|
| |
| Sun Java System Portal Server Secure Remote Access 6 2005Q1 管理指南 | |
第 5 章
Netlet本章介绍如何使用 Netlet 在用户远程桌面与内联网中运行应用程序的服务器之间安全地运行应用程序。有关配置 Netlet 的信息，参见第 11 章,“配置 Netlet”。
本章包括以下主题：
Netlet 概述Sun Java™ system Portal Server 软件用户可能希望在其远程桌面上以安全方式运行一些流行的或公司专用的应用程序。通过在您的平台上设置 Netlet，可提供对这些应用程序的安全访问。
Netlet 使得用户可以在不安全的网络上（如 Internet）安全地运行常用 TCP/IP 服务。您可以运行 TCP/IP 应用程序（如 Telnet 和 SMTP）、HTTP 应用程序及任何固定端口应用程序。
如果应用程序基于 TCP/IP 或使用固定端口，则可以在 Netlet 之上运行该应用程序。
请建议您的用户在使用 Netlet applet 时，必须禁用弹出式窗口拦截功能。
Netlet 组件
图 5-1 中列出了 Netlet 使用的各种组件。
图 5-1 Netlet 组件
localhost 上的侦听端口
这是 Netlet applet 在其上进行侦听的客户机中的端口。客户机为 localhost。
Netlet Applet
Netlet applet 负责在远程客户机与内联网应用程序（如 Telnet、Graphon 或 Citrix）之间设置加密 TCP/IP 通道。applet 将信息包加密，并将其发送至网关，然后解密来自网关的响应信息包，并将其发送至本地应用程序。
对于静态规则，当用户登录到门户时，将自动下载 Netlet applet。对于动态规则，当用户单击对应于动态规则的链接时，会下载 applet。有关静态和动态规则的详细信息，参见规则类型。
要在“Sun Ray 环境”中运行 Netlet，参见在 Sun Ray 环境中运行 Netlet。
Netlet 规则
Netlet 规则会将需要在客户机上运行的应用程序映射到相应的目标主机中。这意味着 Netlet 仅适用于发送至在 Netlet 规则中所定义端口中的信息包。这将确保更高的安全性。
作为管理员，您需要为 Netlet 的运行配置特定规则。这些规则指定各种细节，如要使用的密码、要调用的 URL、要下载的 applet、目标端口以及目标主机。当客户机上的用户通过 Netlet 提出请求时，这些规则有助于确定建立连接必须采用的方式。有关详细信息，参见定义 Netlet 规则。
Netlet 提供者
这是 Netlet 的 UI 组件。提供者允许用户从 Portal Server 桌面配置所需的应用程序。提供者中创建了一个链接，用户单击此链接可运行所需的应用程序。用户也可在 Netlet 提供者的桌面上指定动态规则的目标主机。参见定义 Netlet 规则。
Netlet 代理（可选）
网关可确保远程客户机与网关之间的通道安全。Netlet 代理是可选的，在安装期间可以选择不安装此代理。有关 Netlet 代理的信息，参见使用 Netlet 代理。
Netlet 使用方案
Netlet 的使用涉及下列一系列事件：
- 远程用户登录至 Portal Server 桌面。
- 如果已为用户、角色或组织定义了静态 Netlet 规则，则自动将 Netlet applet 下载到远程客户机中。
如果已为用户、角色或组织定义了动态规则，则用户需要在 Netlet 提供者中配置所需的应用程序。当用户单击 Netlet 提供者中的应用程序链接时，将下载 Netlet applet。有关静态和动态规则的详细信息，参见定义 Netlet 规则。
- Netlet 将侦听在 Netlet 规则中定义的本地端口。
- Netlet 将在远程客户机与主机之间通过 Netlet 规则中指定的端口而设置一个频道。
使用 Netlet
为了使 Netlet 能够根据不同组织中各个用户的需要进行工作，您需要完成以下操作：
- 根据用户要求，确定需要创建静态规则还是动态规则。参见规则类型。
- 从 Access Manager 管理控制台上的“服务配置”选项卡中定义 Netlet 模板中的全局选项。参见第 11 章,“配置 Netlet”。
- 确定规则应基于组织、角色还是用户，并按要求在每一级别进行修改。有关组织、角色以及用户的详细信息，参见 Portal Server 管理指南。
从远程主机下载 Applet有时，URL 会返回一个页面，该页面包含需要从远程机器获取的嵌入式 applet。但是，Java™ 的安全性只允许 applet 与从中下载该 applet 的主机进行通信。要允许 applet 通过本地网络端口与网关进行通信，您需要检查 Access Manager 管理控制台上的“下载 Applet”字段，并指定以下语法：
local-port:server-host:server-port
其中
local-port 是 Netlet 侦听来自 applet 的通信量的本地端口
server-host 是从中下载 applet 的地方
server-port 是用于下载 applet 的端口
