Die Installation der Software für Windows-Systeme erfolgt komfortabel über Setup. Der Installationsablauf ist für alle Versionen des Clients identisch. Im folgenden ist die Installation für Windows XP, Vista und Windows 7 beschrieben.
Bevor Sie die Software installieren, müssen, zur vollen Funktionsfähigkeit die Installationsvoraussetzungen, wie im folgenden Kapitel beschrieben, erfüllt sein.
Beachten Sie außerdem, das der Client ab Version 8.31 bei einer Neu-Installation in das Programm-Verzeichnis des Betriebssystems (Programme\NCP\SecureClient) installiert wird.
Alter Pfad: %Windows%\ncple
Neuer Pfad: %Programme%\NCP\SecureClient
Bei einem Update wird weiterhin der Pfad genutzt, der bei der letzten Installation eingetragen war.
DeinstallationWenn Sie den Client deinstalliert haben, erhalten Sie die Möglichkeit Ihre Konfigurationen und Profil-Einstellungen im Installationsverzeichnis des Clients zu behalten. Wird zu einem späteren Zeitpunkt eine neuere Version des Clients im gleichen Verzeichnis installiert, so können diese persönlichen Daten wieder genutzt werden. Sollen die persönlichen Daten des Clients auch gelöscht werden, so müssen Sie dies eigens bestätigen. In diesem Fall werden restlos alle Daten und Verzeichnisse des Clients entfernt.
Registry-Reparatur (RegRep)Bei jeder Neuinstallation des Clients, d. h. auch wenn eine ältere Version deinstalliert wurde, überprüft das Setup-Programm die Registry-Einträge. Werden problematische Einträge gefunden, so werden sie bereinigt. Das Setup-Programm generiert dazu eine Meldung, wonach der PC neu gestartet werden sollte.
Die Software kann auf Computern (min. 128 MB RAM) mit den Betriebssystemen Microsoft Windows XP, Windows Vista oder Windows 7 installiert werden. Halten Sie für die Dauer der Installation die Datenträger für das jeweils im Einsatz befindliche Betriebssystem bereit, um Daten für die Treiberdatenbank des Betriebssystems nachladen zu können!
Zielsystem:Das Zielsystem muss eine der folgenden Verbindungsarten unterstützen: ISDN, PSTN (analoges Modem), GSM, GPRS/UMTS, LAN over IP, WLAN oder PPP over Ethernet.
Lokales System:Eines der folgenden Kommunikationsgeräte muss installiert sein.
ISDN-Adapter (ISDN)Der Secure Client kann in Public Key Infrastrukturen nach X.509 V.3 Standard eingesetzt werden und unterstützt folgende Schnittstellen / Formate:
- Smartcards, USB-Token: PKCS#11, TCOS 1.2 und 2.0, CSP
- Soft-Zertifikate: PKCS#12-Datei
- PC/SC-konforme Chipkartenleser: Die Client Software unterstützt alle Chipkartenleser, die PC/SC-konform sind. Diese Chipkartenleser werden in einer Liste des Clients aufgenommen, wenn der Leser angeschlossen und die zugehörige Treiber-Software installiert wurde.
- Automatische Erkennung des angeschlossenen PC/SC-Lesers: Ist für das PKI-Umfeld die Verwendung eines PC/SC Chipkartenlesers am Client konfiguriert, so erkennt und verwendet der Client automatisch den jeweils angeschlossenen.
- PKCS#11-Modul: Mit der Software für die Smartcards oder den Tokens werden Treiber in Form einer PKCS#11-Bibliothek (DLL) mitgeliefert. Diese Treiber-Software muss zunächst installiert werden. Anschließend kann über einen Assistenten das entsprechende PKCS#11-Modul selektiert werden.
