Zugriff auf eine interne Website

Mit oneclick™ Web Shield stellen Sie eine interne Website oder Web-App in einer isolierten Sitzung bereit. Für diese Einrichtung benötigen Sie eine Web-Shield-Lizenz und ein bereits an oneclick™ angebundenes Zielsystem. Die Lizenzanforderung beschreibt der Artikel App-Lizenz. Der oneclick™ Secure Browser erreicht keine internen Websites.

Voraussetzungen

• Das Zielsystem ist über VPN IPsec oder oneclick™ Mesh angebunden, und die Anbindung ist verbunden.
• Am Zielsystem sind die interne IP-Adresse des Webservers und alle Ports eingetragen, die die Web-App verwendet. Leitet sie von HTTP auf HTTPS um, gehören die Ports 80 und 443 dazu.
• Bei VPN IPsec müssen Sie für Web Shield nichts an Ihrem DNS ändern. Filtert Ihre Firewall den Tunnel nach Ports, muss sie die Ports der Web-App zulassen.

App-Konfiguration erstellen

1. Klicken Sie im Menü auf Apps und dann auf App-Konfigurationen.
2. Klicken Sie auf das Plus-Symbol.
3. Wählen Sie Ihre Web-Shield-Lizenz und klicken Sie auf Weiter.
4. Wählen Sie den Konfigurationstyp Interne Website / App. Fehlt die Option, haben Sie in Schritt 3 keine Web-Shield-Lizenz gewählt. Mit einer Lizenz vom Typ App - Standard lassen sich keine internen Websites bereitstellen.
5. Wählen Sie unter Ziel(e) das bereits angebundene Zielsystem mit dem Port des internen Webdienstes aus und klicken Sie auf Weiter. Benutzer können das Zielsystem dieser App nicht wechseln.
6. Geben Sie der App-Konfiguration einen Namen.
7. Ergänzen Sie gegebenenfalls Tags.
8. oneclick™ übernimmt unter URL den Hostnamen bzw. die IP-Adresse und den Port des ausgewählten Zielsystems automatisch und wählt das Protokoll passend vor (Port 443: HTTPS, sonst HTTP). Prüfen Sie das Protokoll und ergänzen Sie gegebenenfalls den Pfad der internen Website. Bei VPN IPsec erreicht Web Shield nur das Zielsystem und dessen Ports, siehe Interner Hostname bei VPN IPsec. Bei oneclick™ Mesh löst Web Shield einen am Zielsystem hinterlegten Hostnamen über öffentliches DNS auf, siehe Fehlerbehebung.
9. Legen Sie unter Login beim App-Start fest, wie Benutzer ihre Login-Daten verwenden können:
   • Eingabe der Login-Daten beim App-Start erlauben: Benutzer können ihre Login-Daten beim Start der App eingeben.
   • Speichern der Login-Daten erlauben: Benutzer können ihre Login-Daten speichern.
     Wenn Benutzer ihre Anmeldedaten beim App-Start selbst eingeben sollen, lassen Sie bei der App-Zuweisung die Felder für Benutzername und Passwort leer.
10. Aktivieren Sie unter Nutzungseinstellungen die Option Anpassen und legen Sie anschließend die gewünschten Einstellungen fest. Benutzer, deren Benutzerlizenz den oneclick™ Desk enthält, können freigegebene Nutzungseinstellungen selbst anpassen. Voraussetzung ist, dass an der App-Kachel App-Einstellungen bearbeiten (Login-Daten, Zugriffs- und App-spezifische Einstellungen) aktiviert ist. Aktivieren Sie dazu bei den gewünschten Optionen Änderbar durch den Benutzer. Weitere Informationen finden Sie unter Änderbar durch den Benutzer.

