Utiliser le portail d’accès distantpour les prestataires de l'INSA de LYON

La dernière version de ce document est disponible sur le site ftp du CISR en ftp://ftp.univ-lyon1.fr/pub/web-vpn/Utiliser_le_portail_prestataire_insa.pdf

Table des matières1) Authentification.....................................................................................................................22) Page d’accueil du portail.......................................................................................................33) Accéder à un serveur Web .....................................................................................................44) Déconnexion du portail d’accès distant.................................................................................55) Connecter un lecteur réseau pour ouvrir un répertoire partagé..............................................76) Se connecter sur un serveur en Telnet/SSH...........................................................................97) Se connecter sur un serveur en Terminal Serveur...............................................................128) Installation et utilisation du client Anyconnect sur son poste de travail.............................14

1. Installation du client Anyconnect sur son poste de travail ..............................................142. Utilisation du client Anyconnect sur son poste de travail via l'interface graphique........193. Utilisation du client Anyconnect sur son poste de travail en mode commande (CLI).....214. Connecter un lecteur réseau ............................................................................................23

1. Sous Système Windows ..............................................................................................232. Sous Système Linux (Ubuntu).....................................................................................23

5. Se connecter sur un serveur en Terminal Serveur ...........................................................241. Sous système Windows...............................................................................................242. Sous Système Linux (Ubuntu).....................................................................................25

9) Configuration des modules ActiveX et Java sur votre navigateur......................................271. ActiveX avec Internet Explorer 8.....................................................................................272. Java sous FireFox.............................................................................................................283. Java sous Internet Explorer 8 ..........................................................................................29

Pour toutes questions ou problèmes relatifs au portail d’accès distant, contactez la DSI de l'INSA de LYON via le site web du support : http://support.insa-lyon.fr

CISR P.J le 03/02/11 1 / 29

1) Authentification

Ce nouveau service SSL VPN du CISR pour les prestataires de l'INSA de Lyon est composé d'un cluster de 2 Ciscos ASA 5510 pour assurer la répartition de charge et la redondance. Il est accessible via l'url suivante :

http://vpn .insa-lyon.fr

En fonction de la charge en cours, vous êtes redirigé en https sur : le premier ASA cisr-sslvpn-out1.insa-lyon.fr

ou le deuxième cisr-sslvpn-out2.insa-lyon.fr

Authentifiez-vous avec votre login et mot de passe de l'authentification centralisée de l'INSA de Lyon, sélectionnez le groupe INSA-LYON puis cliquez sur le bouton « Ouvrir session »

Le portail d’accès distant est accessible aux prestataires ayant un compte personnel déclaré dans l’annuaire de l’INSA de Lyon. En cas d'échec de connexion, contactez la DSI de l'INSA de LYON via le site web du support : http://support.insa-lyon.fr

CISR P.J le 03/02/11 2 / 29

2) Page d’accueil du portail

Une fois authentifié, vous accédez à la page d’accueil du portail dédié aux prestataires de l'INSA de Lyon.

Différents services vous sont proposés via les boutons localisés à gauche de cette page d'accueil.

CISR P.J le 03/02/11 3 / 29

3)Accéder à un serveur Web Dans la page d’accueil du Portail ou sur la page des Applications Web, saisissez

dans le champ Adresse http:// le nom du serveur complet puis cliquer sur Parcourir. Par exemple pour accéder au site Web de la DSI de l'INSA de Lyon, rentrer dans le champ Adresse, l'URL suivante : http://dsi.insa-lyon.fr

CISR P.J le 03/02/11 4 / 29

vous accédez à la page d'accueil du site web de la DSI de L'INSA

Descriptif de l’outil de navigation (encerclé en rouge ci-dessus).

La flèche à double sens bascule l’outil de navigation de la droite à la gauche de l’écran.

Le panneau permet d'entrer une adresse type URL pour accéder à un site Web

L'icône permet de revenir à la page d’accueil du portail d’accès distant La croix rouge met fin à la session d’accès distant (voir point 4°)

4) Déconnexion du portail d’accès distant

Si vous cliquez sur la croix rouge de l’outil de navigation , vous mettez fin à votre connexion. Si vous cliquez sur le bouton « Déconnexion » de la page d’accueil du portail d’accès distant, vous fermez votre connexion.