Der Administrator des Firmennetzes legt fest, welchen Ausstellern von Zertifikaten vertraut werden kann. Dies geschieht dadurch, dass er die CA-Zertifikate seiner Wahl in das Installationsverzeichnis unter
Derzeit werden die Formate *.pem und *.crt für Aussteller-Zertifikate unterstützt. Sie können im Monitor unter dem Hauptmenüpunkt "Verbindung / Zertifikate / CA-Zertifikate anzeigen" eingesehen werden.
Wird am Secure Client das Zertifikat einer Gegenstelle empfangen, so ermittelt der NCP Client den Aussteller indem er das Aussteller-Zertifikat, zunächst auf Smartcard bzw. USB-Token oder in der PKCS#12-Datei, anschließend im Installationsverzeichnis unter
Werden Soft-Zertifikate mit dem PKI Plug-in des Management Servers erstellt, so wird das Aussteller-Zertifikat in der PKCS#12-Datei gespeichert.
Zu jedem Aussteller-Zertifikat kann dem Secure Client die zugehörige CRL (Certificate Revocation List) zur Verfügung gestellt werden. Sie wird in das Installationsverzeichnis unter
Werden Sperrlisten eingesetzt, so werden normalerweise dann keine Meldungen ausgegeben, wenn am Client keine Sperrliste für eingehende Zertifikate hinterlegt ist. Soll in solchen Fällen dennoch eine Meldung ausgegeben werden, muss die Datei NCPPKI.CONF editiert werden. Sie befindet sich im Installations-Verzeichnis. Der Standardeintrag im Abschnitt [General] lautet:
Enablecrlinfo = 0
Dies bewirkt, dass keine Meldungen ausgegeben werden, wenn zu einem Zertifikat der Gegenstelle keine Sperrliste am Client gefunden wird. Soll eine Meldung ausgegeben werden, so muss diese Einstellung abgeändert werden auf:
Enablecrlinfo = 1
Der NCP Secure Entry Client wird zunächst immer als Testversion installiert. Haben Sie eine Lizenz erworben, so können die Lizenzierungsdaten nach der Installation und einem Reboot im Monitor-Menü "Hilfe / Lizenzinfo und Aktivierung" eingegeben werden. Spätestens in den letzten 10 Tagen vor Ablauf der 30-tägigen Gültigkeitsdauer der Testversion werden Sie im Client-Monitor daran erinnert, dass eine Lizenzierung vorgenommen werden muss, wenn die Client Software weiter verwendet werden soll. Bitte beachten Sie zur Lizenzierung die Beschreibung im Handbuchabschnitt zum Monitor-Menüpunkt "Hilfe / Lizenzinfo und Aktivierung".
Speichern Sie die ZIP-Datei, die Sie mit einem Download erhalten haben auf der Festplatte. Der Dateiname der Datei beinhaltet Versions- und Build-Nummer der Software, z. B.:
SecEntryClientWinx_xx_yyy.ZIP
(x_xx = Release, yyy = Build)
Entpacken Sie die ZIP-Datei. In dem Verzeichnis SecEntryClientWinx_xx_yyy starten Sie anschließend NCP_EntryCl_Win_xxx_yyy.exe.
Nachdem Sie die Software installiert haben und zum Abschluss der Installation den Rechner gebootet haben, wird der Client Monitor automatisch nach dem Booten geladen. Außerdem wird automatisch der "Assistent für die erste Konfiguration" gestartet - vorausgesetzt, Sie haben den Secure Client zum ersten Mal installiert oder die Profil-Einstellungen ncpphone.cfg gelöscht. Sie befinden sich im Installationsverzeichnis.
