%,-/$*( 3UR[\VHUYHUV)LUHZDOOVHQ*DWHZD\V (HQOLFKWHPL[YDQWKHRULHHQSUDNWLMN YRRUGH,&7FR UGLQDWRUYDQHHQ(',621VFKRRO
Theorie +22)'678.,7KHRULH $3UR[\ 3UR[\VHUYHUVILUHZDOOVHQJDWHZD\V In een moderne (onderwijs)organisatie is gelijktijdige en efficiënte communicatie van verschillende gebruikers via een computernetwerk een echte noodzaak geworden. Of de communicatie nu verloopt tussen computers binnen de eigen organisatie of met het internet, wordt voor de gebruiker steeds onbelangrijker. Voor de beheerder is het echter een groeiende zorg. Het is daarom van belang dat de nodige technische voorzieningen worden getroffen, waarmee het interne netwerk veilig met het internet kan worden aangesloten. Er zijn verschillende technieken om een internetaansluiting te delen met een eigen computernetwerk. Zij vervullen een scala aan taken, zoals het regelen, het maskeren, het bewaken, het beveiligen, het verwittigen en eventueel blokkeren, het loggen, het archiveren,... van de communicatie. Tevens worden ze omschreven met een ruime terminologie, zoals Internet (Connection) Sharing of kortweg ICS, Proxy-server, Firewall, Gateway, IP-filtering, Network Address Translation (NAT),. In deze handleiding beperken we ons tot de essentie en vatten we al deze technieken en hun takenpakket samen onder de term "proxy". In wat volgt, wordt een korte, relatief eenvoudige omschrijving gegeven van een proxy en hoe deze kan worden ingesteld om met Route400 in het EDISON-pakket samen te werken. Zij werd samengesteld om u een idee te geven van wat de mogelijke noodzakelijkheden en vereisten zijn voor het operationeel maken en houden van een verbinding via een proxy, indien u via een manueel ingestelde poort of "mapped port" werkt, zoals bij TCP-poort 102 voor Route400 van het EDISON-pakket. Wij willen u er op wijzen dat zelfs kleine ingrepen in netwerkcomponenten aan deskundigen overgelaten moeten worden. Deze beschrijving werd dan ook uitsluitend vrijblijvend en ten informatieven titel samengesteld. Noot: In deze handleiding zijn de zogenaamde Personal Firewalls buiten beschouwing gelaten, omdat zij enkel vaak op applicatie-niveau actief zijn. Voor het Route400-programma betekent dit dat enkel maar UQTXE.EXE in de personal firewall moet worden toegelaten. 6RRUWHQ Er zijn twee soorten proxy s te onderscheiden: de software-matig geïmplementeerde en de hardware-gebonden: - een software-matig geïmplementeerde proxy is een software-pakket dat geïnstalleerd wordt op een server. De server kan van een sterk variërende capaciteit en omvang zijn. Meestal moet er worden voldaan aan een aantal minimale systeemvereisten, maar deze _ Versie 1.3 pag. 2 EDISON IOX[XV
Theorie proxy s zijn vaak op een vrij willekeurig server-platform te implementeren. In de hierna volgende beschrijving zal deze soort van proxy verder worden omschreven. - een hardware-gebonden proxy is proxy-software die geïntegreerd is met een ander apparaat dan een computer, zoals bijvoorbeeld een router. Vermits de software ingebakken is in de apparatuur kan deze alleen maar met dit specifieke apparaat worden gebruikt. Er werd in de verdere beschrijving geen rekening gehouden met dit soort van proxy. Indien u beschikt over een dergelijke proxy, neemt u best contact op met de leverancier van dit apparaat om eventueel de nodige instellingen te laten wijzigen. :HUNLQJ In een netwerk zijn verschillende computers met elkaar verbonden. "Eén punt" wordt tot algemene spreekbuis van het netwerk naar de buitenwereld aangesteld dat autonoom naar het Internet optreedt, nl. de proxy. De buitenwereld heeft geen weet van de eigenlijke interne vraagsteller maar regelt alles