ou FireFox Le module Java utilisé par le serveur a parfois un bug lors de l affichage, c est pourquoi il est conseillé aux utilisateurs de choisir Internet Explorer avec le module ActiveX activé. Se référer au paragraphe «Configuration des modules ActiveX et Java sur votre navigateur» pour configurer le module Active X. L'applet java est lancée, une fenêtre de connexion s'ouvre. Validez l avertissement de sécurité vous indiquant que la signature numérique de l application est erronée en cliquant sur le bouton «Exécuter» CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

9 lorsqu'il y a un bug d'affichage 8) Se connecter sur un serveur en Telnet/SSH Ce module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe «Configuration des modules ActiveX et Java sur votre navigateur». Ce client prend en charge ssh version 2.x. Cliquer sur le bouton «Telnet/SSH Servers», saisissez le nom du serveur ou vous voulez ouvrir une session SSH (ou telnet) dans le champ Adresse puis cliquez sur Parcourir. L'icône déroulant affiche ssh:// ou Telnet:// CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

10 Valider l avertissement de sécurité vous indiquant que la signature numérique de l application est erronée en cliquant sur le bouton «Exécuter» RMQ : Pour que le serveur distant autorise les connexions ssh depuis le portail WEB-SSL INSA,vous devez lui indiquer les adresses IP des interfaces internes du WEB-SSL. Pour cela, vous pouvez obtenir ces adresses en cliquant sur le lien «MONIP» via le menu «ApplicationsWEB» Authentifiez-vous sur le serveur SSH distant (ou telnet) La première adresse notée IP indique l'adresse ip du proxy utilisée par le WEB-SSL. La deuxième notée ORIG_IP est l'adresse ip d'une des interfaces internes du WEB-SSL qu'il faudra déclarer sur le serveur ssh pour autoriser la connexion. CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

11 9) Se connecter sur un serveur en Terminal Serveur Puis authentifiez-vous sur le serveur comme pour une connexion «bureau à distance» Ce module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe «Configuration des modules ActiveX et Java sur votre navigateur». Cliquer sur le bouton «Terminal serveurs», saisissez dans le champ adresse rdp:// le nom du serveur complet ou son adresse ip puis cliquez sur Parcourir Valider que vous approuvez la connexion à ce serveur en cliquant sur le bouton «connexion» CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

12 10) Installation et utilisation du client Anyconnect sur son poste de travail Ce programme remplace l ancien client VPN Cisco Ipsec. L utilisation de ce programme est identique au fonctionnement de l ancien VPN, c'est-à-dire qu il va créer un tunnel sécurisé entre votre poste de travail et le serveur d'accès distant. Toutes les autres connexions sur votre poste seront alors coupées à la différence du portail Web ou seule la page du navigateur est dans un tunnel sécurisé. Ce programme s'installe facilement sur les plateformes courantes. En cas de problème, ou si vous souhaitez avoir plus d'informations techniques sur ce client, lisez la Release Notes for Cisco AnyConnect VPN Client..Ce document est aussi disponible sur notre site ftp://ftp.univ-lyon1.fr/pub/web-vpn/clientanyconnect/ ainsi que les dernières versions Anyconnect en cours. La mise à jour IOS des ASAs INSA en avril 2014 permet d'utiliser les nouvelles générations de clients Cisco anyconnect 3.X. Ces clients anyconnect 3.X présentent de nouvelles fonctionnalités pare-feux, outils de diagnostics qui s'installent par défaut et monopolisent de nombreuses ressources systèmes. Nous n'avons pas jugé bon pour l'instant de valider ce client 3.X sous système Windows sur les ASAs INSA car la dernière version anyconnect 2.5, la 6005 est stable, monopolise peu de ressources systèmes et s'installe facilement. Idem pour MacOSX. Par contre pour Linux, une version 3.X est proposée. 1. Installation du client Anyconnect Version 2.5 Version Windows ou MacOSX sur son poste de travail Vous pouvez choisir entre différentes solutions pour installer ce client suivant que vous êtes sous système Windows, MacOSX : 1) Sous Windows en procédant à l'installation avec Internet Explorer : ActiveX sera invoqué (cf paragraphe «Configuration des modules ActiveX et Java sur votre navigateur») 2) Sous MacOs X, Linux ou Windows avec un navigateur web autre que Internet Explorer : Il est nécessaire de disposer de l'environnement Sun Java JRE (ou JDK complet) pour procéder à l'installation. Si vous n'avez pas cet environnement, vous pouvez le télécharger via le lien suivant : Sur la page de garde du portail, cliquer sur le bouton «AnyConnect» puis démarrer l'installation de ce client en cliquant sur le lien «Start AnyConnect» Ce chapitre vous explique comment installer via le portail SSLVPN le client «anyconnect» : version 2.5 sous système Windows, MacOS ou Linux (cf 10)1.) et l'utiliser sur son poste de travail en mode graphique (cf 10)2.) ou en mode CLI (cf 10)3.) version 3.x sous système Linux 32 ou 64 bits et l'utiliser (cf 10)5.) ou alors comment installer une version de ce client autre que celle proposée par le portail en mode CLI sur son poste de travail (cf 10)6.). Le principe de base de l'installation / utilisation du client anyconnect en version 2.5 ou 3.x reste le même. Si la version proposée par le portail SSLVPN ne fonctionne pas sur votre poste de travail, vous avez la possibilité de télécharger via notre site ftp d'autres versions disponibles via l'url ftp://ftp.univ-lyon1.fr/pub/web-vpn/client-anyconnect/betatest/ Si les versions Linux proposées sur notre site ftp ne fonctionnent toujours pas sur votre poste de travail, le 10)4. de ce chapitre vous explique comment installer l'outil libre «Openconnect» qui est une alternative au client cisco anyconnect 2.5 ou 3.x. Les ASAs INSA disposent depuis avril 2014 de licences anyconnect mobiles 3.X pour smartphone ou iphone. Le 10)7. vous indique comment procéder pour télécharger via l'application «PlayStore» de votre smartphone un client anyconnect compatible avec votre téléphone et le configurer avec les ASAs de L'INSA. Si le client anyconnect ne fonctionne pas sur votre smartphone, vous pouvez utilisez l'outil «OpenConnect» présenté au 10)8. Enfin pour terminer, nous vous expliquons une fois votre session anyconnect ou openconnect établie comment : connecter un lecteur réseau à partir d'un poste de travail sous système Windows (cf 10)9.1.) ou Linux ( 10)9.2.) établir une connexion type terminal serveur via Windows (cf 10)10.1.) ou Linux (cf 10)10.2.) CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