Wenn Sie keine Test-Verbindungen anlegen und den "Assistent für erste Konfiguration" abbrechen, erstellen Sie die ersten Profil-Einstellungen wie im Handbuch zum Client Monitor beschrieben. Nutzen Sie den "Assistent für erste Konfiguration", so klicken Sie auf den Button "Weiter". Dann legt der Assistent nach der Vorgabe Ihrer Daten ein Profil für eine IPsec-Testverbindung im Telefonbuch an. Dafür werden folgende Zugangsdaten automatisch gesetzt: VPN-Protokoll ist IPsec, der Tunnel-Endpunkt des Ziel-Gateways ist: vpntest.ncp-e.com, als XAUTH-Benutzername und XAUTH-Passwort wird "ncpIPsecnative" eingetragen. Der DNS-Server hat die Adresse 172.16.12.100. Als Verbindungsart wird LAN genutzt. Soll eine Verbindung über einen ISP hergestellt werden, so müssen zuerst die Einwahl-Parameter in den Profil-Einstellungen der Testverbindung entsprechend konfiguriert werden. Wenn Sie die Strong Security-Variante des Clients testen wollen, können Sie dafür ein mitgeliefertes Testzertifikat nutzen. Die PIN für das Testzertifikat lautet "1234" und muss bei Verbindungsaufbau eingegeben werden. Nachdem die Testkonfiguration angelegt wurde, kann sofort eine Test-Verbindung aufgebaut werden (sofern die Verbindung im LAN-Modus stattfindet.) Klicken Sie dazu den Test-Button an. Soll die Testverbindung über eine andere Verbindungsart als LAN erfolgen, so beachten Sie bitte zur weitergehenden Konfiguration eines Profils die Beschreibungen unter "Client Monitor, Profil-Einstellungen" und "Konfigurationsparameter, IPsec-Einstellungen".Das Hilfemenü des Client-Monitors bietet Tests an, womit die Internet-Verfügbarkeit getestet werden kann. Sie gestatten sowohl einen PING auf eine IP-Adresse im Internet auszuführen als auch die Auflösung eines Internet-Domain-Name (DNS-Request) in die entsprechende IP-Adresse zu prüfen, wobei der Domain-Name in Form von „ncp-e.com“ angegeben wird.
Nach Eingabe der Adresse wird der entsprechende Test-Button gedrückt, woraufhin die Aktion ausgeführt wird. Die Testergebnisse werden über ein Symbol angezeigt (erfolgreich: grüner Haken, erfolglos: rotes Kreuz). „Mehr Informationen“ zeigt ein kleines Log in Klartext. Die Tests sind insbesondere von Bedeutung wenn Firewall-Regeln für DNS-Request und ausgehende Verbindungen ins Internet angelegt wurden.Wenn Sie die Testverbindung hergestellt haben und der Tunnel zum VPN Gateway aufgebaut ist, können die folgenden Tests durchgeführt werden.
Im Monitormenü "Hilfe" wird unter dem Menüpunkt "Lizenzinfo und Aktivierung" die eingesetzte installierte Software-Version und gegebenenfalls die lizenzierte Software-Version mit Seriennummer angezeigt.
Die Client-Software wird zunächst immer als Testversion installiert, sofern noch keine Client-Software installiert wurde oder aber mit einer bereits installierten älteren Version noch keine Software-Aktivierung stattgefunden hat. Dies gilt auch für den Fall, wenn die ältere Version bereits lizenziert wurde - dann nämlich wird diese Version auf den Status einer Testversion zurückgesetzt, und die Lizenzdaten müssen innerhalb von 30 Tagen nochmals über den Aktivierungs-Dialog eingegeben werden. Die verbliebene Zeitdauer bis zur Software-Aktivierung, d.h. die Gültigkeitsdauer der Testversion, wird in der Hinweisleiste des Monitors neben dem Aktivierungs-Button angezeigt. Um eine zeitlich unbegrenzt gültige Vollversion nutzen zu können, muss die Software mit dem erhaltenen Lizenzschlüssel und der Seriennummer im Aktivierungs-Dialog freigeschaltet werden. Mit der Aktivierung akzeptieren Sie die Lizenzbedingungen, die Sie nach einem Klick auf den entsprechenden Button einsehen können. Der Aktivierungs-Dialog kann sowohl über den Aktivierungs-Button in der Hinweisleiste des Monitors als auch über das Monitormenü "Hilfe / Lizenzinfo und Aktivierung" geöffnet werden. Im folgenden können die Lizenzdaten wahlweise online oder offline über einen Assistenten eingegeben werden. In der Offline-Variante muss eine Datei, die nach Eingabe von Lizenzschlüssel und Seriennummer erzeugt wird, an den NCP Web Server geschickt werden und der daraufhin auf der Website angezeigte Aktivierungsschlüssel notiert werden. Dieser Aktivierungsschlüssel kann zu einem späteren Zeitpunkt im Lizenzierungsfenster des Monitormenüs eingegeben werden. In der Online-Variante werden die Lizenzierungsdaten über einen Assistenten unmittelbar nach Eingabe an den Web Server weitergegeben und die Software damit unverzüglich freigeschaltet.Die Gültigkeitsdauer der Testversion beträgt 30 Tage. Ohne Software-Aktivierung bzw. Lizenzierung ist nach dieser Zeitspanne kein Verbindungsaufbau mehr möglich.