via deze tussenpersoon. Hierdoor is er een doorgeefluik voor het eigen netwerk naar het Internet, zodat de stroom van gegevens op het interne netwerk die buitengaan naar het Internet eenvoudig kunnen worden gecontroleerd en geoptimaliseerd. Tevens is er een toegangspoort voor het eigen netwerk van het Internet, zodat de stroom van gegevens die binnenkomen van het Internet eenvoudig kunnen worden gecontroleerd en het ook een stuk eenvoudiger wordt om de toegang tot de eigen gegevens voor de buitenwereld te beveiligen. _ Versie 1.3 pag. 3 EDISON IOX[XV
Theorie %1HWZHUNHQ 7&3,3HQDQGHUH3URWRFROOHQ Om op het Internet te kunnen communiceren met andere computers moet de proxy dezelfde taal spreken als de andere aangesloten computers op het Internet. De taal van het Internet werd vastgelegd in het TCP/IP-protocol en een proxy moet dan ook zodanig worden ingesteld. Het is echter niet noodzakelijk dat de proxy altijd het TCP/IP-protocol gebruikt om op het interne netwerk met de andere interne computers te communiceren. Er zijn nog andere protocollen mogelijk zoals IPX, Netbeui, Netbios, Hoe deze protocollen de communicatie over het interne netwerk verzorgen zou ons te ver leiden en wordt hier niet verder bekeken. 3XEOLHNHHQSULYDWH,3DGUHVVHQ De proxy moet niet alleen dezelfde taal kunnen spreken maar moet tevens kunnen worden geïdentificeerd door andere computers. 3XEOLHNH Om op het Internet te kunnen communiceren met andere computers moet de proxy beschikken over een publiek IP-adres die hem wereldwijd een unieke identiteit geeft. Normaal krijgt uw proxy een publiek IP-adres van uw Internet Service Provider (ISP). 3ULYDWH Het tegenovergestelde van publieke IP-adressen zijn private IP-adressen. Private IPadressen zijn IP-adressen die niet gekend zijn op het Internet. Ze worden ook wel non-routable Internet-adressen voor een lokaal netwerk genoemd. U kunt zelf vrij een privaat IP-adres toekennen aan een computer op uw intern netwerk. Natuurlijk is dit alleen van toepassing op uw situatie, indien op uw interne netwerk ook het TCP/ IP-protocol wordt gebruikt. Waarom alleen private IP-adressen gebruiken binnen uw eigen intern TCP/IP-netwerk? Sommige proxy-software laat zich een stuk moeilijker installeren, indien in combinatie met deze proxy-software publieke IP-adressen worden gebruikt op het intern netwerk. Sommige proxy s werken niet of niet correct, indien u in combinatie met deze proxy s publieke IP-adressen zou gebruiken. Uit veiligheidsoverwegingen zijn private IP-adressen aangewezen, vermits deze nooit rechtstreeks vanuit het Internet te bereiken zijn. Bij sommige proxy s zijn extra manuele handelingen vereist om de publieke IP-adressen manueel te binden aan de gewenste poorten op de proxy s, zodat deze IP-adressen gebruik kunnen maken van deze services. _ Versie 1.3 pag. 4 EDISON IOX[XV
Theorie Het gebruik van publieke IP-adressen voor uw intern netwerk kan voor routeringsproblemen zorgen, vermits een vraag komende van een PC op het intern netwerk naar een bepaald IPadres ergens op het Internet, door de proxy-software kan worden geïnterpreteerd als een vraag naar een computer op het eigen intern netwerk. Private IP-adressen bestaan uit een van de volgende combinaties van een van de volgende klassen: KLASSE PRIVATE IP-ADRESSEN SUBNET-MASK VAN TOT A 10.0.0.0 10.255.255.255 255.0.0.0 B 172.16.0.0 172.31.255.255 255.255.0.0 C 192.168.0.0 192.168.255.255 255.255.255.0 D - - - E - - - De private IP-adressen moeten worden gebruikt om interne TCP/IP-netwerken te laten samenwerken met de proxy. Deze laatste zal dus zowel over een privaat als over een publiek IPadres beschikken. 