定义 Netlet 规则Netlet 配置由 Netlet 规则定义，这些规则在 Access Manager 管理控制台的“SRA 配置”部分下进行配置。可以为组织、角色或用户配置 Netlet 规则。如果为角色或用户配置 Netlet 规则，请在选择组织后选择所需的角色或用户。
表 5-1 列出了 Netlet 规则中的字段。
表 5-1 Netlet 规则中的字段
参数
描述
值
规则名
指定 Netlet 规则的名称。需要为每一规则指定一个唯一的名称。这在定义用户对指定规则的访问权限时是很有用的。有关详细信息，参见定义 Netlet 访问规则。
加密密码
定义加密密码，或指定用户可从中进行选择的密码列表。
您所选择的密码会以列表形式出现在 Netlet 提供者中。用户可从选定列表中选择所需的密码。
默认值 - 使用在 Netlet 管理控制台中指定的“默认 VM 本地密码”和“默认 Java Plugin 密码”。
URL
指定当用户在 Netlet 提供者中单击相关链接时浏览器所打开的 URL。浏览器打开应用程序的窗口，并连接到本地端口号（稍后在规则中指定）处的 localhost。
您需要指定相关的 URL。
由 Netlet 规则所调用的应用程序的 URL。例如，telnet://localhost:30000。
如果应用程序使用 applet 调用应用程序，请指定一个 URL。
null – 如果应用程序不是由 URL 启动或由桌面控制，请设定此值。对于不基于网络的应用程序而言该项通常为 true。
下载 Applet
指示是否有必要为本规则下载 applet。
False - 不下载 applet。
True - 使用回送端口从 Portal Server 机器下载 applet。
以 local-port:server-host:server-port 格式指定 applet 详细信息，其中：
- local-port 表示客户机上的目标端口。该端口必须要不同于默认回送端口。有关详细信息，参见第 11 章,“配置 Netlet”。为每一规则指定一个唯一的 local port。
- server-host 是从中下载 applet 的服务器名称。
- server-port 代表服务器上用于下载 applet 的端口。
如果要下载 applet，且未指定服务器，则从 Portal Server 主机下载 applet。
扩展会话
当 Netlet 处于活动状态时，它控制 Portal Server 会话的空闲超时。
True - 这是当只有 Netlet 处于活动状态而其余门户应用程序空闲时，为了保活门户会话所必需的。
False - 即使 Netlet 应用程序处于活动状态而其余门户应用程序空闲，门户会话也会在会话空闲超时之时空闲超时。
本地端口
Netlet 进行侦听的客户机上的端口。
local-port 的值必须是唯一的。不能在一个以上的规则中指定特定端口号。
如果要为多个连接指定多台主机，需指定多个本地端口。有关语法，参见具有多个主机连接的静态规则。
对于 FTP 规则，本地端口值必须是 30021。
目标主机
Netlet 连接的收件人。
host - 接收 Netlet 连接的主机名。它用于静态规则中。使用简单主机名，如 siroe，或全限定 DNS 样式的主机名，如 siroe.mycompany.com。由于以下原因，指定多个主机：
- 与指定的每一台主机建立连接。需要为指定的每一台主机指定相应的客户机与目标端口。有关语法，参见具有多个主机连接的静态规则。
- 尝试连接到指定主机列表中的任何一台可用主机。有关语法，参见具有多主机选择的静态规则。
TARGET - 在语法中指定 TARGET 的规则为动态规则。TARGET 表示最终用户可在桌面 Netlet 提供者中指定所需目标主机或多个主机。
单个规则中不能同时具有静态主机和 TARGET。
目标端口
目标主机上的端口
除主机与目标主机外，还必须要指定一个目标端口。
在有多台目标主机的情况下，可以指定多个目标端口。以 port1+port2+port3-port4+port5 格式指定多个端口。
端口号之间的加号 (+) 表示某单一目标主机的备选端口。
端口号之间的减号 (-) 是不同目标主机端口号之间的分隔符。
在此，Netlet 按顺序依次使用 port1、port2 和 port3，以尝试连接到指定的第一台目标主机。如果失败，Netlet 使用 port4 和 port5（按此顺序）以尝试连接到第二台主机。
只可为静态规则配置多个端口。
对于要从 Portal Server 获得会话通知的网关，将以下内容：
com.iplanet.am.jassproxy.trustAllServerCerts=true
添加到 Portal Server 上的以下属性文件中：
Portal Server 上的 /etc/opt/SUNWam/config/AMConfig.instance-name.properties
2. 重新启动 Access Manager。
规则类型
根据规则中目标主机的指定方式，将 Netlet 规则分为两种类型。
静态规则
静态规则将目标主机指定为规则的一部分。如果创建静态规则，用户就无权指定所需的目标主机。在下面的示例中，sesta 是目标主机。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