CISR P.J le 03/02/11 5 / 29

Vous pouvez ouvrir une nouvelle session en cliquant sur le bouton « Connexion».

CISR P.J le 03/02/11 6 / 29

5)Connecter un lecteur réseau pour ouvrir un répertoire partagéCe module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe « Configuration des modules ActiveX et Java sur votre navigateur » .

Cliquez sur le bouton « Connectez un lecteur réseau » de la page d'accueil du portail.

Rentrer le nom du lecteur réseau à connecter (serveur/répertoire partagé) dans la barre d’adresse (la liste déroulante affiche cifs:// pour connecter un lecteur réseau) puis cliquez sur ParcourirLa syntaxe pour les répertoires est du type : serveur/répertoire-partagé (Il ne faut pas saisir les caractères «:// » car ils seront ajoutés automatiquement à l’adresse).

CISR P.J le 03/02/11 7 / 29

Puis saisissez vos identifiants (login et mot de passe) pour vous authentifier.

Vous accédez ensuite à la liste des fichiers partagés par ce serveur :

CISR P.J le 03/02/11 8 / 29

6) Se connecter sur un serveur en Telnet/SSH

Ce module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe « Configuration des modules ActiveX et Java sur votre navigateur » .

Ce client prend en charge ssh version 2.x.

Cliquer sur le bouton « Telnet/SSH Servers », saisissez le nom du serveur ou vous voulez ouvrir une session SSH (ou telnet) dans le champ Adresse puis cliquez sur Parcourir. L'icône déroulant affiche ssh:// ou Telnet://

CISR P.J le 03/02/11 9 / 29

Valider l’avertissement de sécurité vous indiquant que la signature numérique de l’application est erronée en cliquant sur le bouton « Exécuter »

Authentifiez-vous sur le serveur SSH distant (ou telnet)

CISR P.J le 03/02/11 10 / 29

RMQ : Pour que le serveur distant autorise les connexions ssh depuis le portail WEB-SSL INSA,vous devez lui indiquer les adresses IP des interfaces internes du WEB-SSL. Pour cela, vous pouvez obtenir ces adresses en cliquant sur le lien « MONIP » via le menu « ApplicationsWEB »

La première adresse notée IP indique l'adresse ip du proxy utilisée par le WEB-SSL. La deuxième notée ORIG_IP est l'adresse ip d'une des interfaces internes du WEB-SSL qu'il faudra déclarer sur le serveur ssh pour autoriser la connexion.

CISR P.J le 03/02/11 11 / 29

7) Se connecter sur un serveur en Terminal Serveur

Ce module lance une applet java. Ceci nécessite donc que le module java soit installé et activé sur votre navigateur Internet ou ActiveX si vous êtes sous système Windows. Pour configurer ces modules, se référer au paragraphe « Configuration des modules ActiveX et Java sur votre navigateur » .

Cliquer sur le bouton « Terminal serveurs », saisissez dans le champ adresse rdp:// le nom du serveur complet ou son adresse ip puis cliquez sur Parcourir

Valider que vous approuvez la connexion à ce serveur en cliquant sur le bouton « connexion »

CISR P.J le 03/02/11 12 / 29

Puis authentifiez-vous sur le serveur comme pour une connexion « bureau à distance »

CISR P.J le 03/02/11 13 / 29

8) Installation et utilisation du client Anyconnect sur son poste de travail

Ce programme remplace l’ancien client VPN Cisco Ipsec. L’utilisation de ce programme est identique au fonctionnement de l’ancien VPN, c'est-à-dire qu’il va créer un tunnel sécurisé entre votre poste de travail et le serveur d'accès distant. Toutes les autres connexions sur votre poste seront alors coupées à la différence du portail Web ou seul la page du navigateur est dans un tunnel sécurisé. Ce programme s'installe facilement sur les plateformes courantes. En cas de problème, ou si vous souhaitez avoir plus d'information technique sur ce client, lisez la Release Notes for Cisco AnyConnect VPN Client . .Ce document est aussi disponible sur notre site ftp://ftp.univ-lyon1.fr/pub/web-vpn/client-anyconnect/ ainsi que les dernières versions Anyconnect en cours.