13 Le programme s'installe Sous Windows avec Internet Explorer et ActiveX Avec FireFox, Safari ou autre c'est SunJava qui est utilisé Ensuite valider les notifications de vérification (pop-up) pour accepter l'installation du client Le logiciel est téléchargé sur votre poste, puis il s'installe automatiquement. L'installation sur certains linux ou architectures 64 bits pose problème. Il faut utiliser le lien qui est indiqué dans la fenêtre pour télécharger le fichier vpnsetup.sh puis exécuter ce script en mode root Par ex sous Ubuntu # sudo./vpnsetup.sh (cf 10)3. page 32 pour l'installation de ce client 2.5 en mode CLI) Un mot de passe du compte avec les droits administrateur peut être demandé CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

14 Puis la connexion s'établit automatiquement Vous pouvez fermer maintenant votre navigateur qui a permis l'installation de ce client en cliquant sur la croix rouge ou sur le lien Déconnexion Si ce n'est pas le cas avec Internet Explorer, autoriser le cluster SSLVPN en accès Menu Outils -> Option Internet; Onglet Sécurité -> Sites de confiance Rajouter https: https: puis recommencer l'installation Pour mettre fin à votre session Anyconnect en cours, double clique sur l'icône en bas à droite de votre écran puis cliquez sur le bouton Disconnect Une petite icône apparaît en bas en droite de votre écran une fois la connexion SSL-VPN établit. En double cliquant dessus (ou clique droit puis Open), on affiche les informations du client CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