9RRUEHHOG 1): Een computer met IP-adres 192.168.0.3 (d.i. een privaat IP-adres) heeft wel een identiteit op het interne netwerk, maar hij kan nooit rechtstreeks vanop het Internet worden aangesproken of een computer aanspreken. Met het oog op beveiliging is dit vaak zeer gewenst! 2): Een computer met IP-adres 196.100.7.125 (d.i. een publiek IP-adres) beschikt wel over een identiteit op het Internet en kan dus rechtstreeks andere computers aanspreken en door anderen aangesproken worden op het Internet. Indien deze computer op een netwerk tevens ook nog kan beschikken over een privaat IP-adres, kan hij als toegangspoort voor andere computers uit het intern netwerk naar het Internet fungeren. Zo n toegangspoort is een proxy. _ Versie 1.3 pag. 5 EDISON IOX[XV
Theorie 6WDWLVFKRIG\QDPLVFKWRHJHNHQGH,3DGUHVVHQ Een statisch toegekend IP-adres is een IP-adres dat steeds verbonden is met een welbepaalde computer. Het IP-adres werd manueel ingesteld en zal pas wijzigen als het manueel wordt gewijzigd. Een dynamisch toegekend IP-adres is een IP-adres dat tijdelijk wordt toegekend aan een computer. Indien deze computer het niet meer nodig heeft, wordt het IP-adres vrijgegeven en kan het aan een andere computer worden toegekend. Het dynamisch toekennen van een IP-adres gebeurt door een Dynamic Host Configuration Protocol -server (DHCP) bij het aanmelden op een (intern/extern) netwerk of een Point-to-Point Protocol-router (PPP) bij het inbellen op een (extern) netwerk. Het statisch toekennen kan voordelen hebben indien u een IP-nummerplan hanteert. Tevens is steeds duidelijk welke PC actief is, vermits deze over een vaste interne identiteit beschikt. Het nadeel van het statisch toekennen van IP-adressen is dat elke PC individueel moet worden geconfigureerd. Het dynamisch toekennen van IP-adressen is vaak eenvoudiger. Het grootste werk wordt geleverd door de DHCP-server. Op de PC moet alleen aangegeven worden dat het IP-adres bij deze DHCP-server moet worden bekomen. Indien bij problemen moet worden uitgezocht welke PC deze veroorzaakt, zal er echter meer zoekwerk aan te pas komen. Zowel publieke als private IP-adressen kunnen statisch of dynamisch worden toegekend. Publieke dynamische IP-adressen worden over het algemeen toegekend door de ISP bij het opzetten van de communicatie met het Internet via een ISP. Private dynamische IP-adressen worden meestal toegekend op het moment dat de gebruiker zich aanmeldt op het interne netwerk. NOOT: soms is het mogelijk dat een besturingssysteem voor DHCP-geconfigureerde computer automatisch een IP-adres toekent via Automatic Private IP Addressing (APIPA), indien de DHCP-server (tijdelijk) niet beschikbaar is. De Internet Assigned Numbers Authority (IANA) heeft hiervoor volgende IP-adressen gereserveerd: KLASSE PRIVATE IP-ADRESSEN SUBNET-MASK VAN TOT B 169.254.0.0 169.254.255.255 255.255.0.0 Opgelet: De computer kan hierdoor niet communiceren met computers met andere IP-adressen of subnets buiten deze range. Deze standaardgeactiveerde optie kan aldus voor communicatieproblemen zorgen! _ Versie 1.3 pag. 6 EDISON IOX[XV
Theorie &%HVOXLW Tot nu werd een korte beschrijving gegeven van enkele termen en principes van het werken met een proxy. Het doel van deze beschrijving is NIET om een proxy mee op te zetten. We gaan er van uit dat u deze reeds hebt en dat deze operationeel is. Het was enkel de bedoeling om een aantal zaken vooraf eenduidig te bepalen. De tot nu toe uitgelegde termen en verklaarde principes zullen hierna zonder verdere uitleg worden gebruikt. Raadpleeg eventueel de hierboven beschreven terminologie opnieuw, indien enkele termen u niet meer