Secure Transfer Installatie

Transcriptie

1 Secure Transfer Installatie PFM Holland B.V. 16 april 2012 Versie V2R3M0 Niets uit dit document mag op enigerlei wijze worden vermenigvuldigd en/of openbaar gemaakt zonder voorafgaande schriftelijke toestemming van PFM Holland BV.

2 Inhoud 1. Secure Transfer Uitlevering Secure Transfer Minimum systeemeisen PC System i Poorten t.b.v. communicatie met belastingdienst: Poorten t.b.v. communicatie met Equens: Poorten t.b.v. communicatie met Digipoort: Nieuwe installatie Secure Transfer Installatie op PC Installatie op System i Licentiesleutel Bijwerken bestaande installatie Secure Transfer Installatie op PC Bijwerken installatie op System i Verbindingshouders belastingdienst Controle record vullen Functionele wijzigingen V2R3M0 t.o.v. V2R2M Algemeen Bestandswijzigingen V2R3M0 t.o.v. V2R2M Nieuw: Berichtsoorten Digipoort (STMF) Nieuw: Verbindingshouders Digipoort (SROF) Nieuw: Postbushouders Digipoort (SPOF) Uitgebreid: Controlegegevens (CTGF) Uitgebreid: Verbindingshouders Belastingdienst (SRBF) Uitgebreid: Berichttypes (STTF) Te verzenden berichten (TTVF) Aanvraagformulier licentiesleutel Secure Transfer Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 2 van 13

3 1. Secure Transfer In dit document wordt beschreven welke stappen moeten worden uitgevoerd om het pakket Secure Transfer op een System i (en voorgangers System i5, iseries en AS/400) te installeren of een bestaande installatie bij te werken tot versie V2R3M0. Met behulp van Secure Transfer kunnen met Belastingdienst, Equens, Digipoort en overige externe partijen elektronisch gegevens worden uitgewisseld Uitlevering Secure Transfer Secure Transfer wordt uitgeleverd via een downloadoptie op een internetsite. Op deze internetsite staat het bestand PFMSetupV2R3M0.exe. Updates en patches komen hier ook terecht evenals beschikbare documentatie. N.B.: Aangezien het installatieprogramma gebruik maakt van FTP om de programmatuur op de server te installeren moet FTP op de server actief en bereikbaar vanaf de PC zijn Minimum systeemeisen PC PC met 50 Mb vrije schijfruimte Windows 2000/XP/Vista/7 Mogelijkheid om via FTP met de System i te communiceren System i Op de System i moet minimaal V5R4 van het operating system werken. In geval van V5R4 dienen PTFs geïnstalleerd te zijn die het mogelijk maken programmatuur te installeren die op V6R1 of hoger gemaakt is. U kunt de versies en niveaus controleren met GO LICPGM optie 10 en met GO PTF optie 12: Noodzakelijke onderdelen voor i5/os V7R1M0 5770SS1 IBM i V7R1 5761JV1 optie 8/9/11/12 J2SE 5.0/ bit of 64 bit Noodzakelijke onderdelen voor i5/os V6R1M0 5761SS1 i5/os V6R1 5761JV1 optie 8/9 J2SE bit of 64 bit Noodzakelijke onderdelen voor i5/os V5R4M0 5722SS1 i5/os V5R4 5722JV1 optie 8 J2SE bit PTF-groep Niveau Omschrijving SF Cum PTF package C Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 3 van 13

4 Poorten t.b.v. communicatie met belastingdienst: Om te verzorgen dat de berichten elektronisch naar de Belastingdienst kunnen worden verstuurd is een TCP/IP-verbinding van de server waarop Secure Transfer is geïnstalleerd en het Internet noodzakelijk. Om dit te faciliteren moeten een aantal poorten op de server en/of de firewall worden opengezet. LET OP!! Omdat de client altijd de verbinding initieert hoeven de poorten alleen naar buiten opengezet te worden. Niet beveiligde verbindingen: SMTP 587 IMAP 143 LDAP 389 FTPS 6374 en range t/m SSL beveiligde verbindingen: SMTPS 465 IMAPS 993 LDAP 389 FTPS 6374 en range t/m TLS beveiligde verbindingen: SMTP 587 SMTPS 465 IMAP 143 IMAPS 993 LDAP 389 FTPS 6374 en range t/m Samenvattend: Service Poorten DNS-naam IP SMTP 587 smtp.bapi.belastingdienst.nl smtp.bapicft.belastingdienst.nl SMTPS 465 smtp.bapi.belastingdienst.nl smtp.bapicft.belastingdienst.nl IMAP 143 mail.bapi.belastingdienst.nl mail.bapicft.belastingdienst.nl IMAPS 993 mail.bapi.belastingdienst.nl mail.bapicft.belastingdienst.nl LDAP 389 ldap.kpnbapi.managedpki.com * ldap.testkpnbapi.managedpki.com * FTPS 6374 ; ftps.belastingdienst.nl ftpscft.belastingdienst.nl * KPN geeft aan dat er gebruik moet worden gemaakt van DNS. De IP-adressen gelden Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 4 van 13