15 Un réseau spécifique /24 de 256 adresses IP a été réservé pour les clients Anyconnect de l'insa. Vous pouvez visualiser l'adresse IP qui vous a été allouée en dynamique par le WEB-SSL lors de la connexion de votre client en double cliquant sur l'icône suivi d'un clique sur «Onglet Statistics» 4) Dans cette fenêtre, le champ «connect to» est normalement initialisé à une des 2 adresses externes du concentrateur VPN-SSL (cisr-sslvpn-out1.insa-lyon.fr ou cisrsslvpn-out2.insa-lyon.fr) puis cliquer sur le bouton «Select» pour vous authentifier. RMQ: Si le nom du concentrateur VPN est connu, après quelques secondes la bannière de login devient visible et ceci sans avoir à cliquer sur le bouton «Select» 5. Validez le Groupe : INSA-LYON, rentrez vos identifiants puis cliquer sur «Connect» 2. Utilisation du client Anyconnect Version 2.5 sur son poste de travail via l'interface graphique 1) Vérifier que vous êtes bien raccordés au réseau (ethernet ou wifi) 2) Démarrer le logiciel VPN Anyconnect à partir du raccourci mis en place lors de l'installation : - Sous Windows : Démarrer> Programmes> Cisco AnyConnect VPN Client - Sous Linux : 1. (Ubuntu/Kde) : Application> Internet > Cisco AnyConnect VPN Client 2. (Debian Lenny/Kde) : Internet > Cisco AnyConnect VPN Client et non pas en utilisant votre navigateur internet en vous connectant à et en cliquant sur le lien «StartAnyconnect» Rubrique «Anyconnect». Ce client est configuré sur le concentrateur WEB-SSL pour fonctionner uniquement avec une seule session ouverte sur le poste de travail (une seule session simultanée est autorisée). Il est possible d'utiliser les ressources locales du réseau dans certains cas. Pour cela cliquer sur l'icône Préférence de la fenêtre Cisco AnyConnect VPN Client (Sous MacOS X dans la barre de menu Anyconnect). 3) Une fenêtre «Cisco AnyconnectVPN Client» est lancée et l'icône suivant apparaît en bas à droite de votre écran. Cet icône vous permet d'arrêter/redémarrer le logiciel VPN et le configurer. Il n'est plus possible de faire mémoriser le mot de passe comme dans l'ancien client Cisco Ipsec. CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

16 Cocher la case «Enable local LAN access», puis cliquer sur OK "C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" connect vpn.insa-lyon.fr puis renseigner interactivement, le nom du groupe «INSA-LYON», le username et le password Sous Système Linux en mode root (Sous Ubuntu # sudo -i) # /opt/cisco/vpn/bin/vpn connect vpn.insa-lyon.fr puis renseigner interactivement, le nom du groupe «INSA-LYON», le username et le password. 3) Pour se déconnecter Sous Sytème Windows : "C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" disconnect Sous Système Linux en mode root : # /opt/cisco/vpn/bin/vpn disconnect Pour connaître la version encours du client Anyconnect installée sur votre poste de travail, cliquez sur l'onglet About 3. Utilisation du client Anyconnect 2.5 sur son poste de travail en mode commande (CLI) 1) Vérifier que vous êtes bien raccordés au réseau (ethernet ou wifi) 2) Établissez la connexion VPN via une fenêtre de commande : Sous Système Windows : CISR / Patrick Jalaguier le 15/04/14 Version /64 4) Les autres options et commandes disponibles Sous Système Windows : - Etat de la connexion (connecté ou déconnecté) : flag status ou state "C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" status - Détail de la connexion (adresse IP, durée connexion, données envoyées/reçus) "C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" stats Sous Système Linux en mode root : - Etat de la connexion (connecté ou déconnecté) flag state ou status # /opt/cisco/vpn/bin/vpn status - Détail de la connexion (adresse IP, durée connexion, données envoyées/reçus) # /opt/cisco/vpn/bin/vpn stats - Déinstaller le client anyconnect # /opt/cisco/vpn/bin/vpn_uninstall.sh Installer le client anyconnect via l'archive AnyConnect-Linux-Release- 2.5.xxxx.tar.gz localisé sur le site ftp : ftp://ftp.univ-lyon1.fr/pub/web-vpn/clientanyconnect # tar xvzf AnyConnect-Linux-Release-2.5.xxxx.tar.gz # cd ciscovpn #./vpn_install Le client s'installe dans le répertoire /opt/cisco/vpn. Le daemon vpnagentd est lancé via le script /etc/init.d/vpnagentd_init Vérifier si la distribution java6-jre est présente # dpkg -l egrep java6 ii sun-java6-bin...sun Java(TM) Runtime Environment (JRE) 6 ii sun-java6-jre Sun Java(TM) Runtime Environment (JRE) 6 ii sun-java6-plugin The Java(TM) Plug-in, Java SE 6 * Sinon l'installer: # apt-get install sun-java6-bin sun-java6-jre sun-java6- plugin * Vérifier si le plugin java est validé # ls -la /etc/alternatives/ egrep java egrep plugin * Sinon utilisez la commande suivante pour sa prise en compte : # update-alternatives --all Le fichier profil Anyconnect associé à votre session linux : ~compte/.anyconnect CISR / Patrick Jalaguier le 15/04/14 Version /64