volledig duidelijk zouden zijn. Soms kan de juiste interpretatie van een woord of term het verschil betekenen tussen het operationeel krijgen van de verbinding met het postsysteem via uw proxy of juist niet (bijvoorbeeld het onderscheid tussen privaat/ publiek IP-adres, statisch/dynamisch toegekend, ). Als u de verbinding met Route400 naar het postsysteem via een proxy wenst op te zetten, dient u vooraf te beschikken over: een volledig operationeel netwerk; een operationele proxy; een operationele en uitgeteste Internetverbinding met een Internet Service Provider (ISP) via deze proxy (!). We gaan van deze beginsituatie steeds uit! Indien u nog problemen zou hebben met een of meerdere van bovenstaande vereisten raden wij u ten zeerste aan om eerst deze problemen op te lossen, alvorens over te gaan tot de eventuele uitbreidingen die nodig zijn om te communiceren met Route400 via uw proxy. Maak eventueel tijdelijk gebruik van een ander communicatiekanaal in het EDISON-pakket zodat u in alle rust de tijdelijke problemen die u ondervindt, kunt oplossen. Doe de overstap slechts dan wanneer u zeker bent geen problemen meer te hebben met een van de bovenstaande vereisten uit de beginsituatie. _ Versie 1.3 pag. 7 EDISON IOX[XV
Praktijk +22)'678.,,3UDNWLMN $$DQSDVVLQJHQRSGHSUR[\ 0LQLPDOHV\VWHHPYHUHLVWHQ 1. Vaak moet de computer (hardware) die wordt gebruikt, aan een aantal minimale vereisten voldoen. 2. Tevens moet het besturingssysteem (software) voldoen aan een aantal vereisten of aanbevelingen om een optimale werking te bekomen. NOOT: vermits we ervan uitgaan dat u beschikt over een operationele proxy, gaan we er niet dieper op in. 7&3,3LQVWHOOLQJHQ Voor de proxy worden géén specifieke instellingen voor het besturingssysteem vermeld. Raadpleeg bij vragen en problemen de leverancier van uw proxy. _ Versie 1.3 pag. 8 EDISON IOX[XV
Praktijk 8LWJDDQGH7&3SRRUW 3ODDWV Afhankelijk van de proxy (!) kan het openen van de uitgaande TCP-poort 102 op verschillende manieren gebeuren: in het configuratiescherm klikken op het icoontje 3UR[\VHUYHU; in het configuratiescherm klikken op het icoontje 1HWZHUN; in het configuratiescherm klikken op het icoontje 6HUYLFHV; klikken op het icoon in de systemtray; in 6WDUW 3URJUDPPD V kan een map met de naam van de proxy staan met daarin de nodige tools; surfen in een recente webbrowser naar http://xxx.xxx.xxx.xxx:poort, waarbij xxx.xxx.xxx.xxx staat voor het private IP-adres van de proxy en Poort staat voor de poort waarop de proxy kan worden benaderd (zie handleiding van uw proxy); intypen van een proxy-software-commando in een zogenaamde console: d.i. in: - Windows: MSDOS-prompt, DOS-prompt, DOS-box, DOS-venster, opdrachtprompt, command prompt,... - MacOS 7-8-9: gebruik freeware - MacOS X: command-line interface, Terminal, Terminal Shell (bash, tcsh, zsh,...) - Linux/Unix: console, terminal, shell (zsh, bash, Korn, C, Bourne,...)... 2SHQHQSRRUW Enkele proxy s zijn zo in te stellen dat standaard alle uitgaande verkeer doorgelaten wordt, zodat hiervoor niets meer moet worden gedaan. Meestal zal deze poort echter manueel moeten worden geopend. Het is voldoende om de poort te openen voor uitgaande communicatie (ook wel outgoing of outbound genoemd). Bij sommige proxy s kan dit onderscheid niet worden gemaakt en betekent het openen van een poort dat er na het openen zowel inkomend als uitgaand verkeer kan plaatsvinden. Gegevens die hier mogelijk moeten worden meegeven zijn: het poortnummer : 102 OF service type: ISO-TSAP het poorttype: TCP (niet: UDP!) de richting van het verkeer: Uitgaand (ook wel Outgoing of Outbound genoemd) een eigen naam ter persoonlijke identificatie voor deze instelling in de proxy bijv. EDISON- PROXY wie hiervan gebruik maken mag: user(naam), werkgroep, _ Versie 1.3 pag. 9 EDISON IOX[XV