• Verbindungseinstellungen:
  Aktivieren oder deaktivieren Sie die gewünschten Verbindungsfunktionen:
  • Audio vom entfernten zum lokalen System weiterleiten: Überträgt den Ton der Web-Shield-App auf das lokale Gerät.
  • Audio vom lokalen zum entfernten System weiterleiten: Ermöglicht die Nutzung des lokalen Mikrofons in der Web-Shield-App.
  • Webcam-Weiterleitung: Ermöglicht Benutzern, ihre lokale Webcam in der Web-Shield-App zu verwenden. Die Option steht zur Verfügung, wenn die Web-Shield-Lizenz das Add-on für die Webcam-Weiterleitung enthält.
  • Zwischenablage-Weiterleitung: Ermöglicht das Kopieren und Einfügen von Texten und Bildern zwischen dem lokalen Gerät und der Web-Shield-App in beide Richtungen. Dateien übertragen Benutzer über den Dateitransfer.
• oneclick™ Streaming (Browser):
  • Kompatibilitätsmodus (WebRTC deaktivieren): Aktivieren Sie diese Option, um WebRTC für die Streaming-Verbindung zu deaktivieren.
  • Dateiablage nur für die Sitzung bei Benutzern ohne oneclick™ Hybrid Drive: Stellt Benutzern ohne oneclick™ Hybrid Drive eine temporäre Dateiablage bereit, die nur bis zum Ende der Sitzung besteht. Drucken, Hochladen und Herunterladen funktionieren nur mit oneclick™ Hybrid Drive oder mit dieser Option. Fehlt beides, gibt es keinen Drucker und keine Schaltfläche Daten hochladen, und Downloads kommen nicht auf dem lokalen Gerät an. Die Option ist standardmäßig deaktiviert.
  • Zugriff auf Websites: Legen Sie fest, welche Websites Benutzer aufrufen dürfen:
    • Keine Einschränkung: Erlaubt den Zugriff auf weitere Websites.
    • Nur diese Adressen erlauben: Erlaubt den Zugriff ausschließlich auf die eingetragenen Adressen.
    • Alle Adressen außer diesen erlauben: Sperrt den Zugriff auf die eingetragenen Adressen.
      Geben Sie bei den beiden letztgenannten Optionen die gewünschten Adressen in das Feld Adressen, eine pro Zeile ein. firma.de schließt alle Subdomains ein, .firma.de nur die Domain selbst. Bei Nur diese Adressen erlauben bleibt die Startadresse der App immer erlaubt. Bei Alle Adressen außer diesen erlauben blockiert Web Shield auch eine eingetragene Startadresse. Web Shield blockiert die Navigation zu nicht freigegebenen Adressen.
  • DPI-Reduzierung für geringere Latenz auf Retina-Displays mit aktiviertem Desktop-Zoom: Reduziert die Darstellungsauflösung auf entsprechenden Displays, um die Latenz zu verringern.
  • Passen Sie bei Bedarf die Streaming-Einstellungen an.
  • oneclick™ Hybrid Printer (Drucken via PDF-Download): Ermöglicht das Drucken von Websites als PDF-Datei. Die Web-Shield-App überträgt die PDF-Datei automatisch auf das lokale Gerät. Ist die Funktion deaktiviert, steht Drucken nicht zur Verfügung.
  • Hochladen von Dateien: Ermöglicht Benutzern, Dateien von ihrem lokalen Gerät in den Hybrid App Share zu übertragen. Ist die Funktion deaktiviert, erscheint die Schaltfläche Daten hochladen nicht.
  • Herunterladen von Dateien: Ermöglicht Benutzern, Dateien von Websites auf ihr lokales Gerät herunterzuladen. Ist die Funktion deaktiviert, blockiert Web Shield diese Downloads.

PDF-Drucker und Dateidownload

Der PDF-Drucker funktioniert unabhängig von der Einstellung Herunterladen von Dateien.
Wenn Sie den PDF-Drucker freigeben, können Benutzer erzeugte PDF-Dateien auch dann auf ihr lokales Gerät herunterladen, wenn Sie gewöhnliche Dateidownloads deaktiviert haben.
Deaktivieren Sie zusätzlich den PDF-Drucker, wenn Benutzer auch über diese Funktion keine PDF-Dateien übertragen dürfen.

11. Fügen Sie bei Bedarf Richtlinien für den App-Zugriff hinzu.
12. Passen Sie die App-Kachel an.
13. Klicken Sie auf Speichern.

Interner Hostname bei VPN IPsec

Für die meisten Web-Apps genügt die interne IP-Adresse mit den Ports. Einen Namen tragen Sie am Zielsystem im Feld Interner Hostname nur ein, wenn die Web-App einen bestimmten Namen erwartet. Der Name gilt nur innerhalb der Web-Shield-Sitzung und ändert nichts an Ihrem DNS.