17 RMQ: Il est à noter que l'établissement d'une connexion Vpn en mode commande ne fait pas apparaître l'icône Anyconnect en bas à droite de l'écran. «Vpn compatible Cisco Anyconnect (openconnect)» 4. Installation de l'outil Linux Openconnect (alternative au client anyconnect 2.5 ou 3.1.x) Si le client anyconnect 2.5 ou 3.X sous système Linux ne peut s'installer/fonctionner sur votre poste de travail, il existe une alternative via l'outil Linux «OpenConnect». Cette Rubrique vous explique comment l'installer sous Ubuntu.LTS (Precise 12.04) Via une fenêtre terminal (CRTL ALT T) : Se mettre en root Precise$ sudo -i Mettre à jour la base repository Recherche des packages disponibles type openconnect Installer les paquets Openconnect & network-manageropenconnect # apt-get update # apt-cache search openconnect libopenconnect-dev - Open client for Cisco AnyConnect VPN - development files libopenconnect1 - Open client for Cisco AnyConnect VPN - library files network-manager-openconnect - network management framework (Openconnect plugin) network-manager-openconnect-gnome - network management framework openconnect - Open client for Cisco AnyConnect VPN binaries # apt-get install network-manager-openconnect openconnect. Les NOUVEAUX paquets suivants seront installés : libopenconnect1 network-manager-openconnect network-manager-openconnect-gnome openconnect Puis rentrer les paramètres suivants en les validant par l'action «Enregistrer» Puis cliquer sur le bouton «Créer» Nom de la connexion : VPN INSA x cocher Connecter automatiquement Onglet VPN General --> Passerelle : vpn.insa-lyon.fr Pour le reste,laisser par défaut Onglet Paramètres IPv4 : laisser par défaut Configuration de la connection VPN Ouvrir la Connexion Réseau 0 mis à jour, 4 nouvellement installés, 0 à enlever et 0 non mis à jour. Sous Unity, aller en "System Settings" --> Network. Sous GNOME 2, aller en "Applications" --> System Tools --> Network Connections Sous GNOME 3, aller en Activites --> Applications --> System Settings --> Network Puis Unity/GNOME 3: Cliquer sur l'icône réseau en haut à droite de la fenêtre principale : Puis Sélectionner Connexion VPN --> Configurer le VPN Cliquer sur Ajouter pour configurer votre connexion VPN. Sélectionner comme type de VPN : Votre Connexion VPN intitulé «VPN INSA» a été crée. Fermer l'application en cliquant sur Fermer CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

18 vous indiquera votre IP VPN Lancer votre connexion VPN Cliquer sur le bouton Cliquer sur l'icône réseau en haut à droite de la fenêtre principale : Puis Sélectionner Connexion VPN VPN INSA Pour mettre fin à votre session VPN Cliquer sur l'icône réseau en haut à droite de la fenêtre principale : Pointer Connexions VPN : Déconnecter le VPN pour accéder à la fenêtre de login Suite à ceci, l'icône réseau redevient : Puis Sélectionner le Groupe INSA-LYON, puis identifiez-vous : login type «pnom» Une icône vous indique que votre connexion VPN a été établie 5. Installation du client Anyconnect Secure Mobility (version 3.x) sous Linux Ubuntu LTS Cette rubrique vous explique comment installer le client Anyconnect Secure Mobility sur votre poste de travail Linux sous Ubuntu LTS à partir du portail SSLVPN d'url Ce client Anyconnect Secure Mobility remplace depuis avril 2014 l'ancien client Anyconnect 2.5.x (cf 10)1.). Si la version proposée par le portail SSLVPN ne fonctionne pas sur votre poste de travail, vous avez la possibilité de télécharger via notre site ftp d'autres versions disponible via l'url ftp://ftp.univ-lyon1.fr/pub/web-vpn/client-anyconnect/betatest/ Si vous ne parvenez toujours pas à valider ce type de client sous Linux, vous pouvez utiliser l'outil Openconnect décrit précédemment (cf 10)4.). Via une fenêtre terminal (CRTL ALT T) : Se mettre en root Precise$ sudo -i Mettre à jour de la base repository 1. Paquets à installer avant toute installation # apt-get update Vérifier si la distribution java root# dpkg -l egrep -i openjdk Openjdk JRE est présent, sinon Si distribution Java JRE non présente, l'installer root # apt-get install openjdk-7-jre L'icône réseau a pour sa part changé: Un cadenas est présent indiquant que connexion VPN est en cours : Installer la librairie ia32-libs # apt-get install ia32-libs Via une fenêtre terminal, un ifconfig CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