Praktijk BELANGRIJK: het is niet altijd nodig om al deze gegevens bij elke proxy mee te geven. Bij sommige proxy s moeten ook nog andere gegevens meegegeven worden (bijvoorbeeld DNSinstellingen). Raadpleeg hiervoor de documentatie van uw proxy. 7HVWHQ Volgende testen kunnen worden uitgevoerd vanop de proxy: +773:::21'9/$$1'(5(1%((',621+2(352;< 7(67(1+70 Controleer of u in een webbrowser naar http://www.ond.vlaanderen.be/edison/hoe/proxy/ testen1.htm kunt surfen. 7(/1(7 Controleer of u op de server het volgende commando "telnet 195.99.89.1 102" kunt uitvoeren in een console d.i. in: - Windows: MSDOS-prompt, DOS-prompt, DOS-box, DOS-venster, opdrachtprompt, command prompt,... - MacOS 7-8-9: gebruik freeware - MacOS X: command-line interface, Terminal, Terminal Shell (bash, tcsh, zsh,...) - Linux/Unix: console, terminal, shell (zsh, bash, Korn, C, Bourne,...) 7(/1(7ZZZHGLVRQYODDQGHUHQEH Controleer of u op de server het volgende commando "telnet www.edison.vlaanderen.be 102" kunt uitvoeren in een console d.i. in: - Windows: MSDOS-prompt, DOS-prompt, DOS-box, DOS-venster, opdrachtprompt, command prompt,... - MacOS 7-8-9: gebruik freeware - MacOS X: command-line interface, Terminal, Terminal Shell (bash, tcsh, zsh,...) - Linux/Unix: console, terminal, shell (zsh, bash, Korn, C, Bourne,...) _ Versie 1.3 pag. 10 EDISON IOX[XV
Praktijk %,QVWDOODWLHRSGHFOLsQWFRPSXWHU 0LQLPDOHV\VWHHPYHUHLVWHQ 6RIWZDUH Controleer vooraf de minimale softwarevereisten nodig om een cliënt-computer te laten samenwerken met uw proxy. Afhankelijk van de software moeten volgende items bekeken worden: versie besturingssysteem; Internet Service Provider; +DUGZDUH Controleer vooraf de minimale hardware-vereisten die nodig zijn om een cliënt te kunnen configureren om hem toe te laten samen te werken met uw proxy. 7&3,3LQVWHOOLQJHQ Indien uw intern netwerk werkt via het TCP/IP-protocol, dient dit geïnstalleerd te zijn op de cliënt-computer waarop het EDISON-pakket geïnstalleerd is. Indien het interne netwerk werkt via andere protocollen (IPX, Netbeui, Netbios, ) zullen hiervoor tevens de nodige stappen moeten gezet zijn. Stel het private IP-adres in, indien u over een TCP/IP-netwerk beschikt. Het IP-adres moet van dezelfde klasse zijn en dezelfde subnetmask hebben als die van de proxy. Het kan statisch zijn of dynamisch worden toegekend door een DHCP-server. Het is vaak aan te raden alle cliënt-computers die gebruik wensen te maken van de proxy binnen dezelfde werkgroep(en) te plaatsen. Alle aangesloten computers geeft u best ook elk een andere computernaam. Kies een geschikte naam die niet in conflict kan komen met namen die worden gebruikt op uw intern netwerk. Gebruik hiervoor niet EDISON als naam, vermits deze naam tot misverstanden leiden kan. Herstart de cliënt-computer na wijzigingen aan de instellingen, ook indien er niet expliciet om wordt gevraagd. _ Versie 1.3 pag. 11 EDISON IOX[XV
Praktijk,QVWDOOHUHQSUR[\VRIWZDUH Sommige proxy s vereisen dat er op de client-computer extra software wordt geïnstalleerd. Deze extra software kunt u terugvinden bij de proxy-software. Indien dit niet het geval is, mag u deze stap overslaan. 