Ab dem Zeitpunkt der Installation wird bei jedem Start der Software die Gültigkeitsdauer im Popup-Fenster angezeigt. Darüber hinaus wird in einer Fußzeile des Monitors eingeblendet wie lange die Testversion noch verwendet werden kann. In einer Message-Box wird ab der verbliebenen Zeitspanne der Gültigkeit von 10 Tagen, nachdrücklich darauf aufmerksam gemacht, dass die Software noch nicht lizenziert ist. Diese Message-Box erscheint einmalig pro Tag. Ist die Testphase abgelaufen, können mit der Entry Client Software nur noch Verbindungen zu Zielsystemen aufgebaut werden, die der Software-Aktivierung/- Lizenzierung dienen. So kann eines der Profile des Entry Clients dazu verwendet werden, eine Internet-Verbindung zum Zweck der Lizenzierung aufzubauen. Wichtig:Die Aktivierung der Client Software unter Windows Vista setzt voraus, dass Sie über einen Lizenzschlüssel verfügen, der mindestens der Version 9.0 entspricht. Sofern Ihnen ein kostenfreies Update auf die Version 9.0 zur Verfügung steht, erhalten Sie den zugehörigen Lizenzschlüssel, wenn Sie eine Software-Aktivierung durchführen. Für ein kostenpflichtiges Update auf die Version 9.0 wenden Sie sich bitte an Ihren Reseller.
Spätestens wenn die Testphase abgelaufen ist, muss die Software aktiviert oder deinstlliert werden.
Zur Aktivierung selektieren Sie im Monitormenü "Hilfe" den Menüpunkt "Lizenzinfo und Aktivierung". Sie können hier ablesen um welche Software-Version es sich handelt und wie die Software lizenziert ist, d.h. dass die Testversion abgelaufen und die Software noch nicht aktiviert/lizenziert ist. Mit Klick auf die Lizenzbedingungen wird der entsprechende Vertragstext eingeblendet. Mit der Aktivierung/Lizenzierung der Software akzeptieren Sie die Lizenzbedingungen. Zur Aktivierung der Software klicken Sie auf den Button "Aktivierung". Im folgenden Fenster können Sie zwischen einer Online- und einer Offline-Variante wählen. In der Offline-Variante muss eine Datei, die nach Eingabe von Lizenzschlüssel und Seriennummer erzeugt wird, an den NCP Web Server geschickt werden und der daraufhin auf der Website angezeigte Aktivierungsschlüssel notiert werden. In der Online-Variante werden die Lizenzierungsdaten über einen Assistenten unmittelbar nach Eingabe an den Web Server weitergegeben und die Software damit unverzüglich freigeschaltet. Nach der Wahl der Aktivierungsart werden die Lizenzdaten in die dafür vorgesehenen Felder eingetragen. Klicken Sie anschließend auf "Weiter".Bei der Online-Aktivierung werden die Lizenzdaten über eine Internetverbindung zum NCP Aktivierungs-Server übertragen. Diese Internetverbindung kann entweder über den DFÜ-Dialer oder DSL hergestellt werden oder über den Entry Client.