19 Si vous avez l'erreur suivante : Puis cliquer sur le lien Linuxx86_64 pour télécharger le client anyconnect version 64 bits sur votre poste de travail Installer les librairies manquantes comme suit : root# apt-get install libgl1-mesa-dri:i386r root# apt-get install libgl1-mesa-glx:i386 ia32-libs-multiarch pour terminer par la librairie ia32- libs puis installer root # apt-get install ia32-libs 2. Récupérer via le portail SSL VPN la version anyconnect en cours Le sauvegarder en local sur votre poste comme suit : Se connecter au Portail SSL VPN de L'INSA Une fois authentifié, aller en rubrique «Anyconnect» Cliquer sur le lien «Start Anyconnect» 3. Sur votre de poste travail, installer le client anyconnect Sur votre poste de travail, aller precise$:~/téléchargements$ ls vpnsetup.sh dans le répertoire de téléchargement vpnsetup.sh pour mettre les droits exécutable sur ce script precise$:~/téléchargements$ chmod +x vpnsetup.sh Lancer l'installation du client anyconnect patrick@patrick2:~/téléchargements$ sudo vpnsetup.sh Pour démarrer le Client Anyconnect lancer comme suit ou via le menu Applications -> Internet -> Cisco AnyConnect Secure Mobility Client ou Ou Via l'icône CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

20 Accueil du tableau de bord : La connexion VPN s'établit Sous Gnome 3 Sous Gnome 2 Rechercher l'application «anyconnect» Une fois localisé, cliquer dessus Cliquer ensuite sur l'icône suivant pour connaître l'état de votre connexion VPN Anyconnect Connexion VPN active en cours Dans le champ «Connect to :», mettre comme adresse la gateway vpn : «vpn.insa-lyon.fr» puis cliquer sur Connect. Si un certificat du type suivant vous est proposé, acceptez le : L'icône : dans la fenêtre de login vous donne accès à des paramètres supplémentaires : Ensuite, sélectionner le groupe INSA-LYON puis identifiez-vous avec votre login type «pnom» comme Username suivi de votre mot de passe. CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

21 L'onglet «Statistics» vous permet de connaître votre IP et le trafic occasionné par votre liaison VPN gateway vpn par l'adresse de ASA 1 Insa, vous aurez un premier warwing (cf ci-après) RMQ2: Pour pouvoir pointer directement un des 2 ASAs INSA sans avoir l'erreur mentionnée ciaprès avec anyconnect version 3.X, il suffit de remplacer leurs adresses par leurs alias comme suit: vpncisr1.insa-lyon.fr : alias de cisr-sslvpnout1.insa-lyon.fr Onglet «About» vous donne la version du client anyconnect mobile en cours vpncisr2.insa-lyon.fr : alias de cisr-sslvpnout2.insa-lyon.fr. Avec les versions Anyconnect 3.x vous aurez une première alarme du type suivant si vous mettez directement l'adresse d'un des 2 ASAs (par ex le premier : cisrsslvpn-out1.insa-lyon.fr) : L'action «Keep Me Safe»vous retournera à la fenêtre de login L'action «Connect Anyway» vous permettra de vous identifier RMQ1 : Avec les versions du client anyconnect 2.5.x on pouvait remplacer la gateway «vpn.insalyon.fr» (IP Virtuelle du cluster SSLVPN qui pointe 2 ASAs type 5510) par l'une des 2 adresses des ASAs: cisr-sslvpn-out1.insa-lyon.fr. cisr-sslvpn-out2.insa-lyon.fr. Mais, l'accès vous sera refusé malgré l'authentification exacte Avec Anyconnect 3.X, en remplaçant par exemple la CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

22 Authentifiez-vous : Et même si vous aviez autorisé les connexions non sécurisées en décochant l'option suivante via l'icône présent dans la fenêtre de login. Pour éviter ces erreurs, il suffit de remplacer les adresses des ASAs INSA par leurs alias : vpncisr1.insa-lyon.fr : alias de cisr-sslvpn-out1.insalyon.fr Un 2eme warning apparaît. Cliquez sur «Connect Anyway» pour valider votre session VPN 1. vpncisr2.insa-lyon.fr : alias de cisr-sslvpn-out2.insalyon.fr. Par exemple, pour établir une session VPN sur l'asa N 2 Votre session vpn s'établit : Il en résulte un premier warning. Pour continuer, cliquer sur «Connect Anyway» CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