Situation	Woran Sie es erkennen	Interner Hostname
Die Web-App arbeitet mit der aufgerufenen Adresse, z. B. Outlook im Web	Anmeldeseite und Web-App laden normal	Nicht nötig
Die Web-App leitet auf einen fest eingestellten Namen um	Nach der Anmeldung oder einem Klick bleibt die Seite weiß. Web Shield hat keine Adressleiste: Öffnen Sie die Web-App in einem normalen Browser in Ihrem internen Netz. Nach der Umleitung steht in der Adressleiste ein anderer Name, z. B. intranet.firma.local	Genau diesen Namen eintragen
Auf dem Server laufen mehrere Websites, die er am Namen unterscheidet	Es erscheint eine falsche Website, die Standardseite des Webservers oder „Bad Request – Invalid Hostname“	Namen der gewünschten Website eintragen
Die Seiten verlinken Bilder, Skripte oder Unterseiten mit dem vollen internen Namen	Die Seite lädt, aber Bilder oder das Layout fehlen, oder einzelne Links führen ins Leere	Namen aus den Links eintragen

Tragen Sie den Namen so ein, wie die Web-App ihn verwendet, meist als vollständigen Namen wie mail.firma.local. Erlaubt sind Kleinbuchstaben, Ziffern, Bindestriche und Punkte. Namen, die auf oneclick.services, cluster.local oder vispa.local enden, sind nicht zulässig.

Beispiel: Outlook im Web liegt hinter VPN IPsec auf dem Zielsystem 10.10.0.25 mit Port 443. Die Sitzung öffnet die Anmeldeseite. Outlook leitet ohne Port zur Anmeldung weiter, oneclick™ nimmt das auf Port 443 an und gibt es ins VPN weiter. Ein interner Hostname ist nicht nötig.

Fehlerbehebung

Problem	Ursache	Lösung
Konfigurationstyp Interne Website / App fehlt	Keine Web-Shield-Lizenz gewählt	Wählen Sie in Schritt 3 eine Web-Shield-Lizenz oder fordern Sie eine an, siehe App-Lizenz.
Schon die erste Seite bleibt weiß (VPN IPsec)	Die Anbindung ist getrennt, IP-Adresse bzw. Ports am Zielsystem stimmen nicht, oder Ihre Firewall lässt die Ports der Web-App im Tunnel nicht zu	Prüfen Sie den Status der Anbindung, IP-Adresse und Ports am Zielsystem und ob Ihre Firewall diese Ports im Tunnel zulässt. Siehe Verbindungsprobleme VPN IPsec.
Nach der Anmeldung bleibt die Seite weiß, oder es erscheint eine falsche Website oder „Invalid Hostname“ (VPN IPsec)	Die Web-App erwartet einen bestimmten Namen	Tragen Sie am Zielsystem einen internen Hostnamen ein. Welchen Namen, zeigt die Tabelle unter Interner Hostname bei VPN IPsec.
Die Web-App leitet auf einen anderen internen Server um, z. B. einen Anmeldeserver (VPN IPsec)	Web Shield erreicht nur das Zielsystem der App-Konfiguration	Web Shield unterstützt diese Umleitung nicht. Die Web-App muss vollständig auf dem Zielsystem laufen.
Ladebalken läuft durch, danach bleibt die Seite weiß (oneclick™ Mesh)	Der Hostname des Zielsystems ist nur intern bekannt oder zeigt öffentlich auf eine andere Adresse	Lassen Sie den Hostnamen am Zielsystem leer und geben Sie nur die IP-Adresse ein.

App-Instanz zuweisen

Weisen Sie die App über App-Instanzen für Benutzer erstellen den vorgesehenen Benutzern oder Gruppen zu.

Änderungen an der App-Konfiguration

Änderungen an den Einstellungen der App-Konfiguration gelten ab der nächsten Sitzung. Ändern Sie die URL oder das Zielsystem, beendet oneclick™ alle laufenden Sitzungen dieser App sofort. Änderungen am Zielsystem, z. B. am internen Hostnamen oder an den Ports, gelten ab dem nächsten Start der App.