3ODDWV Sluit alle openstaande vensters en programma s af. Schakel eventueel uw virusscanner uit. U zult over beheerdersrechten moeten beschikken indien u de proxy-software wilt installeren op de cliënt-computer. Zorg dat de proxy actief is (dus niet in SLEEP of SUSPEND mode!). Zorg dat u met de cliënt-computer aangemeld bent op het interne netwerk. Start het EXE-bestand op om de proxy-software voor de cliënt-computer te installeren. Afhankelijk van uw proxy-software: zal deze detecteren dat er reeds een server is en zal een cliënt-versie worden geïnstalleerd; zal een vraag verschijnen Server of Cliënt installeren? ; zal een aparte installatie-set voor de cliënt-software moeten worden gebruikt (die u soms zelf zult moeten samenstellen). BELANGRIJK: indien er foutmeldingen zouden verschijnen tijdens of na de installatie moet u deze problemen eerst oplossen, alvorens u verder kunt gaan! Herstart de computer na de installatie van de proxy-software, ook indien er na de installatie niet expliciet om wordt gevraagd.,qvwhoohqsur[\vriwzduh Afhankelijk van de proxy-software worden de instellingen uitgevoerd als volgt: in het configuratiescherm klikken op het icoontje 3UR[\VHUYHU; in het configuratiescherm klikken op het icoontje 1HWZHUN; in het configuratiescherm klikken op het icoontje 6HUYLFHV; klikken op het icoon in de systemtray; in 6WDUW 3URJUDPPD Vkan een map met de naam van de proxy staan met daarin de nodige tools; surfen in een recente webbrowser naar http://xxx.xxx.xxx.xxx:poort, waarbij xxx.xxx.xxx.xxx staat voor het private IP-adres van de cliënt en Poort staat voor de poort waarop de proxy kan benaderd worden (zie handleiding van uw proxy); _ Versie 1.3 pag. 12 EDISON IOX[XV
Praktijk intypen van een proxy-software-commando in een zogenaamde console d.i. in: - Windows: MSDOS-prompt, DOS-prompt, DOS-box, DOS-venster, opdrachtprompt, command prompt,... - MacOS 7-8-9: gebruik freeware - MacOS X: command-line interface, Terminal, Terminal Shell (bash, tcsh, zsh,...) - Linux/Unix: console, terminal, shell (zsh, bash, Korn, C, Bourne,...)... Controleer of de cliënt-software effectief actief is. In sommige proxy-software kan de werking via de proxy eenvoudig aan- en uitgezet worden door deze optie in de proxy-software aan of af te vinken. Controleer of deze effectief aangevinkt staat, zodat er via de proxy zal worden gegaan wanneer u verbinding met het Internet opzet. NOOT: indien u wenst te werken via een inbelverbinding op de cliënt-computer, zal u de werking met dezelfde optie eerst moeten uitschakelen! _ Versie 1.3 pag. 13 EDISON IOX[XV
Praktijk 7HVWHQ Volgende testen kunnen na installatie van de proxy-cliënt-software worden uitgevoerd: +773:::21'9/$$1'(5(1%((',621+2(352;< 7(67(1+70 Controleer of u in een webbrowser kunt surfen naar http://www.ond.vlaanderen.be/edison/hoe/ proxy/testen2.htm, MAAR zonder instellingen van een proxy in de browseropties van uw webbrowser of zonder een inbelverbinding actief op de client-computer. 7(/1(7 Controleer of u op de client-computer het volgende commando "telnet 195.99.89.1 102" kunt uitvoeren in een console d.i. in: - Windows: MSDOS-prompt, DOS-prompt, DOS-box, DOS-venster, opdrachtprompt, command prompt,... - MacOS 7-8-9: gebruik freeware - MacOS X: command-line interface, Terminal, Terminal Shell (bash, tcsh, zsh,...) - Linux/Unix: console, terminal, shell (zsh, bash, Korn, C, Bourne,...) 7(/1(7ZZZHGLVRQYODDQGHUHQEH Controleer of u op de client-computer het volgende commando "telnet www.edison.vlaanderen.be 102" kunt uitvoeren in een console d.i. in: - Windows: MSDOS-prompt, DOS-prompt, DOS-box, DOS-venster, opdrachtprompt, command prompt,... - MacOS 7-8-9: gebruik freeware - MacOS X: command-line interface, Terminal, Terminal Shell (bash, tcsh, zsh,...) - Linux/Unix: console, terminal, shell (zsh, bash, Korn, C, Bourne,...) 5287( Controleer of u in het EDISON-pakket met Route400 een verbinding kunt maken naar het postsysteem _ Versie 1.3 pag. 14 EDISON IOX[XV