23 6. Installation du client Anyconnect Secure Mobility (version 3.x) en mode CLI Avant toute chose, assurez-vous qu'il n'y pas de version anyconnect en place sur votre poste de travail. Si c'est le cas, désinstaller la : precise$:sudo -i ## Se mettre sous id root ## Aller dans le répertoire d'installation anyconnect version 2.X ou 3.x precise# cd /opt/cisco/vpn/bin ## lister les binaires présents precise:/opt/cisco/vpn/bin# ls manifesttool vpn vpnagentd vpndownloader vpndownloader.sh vpnui vpn_uninstall.sh ## d'installer le client en cours root@cisrsecr:/opt/cisco/vpn/bin#./vpn_uninstall.sh Uninstalling Cisco AnyConnect VPN Client... Successfully removed AnyConnect from system. Récupérer sur notre site ftp la dernière version anyconnect compatible avec votre poste de travail. Les fichiers «Release Note» type pdf vous donneront cette information : ## Aller dans le répertoire d'installation precise:/var/tmp# cd anyconnect ## Réchercher le script d'installation precise:/var/tmp/anyconnect # find. -type f -name '*install*' -print./vpn/vpn_install.sh./vpn/vpn_uninstall.sh./vpn/anyconnect_uninstall.sh./posture/posture_install.sh./posture/posture_uninstall.sh./dart/dart_uninstall.sh./dart/dart_install.sh <-- celui-ci ## Puis lancer ce script en répondant "yes" aux questions precise:/var/tmp/anyconnect # cd vpn precise:/var/tmp/anyconnect /vpn#./vpn_install.sh Do you accept the terms in the license agreement? [y/n] y You have accepted the license agreement. Please wait while Cisco AnyConnect Secure Mobility Client is being installed... Starting Cisco AnyConnect Secure Mobility Client Agent... Done! Le client est installé. Les binaires anyconnect sont présents en "/opt/cisco/vpn/bin" precise:/var/tmp/anyconnect # cd /opt/cisco/vpn/bin /opt/cisco/vpn/bin precise:/opt/cisco/vpn/bin# ls -la drwxr-xr-x 2 root root 4096 févr :16. drwxr-xr-x 3 root root 4096 févr :16.. lrwxrwxrwx 1 root root 38 févr :16 manifesttool -> /opt/cisco/anyconnect/bin/manifesttool lrwxrwxrwx 1 root root 39 févr :16 vpndownloader -> /opt/cisco/anyconnect/bin/vpndownloader -r--r--r-- 1 root root 82 févr :16 vpndownloader.sh lrwxrwxrwx 1 root root 42 févr :16 vpn_uninstall.sh -> /opt/cisco/anyconnect/bin/vpn_uninstall.sh Pour lancer le client anyconnect, utiliser la procédure décrite précédemment en page 38. Si le client anyconnect sous système Linux ne peut s'installer/fonctionner sur votre poste de travail, il existe une alternative via l'outil «OpenConnect». Le 10)4. de ce chapitre vous explique comment l'installer sous Ubuntu.LTS (Precise 12.04) Pour cela, vous pouvez utiliser l'outil wget pour récupérer la version compatible anyconnect : precise# cd /var/tmp precise:/var/tmp# wget ftp://ftp.univ-lyon1.fr/pub/web-vpn/client-anyconnect/betatest/anyconnect-predeploy-linux k9.tar.gz Dé-archiver le package anyconnect en /var/tmp precise:/var/tmp# tar xvzf anyconnect-predeploy-linux k9.tar.gz Puis l'installer comme suit : 7. Installation du client Anyconnect mobile pour smartphone sous système Android Les ASAs INSA disposent depuis avril 2014 de licences anyconnect mobiles 3.X pour smartphone ou iphone. Ce paragraphe vous indique comment : procéder pour télécharger via l'application «PlayStore» de votre smartphone un client anyconnect compatible avec votre téléphone le configurer pour valider une connexion vpn sur les Cisco ASAs de L'INSA. Vous trouverez sur le site de Cisco : le guide d'utilisation du client Cisco AnyConnect Secure Mobility Release 3.0.x : CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

24 ser/xmart/b_android_user_guide.html L'application se charge La release note associée à ce client Cisco AnyConnect Secure Mobility Release 3.0.x lease/notes/rn-ac3-0-android.html Des versions pdf de ces 2 documents sont disponibles sur notre site ftp : ftp://ftp.univ-lyon1.fr/pub/web-vpn/client-anyconnect/android/ Guide d'utilisation anyconnect android version 3.X : b_android_user_guide_chapter_01.pdf Release Note anyconnect android version 3.X : rn-ac3-0-android.pdf README : les URLS de ces documents. 1. Télécharger un client anyconnect compatible avec votre smartphone Via l'application «Play Store», chercher l'application «anyconnect» compatible avec votre smartphone, par ex AnyConnect Samsung Pour notre exemple, l'url Play Store «AnyConnect Samsung» vous liste les compatibilités de ce client et vous détaille son installation. Quand l'icône Samsung AnyConnect apparaît, cliquer sur Installer Une fois installée, cliquer sur le bouton Accepter les conditions de la licence anyconnect, en cliquant sur : La fenêtre suivante apparaît, cliquer sur «Ajouter une nouvelle connexion (add New VPN Connection)» OUVRIR Accepter Accepter les autorisations de l'application 3 rubriques apparaissent : Description : Pour mettre un nom à la connexion VPN Adresse du serveur : Adresse IP ou nom complet du serveur SSLVPN : vpn.insa-lyon.fr ou Préférences avancées : Pour modifier les paramètres du certificat ainsi que les protocoles VPN Cliquer sur «Description» pour donner un nom à la connexion VPN, par ex : vpn insa puis cliquer sur OK CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