1. Installation du client Anyconnect sur son poste de travail Vous pouvez choisir entre différentes solutions pour installer ce client suivant que vous êtes sous système Windows, MacOSX ou Linux :

1) Sous Windows en procédant à l'installation avec Internet Explorer : ActiveX sera invoqué (cf paragraphe « Configuration des modules ActiveX et Java sur votre navigateur »)

2) Sous MacOs X, Linux ou Windows avec un navigateur web autre que Internet Explorer :Il est nécessaire de disposer de l'environnement Sun Java JRE (ou JDK complet) pour procéder à l'installation. Si vous n'avez pas cet environnement, vous pouvez le télécharger via le lien suivant : http://www.java.com/fr

Sur la page de garde du portail, cliquer sur le bouton « AnyConnect » puis démarrer l'installation de ce client en cliquant sur le lien « Start AnyConnect »

CISR P.J le 03/02/11 14 / 29

Le programme s'installe

CISR P.J le 03/02/11 15 / 29

Sous Windows avec Internet Explorer

et ActiveX

L'installation sur certains linux ou architectures 64 bits pose problème. Il faut utiliser le lien qui est indiqué dans la fenêtre

pour télécharger le fichier vpnsetup.shpuis exécuter ce script en mode root

Par ex sous Ubuntu # sudo ./vpnsetup.sh(cf § 8.3.4 page 22 pour l'installation de ce client en mode CLI)

Avec FireFox, Safari ou autre

c'est SunJava qui est utilisé

Ensuite valider les notifications de vérification (pop-up) pour accepter l'installation du client

CISR P.J le 03/02/11 16 / 29

Le logiciel est téléchargé sur votre poste, puis il s'installe

automatiquement.

Un mot de passe du compte avec les

droits administrateur peut être demandé

Puis la connexion s'établit automatiquement

Si ce n'est pas le cas avec Internet Explorer, autoriser le cluster web-ssl en accès Menu Outils -> Option Internet; Onglet Sécurité -> Sites de confiance

Rajouter https: https://cisr-ssl vpn-out1.insa-lyon.fr https: https://cisr-sslvpn -out2.insa-lyon.fr

puis recommencer l'installation

En double cliquant dessus (ou clique droit puis Open), on affiche les informations du client

CISR P.J le 03/02/11 17 / 29

Une petite icône apparaît en bas en droite de votre écran une fois la connexion SSL-VPN établit.

Vous pouvez fermer maintenant votre navigateur qui a permis l'installation de ce client en cliquant sur la croix rouge ou sur le lien Déconnexion

Pour mettre fin à votre session Anyconnect en cours, double clique sur l'icône en bas à droite de votre écran puis cliquez sur le bouton Disconnect

CISR P.J le 03/02/11 18 / 29

Un réseau spécifique 134.214.61.0/24 de 256 adresses IP a été réservé pour les clients Anyconnect de l'INSA. Vous pouvez visualiser l'adresse IP qui vous a été allouée en dynamique par le WEB-SSL lors de la connexion de votre client en double cliquant sur l'icône

suivi d'un clique sur « Onglet Statistics »

2. Utilisation du client Anyconnect sur son poste de travail via l'interface graphique

1) Vérifier que vous êtes bien raccordé au réseau (ethernet ou wifi)2) Démarrer le logiciel VPN Anyconnect à partir du raccourci mis en place lors de

l'installation :- Sous Windows : Démarrer> Programmes> Cisco AnyConnect VPN Client- Sous Linux :

1. (Ubuntu/Kde) : Application> Internet > Cisco AnyConnect VPN Client2. (Debian Lenny/Kde) : Internet > Cisco AnyConnect VPN Client

et non pas en utilisant votre navigateur internet en vous connectant à http://vpn.insa-lyon.fr et en cliquant sur le lien « StartAnyconnect » Rubrique « Anyconnect ».