Soll die Internetverbindung nicht über den Entry Client hergestellt werden, so muss die Verbindung zunächst hergestellt werden, um anschließend über das Monitormenü "Hilfe / Lizenzinfo und Aktivierung" den Aktivierungs-Assistenten zu starten. Soll der Entry Client zum Verbindungsaufbau ins Internet genutzt werden, so muss zunächst ein geeignetes Profil für den Entry Client hergestellt werden. Dabei ist darauf zu achten, dass bei aktivierter Firewall der Port 80 (für HTTP) freigeschaltet ist. (Sollte ein Proxy Server im Betriebssystem konfiguriert sein, können dessen Einstellungen nach Klick auf "Proxy-Einstellungen" übernommen werden.) Nachdem das Profil selektiert wurde, klicken Sie auf "Weiter". Die Internetverbindung über den Entry Client muss nicht eigens vor der Aktivierung aufgebaut werden. Sie wird automatisch aufgebaut, nachdem das gewünschte, bestehende Profil im Assistenten für Software-Aktivierung ausgewählt wurde und der Button "Weiter" angeklickt wird. Die Software-Aktivierung erfolgt automatisch in der angegebenen Reihenfolge: Sobald der Aktivierungs-Server erkennt, dass Ihnen eine neuere Software-Lizenz zusteht und der Lizenzschlüssel zur installierten Software passt, wird mit der Online-Aktivierung automatisch der neue Lizenzschlüssel übertragen (Lizenz-Update) und damit die neuen Features der Software freigeschaltet. Bitte beachten Sie dazu den Abschnitt "Updates" am Ende dieses Kapitels. Nach Abschluss der Aktivierung kann im Fenster für die Lizenzdaten abgelesen werden, dass es sich bei der eingesetzten Software um eine korrekt aktivierte Vollversion handelt. Die Nummer der Software-Version und der lizenzierten Version sollten übereinstimmen, ansonsten muss mit einem neueren Lizenzschlüssel die Lizenz aktualisiert werden. Dazu klicken Sie den Button "Lizenzierung". Beachten Sie dazu auch die Beschreibung am Ende der Offline-Variante.Die Offline-Variante wird in zwei Schritten durchgeführt. Im ersten Schritt muss eine Datei, die nach Eingabe von Lizenzschlüssel und Seriennummer erzeugt wird, an den NCP Web Server geschickt werden. Die URL lautet:
http://www.ncp-e.com/de/service-support/software-aktivierung.html
Auf der Website wird daraufhin ein Aktivierungsschlüssel angezeigt, der notiert werden muss, um im zweiten Schritt, der auch zu einem späteren Zeitpunkt vorgenommen werden kann, im Lizenzierungsfenster des Monitormenüs eingegeben werden zu können.
Wird der Menüpunkt „Auf Updates prüfen“ aufgerufen, wird ein Dialog angezeigt, über den der Abfragezyklus (nie, täglich, wöchentlich, monatlich) konfiguriert werden kann. Zusätzlich ist ein Button enthalten „Jetzt prüfen“.
Unter dem Menüpunkt "Auf Updates prüfen", im Monitormenü unter "Hilfe", kann geprüft werden, ob bei NCP eine neuere Software vorliegt, als die von Ihnen installierte. Dies ist auch dann möglich, wenn eine Testversion installiert wurde. Liegt eine neuere Version bei NCP vor, so ist immer ein Sofware-Update möglich.