25 La fenêtre suivante vous indique si vous êtes connectés Cliquer sur «Adresse du serveur» pour donner l'adresse du serveur SSLVPN de l'insa ou son IP : Le nom complet (préférable pour éviter des problèmes avec le certificat) : vpn.insa-lyon.fr Pour vous mettre fin à votre session VPN cliquer sur «Connected to VPN» ou l'ip : puis cliquer sur OK pour valider. RMQ : Vous avez la possibilité de remplacer la gateway «vpn.insa-lyon.fr» (IP Virtuelle du cluster SSLVPN qui pointe 2 ASAs type 5510) par l'une des 2 adresses des ASAs INSA : cisr-sslvpn-out1.insa-lyon.fr. cisr-sslvpn-out2.insa-lyon.fr Pour la rubrique «Certificat» : Laisser les paramètres par défaut. RMQ : Pour modifier les paramètres de votre connexion «Anyconnect», appuyer plusieurs secondes sur l'icône de votre profil Anyconnect «vpn insa», puis sélectionner : «Editer la connexion» Puis cliquer sur Terminer Pour valider votre connexion VPN, cliquer Dans l'exemple précédent : sur le nom que vous avez définit en rubrique escription vpn insa Au prompt, rentrer les informations suivantes Groupe : INSA-LYON Nom d'utilisateur : pnom Mot de passe : ***** 8. Installation du client Openconnect mobile pour smartphone sous système Android Si le client anyconnect pour système Android (cf 10)7.) ne peut s'installer/fonctionner sur votre smarphone, tablette ou autre, il existe une alternative via l'outil libre «OpenConnect». Cet outil a déjà été présenté au 10)4. pour son installation/configuration sous système Linux. Ce paragraphe vous indique comment : Puis cliquer sur OK procéder pour télécharger via l'application «PlayStore» de votre smartphone ce client OpenConnect compatible avec votre téléphone le configurer pour valider une connexion vpn sur les Cisco ASAs de L'INSA. CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

26 Via l'application «Play Store», chercher l'application «openconnect» compatible avec votre smartphone : 1. Télécharger un client openconnect compatible avec votre smartphone Des autorisations vous sont demandées pour valider cette installation, cliquez sur «Accepter» L'url Play Store «Openconnect» vous liste les compatibilités de ce client et vous détaille son installation. Une fois l'application installée, cliquez sur le bouton «Ouvrir» pour configurer «OpenConnect» Quand l'icône «OpenConnect» apparaît, cliquer dessus pour le sélectionner Openconnect vous demande de créer un profil pour votre session VPN. Pour cela cliquer sur l'icône : Pour installer l'application «Openconnect», cliquer sur le bouton «Installer CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

27 Rentrer le nom de votre Profil VPN, par ex «vpn.insa-lyon.fr» Par défaut, il affectera ce nom comme : Pour établir la connexion vpn avec le serveur SSLVPN de l'insa, cliquez le profil «vpn insa» le nom de votre profil vpn l'adresse du serveur vpn puis cliquez sur OK L'application vous informe que vous tentez de valider une connexion vpn Cliquer sur OK pour continuer... Vous pouvez ensuite modifier ces informations en cliquant sur les rubriques Profile Name : (modifié en vpn insa) Server Address : pour changer l'adresse du serveur vpn Pour les autres rubriques : Ca Certificate User certificate Private key Software token laisser les valeurs par défaut. RMQ : Une fois votre profil crée, vous pouvez à nouveau modifier ces paramètres en cliquant sur l'icône en face du nom de votre profil : A la bannière d'authentification, rentrez les informations suivantes Groupe : INSA-LYON Nom d'utilisateur : pnom Mot de passe : ***** Puis cliquer sur OK RMQ : Pour des raisons de sécurité, dévalider l'option «Enregistrer le mot de passe» CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