CISR P.J le 03/02/11 19 / 29

3) Une fenêtre « Cisco AnyconnectVPN Client » est lancée et l'icône suivant apparaît en bas à droite de votre écran. Cet icône vous permet d'arrêter/redémarrer le logiciel VPN et le configurer. Il n'est plus possible de faire mémoriser le mot de passe comme dans l'ancien client Cisco Ipsec.

4) Dans cette fenêtre, le champ « connect to » est normalement initialisé à une des 2 adresses externes du concentrateur VPN-SSL (cisr-sslvpn-out1.insa-lyon.fr ou cisr-sslvpn-out2.insa-lyon.fr) puis cliquer sur le bouton « Select » pour vous authentifier.

RMQ: Si le nom du concentrateur VPN est connu, après quelques secondes la bannière de login devient visible et ceci sans avoir à cliquer sur le bouton « Select »

Ce client est configuré sur le concentrateur WEB-SSL pour fonctionner uniquement avec une seule session ouverte sur le poste de travail (une seule session simultanée est autorisée).

Il est possible d'utiliser les ressources locales du réseau dans certains cas. Pour cela cliquer sur

l'icône Préférence de la fenêtre Cisco AnyConnect VPN Client (Sous MacOS X dans la barre de menu Anyconnect).

CISR P.J le 03/02/11 20 / 29

5. Validez le Groupe : INSA-LYON, rentrez vos identifiants puis cliquer sur « Connect »

3. Utilisation du client Anyconnect sur son poste de travail en mode commande (CLI)

1) Vérifier que vous êtes bien raccordé au réseau (ethernet ou wifi)2) Établissez la connexion VPN via une fenêtre de commande :

Sous Sytème Windows :

CISR P.J le 03/02/11 21 / 29

Cocher la case « Enable local LAN access », puis cliquer sur OK

Pour connaître la version encours du client Anyconnect installé sur votre poste de travail, cliquez sur l'onglet About

"C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" connect vpn.insa-lyon.fr puis renseigner interactivement, le nom du groupe « INSA-LYON » , le username et le password

Sous Système Linux en mode root (Sous Ubuntu # sudo -i)# /opt/cisco/vpn/bin/vpn connect vpn.insa-lyon.fr puis renseigner interactivement, le nom du groupe « INSA-LYON » , le username et le password.

3) Pour se déconnecter Sous Sytème Windows :

"C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" disconnect

Sous Système Linux en mode root : # /opt/cisco/vpn/bin/vpn disconnect

4) Les autres options et commandes disponibles Sous Système Windows :

- Etat de la connexion (connecté ou déconnecté) : flag status ou state"C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" status- Détail de la connexion (adresse IP, durée connexion, données envoyées/reçus)"C:\ProgramFiles\Cisco\Cisco AnyConnect VPN Client\vpncli" stats

Sous Système Linux en mode root : - Etat de la connexion (connecté ou déconnecté) flag state ou status# /opt/cisco/vpn/bin/vpn status- Détail de la connexion (adresse IP, durée connexion, données envoyées/reçus)# /opt/cisco/vpn/bin/vpn stats- Déinstaller le client anyconnect# /opt/cisco/vpn/bin/vpn_uninstall.sh− Installer le client anyconnect via l'archive AnyConnect-Linux-Release-2.5.xxxx.tar.gz localisé sur le site ftp : ftp://ftp.univ-lyon1.fr/pub/web-vpn/client-anyconnect# tar xvzf AnyConnect-Linux-Release-2.5.xxxx.tar.gz# cd ciscovpn# ./vpn_installLe client s'installe dans le répertoire /opt/cisco/vpn. Le daemon vpnagentd est lancé via le script /etc/init.d/vpnagentd_init− Vérifier si la distribution java6-jre est présente# dpkg -l | egrep java6ii sun-java6-bin ...Sun Java(TM) Runtime Environment (JRE) 6ii sun-java6-jre Sun Java(TM) Runtime Environment (JRE) 6 ii sun-java6-plugin The Java(TM) Plug-in, Java SE 6* Sinon l'installer: # apt-get install sun-java6-bin sun-java6-jre sun-java6-plugin* Vérifier si le plugin java est validé# ls -la /etc/alternatives/ | egrep java | egrep plugin* Sinon utilisez la commande suivante pour sa prise en compte :# update-alternatives --all