5 op moment van schrijven, maar kunnen elk moment worden gewijzigd. Standaard is Secure Transfer ingesteld om met de door SSL beveiligde poorten te werken. Wanneer u vindt dat u hiervan af moet wijken dient u contact op te nemen met uw leverancier. Voor het openzetten van deze poorten dient u contact op te nemen met uw netwerkbeheerder Poorten t.b.v. communicatie met Equens: Om te verzorgen dat de berichten elektronisch met Equens kunnen worden uitgewisseld is een TCP/IP-verbinding van de server waarop Secure Transfer is geïnstalleerd en het Internet noodzakelijk. Om dit te faciliteren moet een aantal poorten op de server en/of de firewall worden opengezet. LET OP!! Omdat de client altijd de verbinding initieert hoeven de poorten alleen naar buiten opengezet te worden. Service Poorten IP adres FTP 21; Om gebruik te maken van de Equens testomgeving dient hetzelfde te gebeuren voor ipadres Poorten t.b.v. communicatie met Digipoort: Om te verzorgen dat de berichten elektronisch met Digipoort kunnen worden uitgewisseld is een TCP/IP-verbinding van de server waarop Secure Transfer is geïnstalleerd en het Internet noodzakelijk. Om dit te faciliteren moet een aantal poorten op de server en/of de firewall worden opengezet. LET OP!! Omdat de client altijd de verbinding initieert hoeven de poorten alleen naar buiten opengezet te worden. Service Poorten IP adres SOAP(HTTP) 80/ Om gebruik te maken van de Digipoort testomgeving dient hetzelfde te gebeuren voor ip-adres Firewall beheerders let op! Ook wanneer poort 21 open staat voor uitgaande verbindingen, kan het voorkomen dat de SSL-verbinding niet opkomt omdat een firewall SSL-verbindingen blokkeert. De verbinding met SFT (Equens Secure File Transfer) gaat op basis van FTP met explicit SSL. Dit houdt in dat de sessie unencrypted begint en dan de SSL-handshake opzet. Sommige firewalls controleren de inhoud van FTP-sessies zodat alleen bekende commando's doorgegeven kunnen worden. Een voorbeeld hiervan is SmartDefense van Checkpoint firewalls, maar ook andere firewalls en sommige ADSL-modems hebben Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 5 van 13

6 deze functionaliteit. Het probleem hiermee is dat de sessie nadat deze versleuteld wordt niet meer leesbaar is voor de firewall. De firewall zal dan het eerste encrypted pakket van de client, de zogenaamde client-hello, blokkeren. Sommige firewalls droppen dit pakket, zodat de sessie een timeout krijgt. Andere verbreken actief de connectie door naar beide kanten een reset-pakket te sturen. In het log van Secure Transfer is dan te zien dat er iets mis gaat met de ssl-handshake. De oplossing is om de controle op inhoud voor dit verkeer uit te schakelen. Met Checkpoint gaat dit d.m.v. het maken van een nieuwe netwerk-service. Deze service heeft wel poort 21 als destination, maar is niet gekoppeld aan protocol type FTP zodat SmartDefense niet de FTP-regels zal toepassen. Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 6 van 13