28 Openconnect vous indique en rubrique «Status» l'état de votre connexion : connecté ou non le débit de votre trafic vpn votre IP allouée par le serveur vpn le nom du serveur vpn insa en cours Pour mettre fin à votre session VPN en cours, cliquer sur le bouton Pour relancer l'application «Openconnect», cliquez sur l'icône suivant : Les autres rubriques : Log : vous détaille l'établissement de votre connexion VPN FAQ : la documentation en ligne sur cet outil La fenêtre «OpenConnect» apparaît. Cliquer sur : le profil «vpn insa» pour établir une connexion vpn avec les ASAs de l'insa via l'url vpn.insa-lyon.fr ou sur l'icône La rubrique Log : donne des informations sur l'établissement de votre connexion VPN en cours : adressse ip du client vpn, serveurs dns, nom de domaine,. pour créer un nouveau profil de connexion vpn, par exemple pour pointer l'asa N 2 INSA d'adresse cisr-sslvpn-out2.insa-lyon.fr (cf Profil Vpn 2 insa) Profil Vpn 2 insa : pointe l'asa N 2 INSA d'adresse «cisr-sslvpn-out2.insa-lyon.fr» Pour le reste de la configuration de ce nouveau profil, suivre les informations données précédemment lors de la création du profil «vpn insa» (cf page 53) CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

29 Ceci nous permet de pouvoir sélectionner : par exemple l'asa N 2 Insa du cluster vpn.insa-lyon.fr ou le cluster VPN INSA : ASA N 1 ou ASA N 2 selon la charge en cours sur ces ASAs 9. Connecter un lecteur réseau Par exemple pour accéder à votre dossier personnel HOME@INSA. Prenez les identifiants (login : pnom et mot de passe) que vous avez utilisés pour valider votre connexion Anyconnect 1. Sous Système Windows Ouvrir la fenêtre «Exécuter». Ce menu peut également être ouvert à l'aide du raccourci clavier Touche Windows + R. Via la rubrique «Application en Cours» de votre smartphone, vous pouvez : connaître l'état de votre connexion OpenConnect (en cours ou non) Saisissez l'adresse du serveur home@insa comme indiqué (remplacer pnom par votre login) Authentifiez-vous comme indiqué (remplacer pnom par votre login) et son trafic vpn en cliquant sur l'icône «Openconnect» Appuyer sur : Annuler pour revenir au menu précédent Déconnecter pour mettre fin à cette conexion v pn Configurer pour modifier les paramètres de ce profil 2. Sous Système Linux (Ubuntu) Lancer l'application «Gestionnaire de Fichiers» : Applications> Système > Gestionnaire de Fichiers (delphin) Cliquer sur l'icône «Partages Samba» CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

30 Dans le champ smb, saisissez l'adresse du serveur comme indiqué (remplacer pnom par votre login) Authentifiez-vous (remplacer pnom par votre login) Rentrez vos identifiants (remplacer pnom par votre login) 2. Sous Système Linux (Ubuntu) 1) Vérifier que le paquet «tsclient» est présent # sudo dpkg -l egrep tsclient ii tsclient ubuntu1front-end for viewing of remote desktops in 10. Se connecter sur un serveur en Terminal Serveur Par exemple pour accéder au serveur «servif-baie.insa-lyon.fr» 1. Sous système Windows Lancer l'application Connexion Bureau à distance Sinon l'installer : # sudo apt-get install tsclient 2) Lancer l'application «Terminal Serveur Client» Applications> Internet > Terminal Server Client Démarrer> Tous les programmes > Accessoires > Connexion Bureau à distance Indiquez l'adresse du serveur CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

31 3) Dans la fenêtre «Terminal Server Client», rentrez les informations comme indiqué (remplacer pnom par votre login) 11) Configuration des modules ActiveX et Java sur votre navigateur 1. ActiveX avec Internet Explorer 8 Vérifiez que les composants ActiveX suivants sont bien activés sur votre navigateur Web. Cliquez sur le bouton «Personnaliser le niveau» via le menu Outils => Options Internet => Sécurité 4) Authentifiez-vous CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64

32 2. Java sous FireFox Vérifiez que le module Java est bien installé et activé sur votre navigateur. S il n est pas installé, un message d erreur «Java est requis pour l exploitation du module externe» apparaît sur la page du portail. 3. Java sous Internet Explorer 8 Vérifiez que le module Java est bien installé et activé sur votre navigateur. S il n est pas installé, une page blanche avec une croix rouge apparaît sur la page du portail. Cliquez sur Outils => Modules Complémentaires. Sélectionnez le module Java et vérifiez qu il est bien activé. S'il n'est pas présent, vous pouvez le télécharger via le lien Via le menu Outils=> Gérer les modules complémentaires Sélectionnez : Tous les modules complémentaires, puis pointez les modules Java et vérifiez qu'ils sont bien activés. Si le module Java n'est pas présent, vous pouvez le télécharger via le lien CISR / Patrick Jalaguier le 15/04/14 Version /64 CISR / Patrick Jalaguier le 15/04/14 Version /64