Le fichier profil Anyconnect associé à votre session linux :~compte/.anyconnect

RMQ: Il est à noté que l'établissement d'une connexion Vpn en mode commande ne fait pas apparaître l'icône Anyconnect en bas à droite de l'écran.

CISR P.J le 03/02/11 22 / 29

4. Connecter un lecteur réseau Par exemple pour accéder à votre dossier personnel localisé sur votre serveur machine_prestataire.insa-lyon.fr.

1. Sous Système Windows Ouvrir la fenêtre « Exécuter ». Ce menu peut également être ouvert à l'aide du raccourci clavier Touche Windows + R.

2. Sous Système Linux (Ubuntu) Lancer l'application « Gestionnaire de Fichiers » :

Applications> Système > Gestionnaire de Fichiers (delphin)

Cliquer sur l'icône « Partages Samba »

CISR P.J le 03/02/11 23 / 29

Saisissez l'adresse du serveur comme indiqué

Authentifiez-vous comme indiqué (remplacer pnom par votre login)

Dans le champ smb, saisissez l'adresse du serveur comme indiqué

Rentrez vos identifiants (remplacer pnom par votre login)

5. Se connecter sur un serveur en Terminal Serveur

Par exemple pour accéder au serveur « machine_prestataire.insa-lyon.fr »

1. Sous système Windows Lancer l'application Connexion Bureau à distance

Démarrer> Tous les programmes > Accessoires > Connexion Bureau à distance

Indiquez l'adresse du serveur

CISR P.J le 03/02/11 24 / 29

Authentifiez-vous (remplacer pnom par votre login)

2. Sous Système Linux (Ubuntu)

1) Vérifier que le paquet « tsclient » est présent# sudo dpkg -l | egrep tsclient

ii tsclient 0.150-3ubuntu1front-end for viewing of remote desktops in

Sinon l'installer :# sudo apt-get install tsclient

2) Lancer l'application « Terminal Serveur Client »Applications> Internet > Terminal Server Client

CISR P.J le 03/02/11 25 / 29

3) Dans la fenêtre « Terminal Server Client », rentrez les informations comme indiqué (remplacer pnom par votre login)

4) Authentifiez-vous

CISR P.J le 03/02/11 26 / 29

9) Configuration des modules ActiveX et Java sur votre navigateur

1. ActiveX avec Internet Explorer 8Vérifiez que les composants ActiveX suivants sont bien activés sur votre navigateur Web. Cliquez sur le bouton « Personnaliser le niveau » via le menu Outils => Options Internet => Sécurité

CISR P.J le 03/02/11 27 / 29

2. Java sous FireFox

Vérifiez que le module Java est bien installé et activé sur votre navigateur. S’il n’est pas installé, un message d’erreur « Java est requis pour l’exploitation du module externe » apparaît sur la page du portail.

Cliquez sur Outils => Modules Complémentaires. Sélectionnez le module Java et vérifiez qu’il est bien activé. S'il n'est pas présent, vous pouvez le télécharger via le lien http://www.java.com/fr

CISR P.J le 03/02/11 28 / 29

3. Java sous Internet Explorer 8 Vérifiez que le module Java est bien installé et activé sur votre navigateur. S’il n’est pas installé, une page blanche avec une croix rouge apparaît sur la page du portail.

Via le menu Outils=> Gérer les modules complémentaires

Sélectionnez : Tous les modules complémentaires, puis pointez les modules Java et vérifiez qu'ils sont bien activés. Si le module Java n'est pas présent, vous pouvez le télécharger via le lien http://www.java.com/fr

CISR P.J le 03/02/11 29 / 29