7 2. Nieuwe installatie Secure Transfer Benodigd: Naam of ip-adres van de System i Gebruikers-id en wachtwoord met machtigingsniveau *SECOFR Uw licentiegegevens voor Secure Transfer Installatie op PC Voer uit: PFMSetupV2R3M0.exe vanaf CD of vanuit de directory waarin het bestand is neergezet na downloaden. Dit programma vraagt om systeemnaam, gebruiker en wachtwoord voor de System i. LET OP: u dient een gebruikersprofiel te kiezen dat machtigingsniveau *SECOFR heeft! Vervolgens worden in een tijdelijke directory op uw PC een savefile voor de System i en een batchfile uitgepakt. De batchfile maakt via FTP op de System i een installatiebibliotheek (STXINSTALL) met benodigde installatieprogrammatuur. Als uw System i al een bibliotheek STXINSTALL bevatte, wordt die eerst verwijderd. U bent nu klaar met de installatie op de PC. Let op, het kan zijn dat wanneer u op uw PC een locale firewall heeft draaien dat deze FTP verkeer tegenhoudt. U heeft dan de keuze tussen handmatig uw firewall aanpassen of deze gedurende korte tijd uit te schakelen Installatie op System i U dient hier weer een gebruikersprofiel met machtigingsniveau *SECOFR te kiezen. Voer de volgende commando s uit: ADDLIBLE STXINSTALL CALL STXINSR01 U krijgt een scherm waarin u kunt aangeven hoe de namen moeten zijn van de programmabibliotheek, de centrale gegevens bibliotheek en de eerste data bibliotheek. Nu wordt op de System i een gebruikersprofiel (STXLIBADM) en een autorisatielijst gemaakt. Daarna worden de benodigde bibliotheken op het systeem gemaakt. Na enige tijd krijgt u een tweede scherm waarin u uw licentiegegevens dient in te voeren. Hierna is de installatie voltooid Licentiesleutel Voordat met Secure Transfer gewerkt kan worden moet een licentiesleutel worden aangevraagd en vastgelegd. Voor de aanvraag van de licentiesleutel is een aanvraagformulier beschikbaar als bijlage. Het ingevulde formulier moet worden opgestuurd naar: Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 7 van 13

8 PFM Holland Postbus AV Leiden De aanvraag kan ook via worden gedaan. -adres: Aan de hand van de opgegeven gegevens wordt vervolgens een licentiesleutel samengesteld. Deze licentiesleutel wordt samen met enige andere gegevens, waaronder het nummer van de licentie, aan de aanvrager verstrekt. Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 8 van 13

9 3. Bijwerken bestaande installatie Secure Transfer Benodigd: Naam of ip-adres van de System i Gebruikers-id en wachtwoord met machtigingsniveau *SECOFR 3.1. Installatie op PC Voer uit: PFMSetupV2R3M0.exe vanaf CD of vanuit de directory waarin het bestand is neergezet na downloaden. Dit programma vraagt om systeemnaam, gebruiker en wachtwoord voor de System i. LET OP: u dient een gebruikersprofiel te kiezen dat machtigingsniveau *SECOFR heeft! Vervolgens worden in een tijdelijke directory op uw PC een savefile voor de System i en een batchfile uitgepakt. De batchfile maakt via FTP op de System i een installatiebibliotheek (STXINSTALL) met benodigde installatieprogrammatuur. Als uw System i al een bibliotheek STXINSTALL bevatte, wordt die eerst verwijderd. U bent nu klaar met de installatie op de PC. Let op, het kan zijn dat wanneer u op uw PC een locale firewall heeft draaien dat deze FTP verkeer tegenhoudt. U heeft dan de keuze tussen handmatig uw firewall aanpassen of deze gedurende korte tijd uit te schakelen Bijwerken installatie op System i U dient hier weer een gebruikersprofiel met machtigingsniveau *SECOFR te kiezen. Voer de volgende commando s uit: ADDLIBLE STXINSTALL CALL STXUPDR01 U krijgt een scherm waarin u de naam van de database kunt ingeven. Als het goed is toont het programma de naam van de controlebibliotheek, de programmabibliotheek, de hoofddirectory en het versienummer van de bestaande installatie. Dat versienummer dient V2R2M0, V2R1M3 of V2R0M4 te zijn; eventueel aangevuld met patchnummer (Pn). Als het versienummer klopt drukt u op <Enter>. Nu wordt de nieuwe programmatuur geïnstalleerd, bestanden worden geconverteerd en aangevuld en het versienummer wordt bijgewerkt. N.B.: Doordat er een module aan Secure Transfer is toegevoegd zijn de gegevens waarmee de licentiesleutel wordt berekend gewijzigd. Het conversieprogramma berekent automatisch een nieuwe licentiesleutel o.b.v. de nieuwe situatie. Het is verstandig een schermafdruk van de nieuwe sleutel te maken (Basisgegevens -> Beheer -> Toevoegen/wijzigen licentie) en die afdruk goed te bewaren. Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 9 van 13