Das Software-Update ist immer dann kostenpflichtig, wenn es sich bei der neueren Version um ein Major Release handelt, erkennbar an der Änderung der ersten Dezimalstelle hinter dem Komma. Zum Beispiel: Ist eine Version 8.26 installiert und die nächste Software-Version hat die Nummer 8.3, so ist ein Software-Update von 8.26 auf 8.3, sowie insbesondere die Nutzung der neuen Features, kostenpflichtig. Die neuen Features können nur genutzt werden, wenn die neue Software nach Installation mit einem neuen Lizenzschlüssel aktiviert wurde, wie oben unter Software-Aktivierung beschrieben. Der neue Lizenzschlüssel wird erzeugt, indem Seriennummer und Update-Schlüssel, der über den Reseller vorort erworben werden kann, auf folgender Website eingetragen werden:Nachdem Sie den Menüpunkt "Auf Updates prüfen" selektiert haben, öffnet sich der Assistent für Software-Updates. Er hilft Ihnen bei der Suche nach neu verfügbarer Software. Um auf neue Updates prüfen zu können, benötigen Sie eine Verbindung ins Internet. Soll der Entry Client zum Verbindungsaufbau ins Internet genutzt werden, so ist darauf zu achten, dass bei aktivierter Firewall der Port 80 (für HTTP) freigeschaltet ist.
Sollte ein Proxy Server im Betriebssystem konfiguriert sein, können diese Einstellungen übernommen werden. Wenn die Proxy-Einstellungen korrekt konfiguriert sind, klicken Sie auf "OK". Der Assistent sucht nun über die Internet-Verbindung nach neu verfügbaren Software-Updates. Steht ein Software-Update zur Verfügung, wird es angezeigt. (Dabei kann sich eine Version auch nur durch die Build-Nummer unterscheiden.) Klicken Sie auf "Weiter", wenn Sie die aktuellere Software nutzen wollen. Damit wird das Installationspaket für die neueste Software heruntergeladen. Mit Klick auf "Fertigstellen" wird der Assistent beendet und die Installation des Software-Updates gestartet. Nach Start des Installshield Wizzard wählen Sie wie bei der Standardinstallation die Installationssprache und beantworten anschließend die Update-Frage mit "Ja". Danach wird die Installation automatisch durchgeführt. Sie ist abgeschlossen, wenn Sie den Rechner neu gestartet haben.Wenn bei der Installation eine ältere Version der Client Software gefunden wird, haben Sie die Möglichkeit, ein Update durchzuführen. Die Profil-Einstellungen, Zertifikate und die Verbindungssteuerung werden bei einem Update in der früher gemachten Konfiguration beibehalten. (Sollten noch andere Programme laufen, werden diese nun gestoppt.)
Um die Client Software zu entfernen, gehen Sie zu: "Start / Einstellungen / Systemsteuerung". Klicken Sie nun auf "Software" und wählen Sie den Client aus der Liste. Klicken Sie dann auf den Button mit "Hinzufügen/Entfernen". Das Uninstall Shield Programm löscht nun die Client Software von Ihrem PC. Wichtig: Nachdem die Komponenten entfernt wurden, sind die Profil-Einstellungen des Clients erhalten geblieben, so dass sie für neuere Versionen des Clients genutzt werden können. Um die Dateien vollständig vom PC zu löschen, müssen Sie sie per Hand aus dem Installations-Verzeichnis löschen.Ein Upgrade von einem Secure Entry Client auf einen Secure Enterprise Client erfolgt dadurch, dass die Lizenzierung und die Software erneuert werden. Dies kann sowohl manuell vor Ort oder auch über einen Update Server erfolgen.
Beim manuellen Upgrade wird die Software von CD erneut installiert, wobei als zu installierendes Produkt "NCP Secure Enterprise Client" eingegeben wird. Dabei erkennt das Installationsprogramm, dass bereits eine Software-Version installiert ist und führt nach entsprechender Bestätigung ein Update durch. Anschließend muss im Popup-Menü der neue Aktivierungsschlüssel mit Seriennummer eingegeben werden. Bei einem Upgrade über einen Update Server wird im Telefonbuch des Clients die IP-Adresse des Update Servers eingetragen. Bei der nächsten Einwahl in das Firmennetz wird die Secure Client Software automatisch herunter geladen. Bei einer erneuten Anwahl mit dieser neuen Software wird eine CNF-Datei (Profil-Einstellungen) mit Lizenzierungsschlüssel herunter geladen. Damit ist das Upgrade abgeschlossen.