10 Verbindingshouders belastingdienst Als u Secure Transfer gebruikt om belastingaangifte te doen en u maakt gebruik van certificaten (bij verbindingshouder PKI = J ), dient u na de conversie bij de verbindingshouders de juiste waarden bij Key set en Algoritme handtekening in te vullen (zie Uitgebreid: Verbindingshouders Belastingdienst (SRBF)). Als u gebruik maakt van (de oude) DigiNotar certificaten moet dit voor Key set 2 zijn en voor Algoritme handtekening 1 zijn. Bij gebruik van (de nieuwe) KPN certificaten moet dit voor Key set 1 zijn en voor Algoritme handtekening 2 zijn. Bij vervanging van DigiNotar BAPI certificaten moet er pas 30 dagen na ontvangst van de certificaten gekozen worden voor KPN certificaten. Na invulling van de waarden wordt automatisch een.properties bestand gegenereerd voor de aansturing van jbapi Controle record vullen Om de gegevens in het controle record te vullen na een upgrade moeten de gegevens in (Basisgegevens -> Beheer -> Wijzigen controlegegevens) worden opgeslagen. Dit gebeurd door in dit scherm twee keer op enter te drukken. Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 10 van 13

11 4. Functionele wijzigingen V2R3M0 t.o.v. V2R2M Algemeen Er is een module bijgekomen: Digipoort. Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 11 van 13

12 5. Bestandswijzigingen V2R3M0 t.o.v. V2R2M0 Vergeleken met V2R2M0 is een voor de nieuwe module Digipoort een aantal databasebestanden toegevoegd; daarnaast zijn enkele bestanden gewijzigd Nieuw: Berichtsoorten Digipoort (STMF) In dit bestand wordt vastgelegd welke berichtsoorten bij Digipoort kunnen worden gebruikt Nieuw: Verbindingshouders Digipoort (SROF) In dit bestand worden de gegevens van verbindingshouders Digipoort vastgelegd Nieuw: Postbushouders Digipoort (SPOF) In dit bestand worden de gegevens van postbushouders Digipoort vastgelegd Uitgebreid: Controlegegevens (CTGF) Aan dit bestand zijn instellingen toegevoegd die voorheen in de programmatuur vastgelegd waren en/of via.properties moesten worden geregeld: - Naam hoofddirectory Secure Transfer (default stxdir ); - Locaties Java-programmatuur voor Belastingdienst, Equens en Digipoort; - Instellingen logging Java-programmatuur Uitgebreid: Verbindingshouders Belastingdienst (SRBF) Doordat de uitgifte van certificaten voor PKI is overgegaan van DigiNotar naar KPN zijn twee nieuwe velden toegevoegd aan het bestand SRBF Verbindingshouders Belastingdienst: - Key set: Omdat tussen het moment van aanvragen van een nieuw certificaat en het ontvangen daarvan nog met het oude certificaat gewerkt moet kunnen worden, maakt jbapi gebruik van 2 key sets ; via dit veld wordt aangegeven welke van de twee gebruikt moet worden. Standaardwaarde is 1. - Algoritme handtekening: Tegenwoordig wordt standaard gebruikt gemaakt van SHA-256 versleuteling (hier waarde 2 ), maar oudere certificaten gebruiken soms nog SHA-1 (waarde 1 ); via dit veld wordt aangegeven welke van de twee gebruikt moet worden. Standaardwaarde is Uitgebreid: Berichttypes (STTF) Aan dit bestand is voor Digipoort het veld BerichtSoort toegevoegd Te verzenden berichten (TTVF) Toegevoegd: - Berichtsoort Digipoort; - Ontvangstkenmerk Digipoort. Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 12 van 13

13 6. Aanvraagformulier licentiesleutel Secure Transfer Bedrijfsgegevens 1 Naam bedrijf 2 Adres 3 Postcode, plaats Contactpersoon 4 Naam contactpersoon 5 Telefoonnummer 6 Faxnummer 7 adres Gegevens Secure Transfer 8 Serienummer System i 9 Processorfeature System i 10 Secure Transfer Basis O Ja *) 11 Secure Transfer Belastingdienst O Ja *) 12 Secure Transfer Equens O Ja *) 13 Secure Transfer Digipoort O Ja *) 14 Secure Transfer FTP O Ja *) Het serienummer van de System i kan worden opgevraagd met het i5/oscommando DSPSYSVAL SYSVAL(QSRLNBR). Het processorkenmerk van de System i kan worden opgevraagd met het i5/oscommando DSPSYSVAL SYSVAL (QPRCFEAT). *) Aangeven voor welke modules een licentie wordt aangevraagd Handtekening: Plaats: Datum: Installatiehandleiding Secure Transfer Versie V2R3M0 Pagina 13 van 13