ftpstatic
SSL_RSA_WITH_RC4_128_MD5
null
false
true
30021
sesta
21
可为静态规则配置多台目标主机和多个端口。有关示例，参见具有多个主机连接的静态规则。
动态规则
在动态规则中，目标主机不指定为规则的一部分。用户可以在 Netlet 提供者中指定所需的目标主机。在下面的示例中，TARGET 是目标主机的占位符。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
ftpdynamic
SSL_RSA_WITH_RC4_128_MD5
null
false
true
30021
TARGET
21
加密密码
根据加密密码，可将 Netlet 规则进一步分类如下：
有关 Netlet 所支持的密码列表，参见支持的密码。
有关 Netlet 所支持的密码列表，参见支持的密码。
支持的密码
表 5-2 列出了 Netlet 所支持的密码列表。
向后兼容性
Portal Server 的早期版本不支持将密码作为 Netlet 规则的一部分。考虑到不带密码的现有规则的向后兼容性，这些规则将使用默认密码。不带密码的现有规则，如：
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
Telnet
telnet://localhost:30000
false
true
30000
TARGET
23
会被解释为：
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
Telnet
默认密码
telnet://localhost:30000
false
true
30000
TARGET
23
这与将“加密密码”字段选为“默认值”的“管理员配置规则”相似。有关详细信息，参见指定默认加密密码。
Netlet 规则示例
本部分包含 Netlet 规则的几个示例以说明 Netlet 语法的作用机理。
基本静态规则
该规则支持客户机与 sesta 机器之间的 Telnet 连接。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
myrule
SSL_RSA_WITH_RC4_128_MD5
null
false
true
1111
sesta
23
其中
myrule 是规则名称。
SSL_RSA_WITH_RC4_128_MD5 表示要使用的密码。
null 表示该应用程序并非由 URL 调用或通过桌面运行。
false 表示客户机在运行该应用程序时并不下载 applet。
true 表示当 Netlet 连接处于活动状态时 Portal Server 不应超时。
1111 是客户机上的端口，Netlet 在此侦听来自目标主机的连接请求。
sesta 是 Telnet 连接中的接收方主机名称。
23 是所连接目标主机上的端口号，在本例中为众所周知的 Telnet 端口。
桌面 Netlet 提供者不显示链接，但 Netlet 会自动启动，并侦听指定端口 (1111)。指示用户启动连接到端口 1111 上的 localhost 的客户机软件（在本例中为 Telnet 会话）。
例如，要启动 Telnet 会话，客户需要在终端的 UNIX 命令行中键入以下内容：
具有多个主机连接的静态规则
该规则支持从客户机到两台主机 sesta 与 siroe 的 Telnet 连接。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
myrule
SSL_RSA_WITH_RC4_128_MD5
null
false
true
1111
sesta
23
1234
siroe
23
其中
23 是所连接目标主机上的端口号– Telnet 的专用端口。
1111 是客户机上的端口，Netlet 在此侦听来自第一台目标主机 sesta 的连接请求。
1234 是客户机上的端口，Netlet 在此侦听来自第二台目标主机 siroe 的连接请求。
该规则中的前六个字段与基本静态规则中的字段相同。区别在于标识第二台目标主机的另外三个字段。
在向规则中添加附加目标时，必须为每一台新目标主机添加三个字段，即 local port、destination host 以及 destination port。
该规则与前一规则作用相同。Netlet 提供者不显示任何链接，但 Netlet 会自动启动，并侦听指定的两个端口（1111 和 1234）。用户需要启动客户机软件（在本例中为 Telnet 会话），它连接至端口 1111 上的 localhost 或端口 1234 上的 localhost，后者用于连接到第二个范例中的主机。
具有多主机选择的静态规则
使用该规则可指定多台备选主机。如果与规则中第一台主机的连接失败，Netlet 会尝试连接指定的第二台主机，依此类推。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
gojoe
SSL_RSA_WITH_RC4_128_MD5
/gojoe.html
8000:gojoeserver:8080
true
10491
siroe+sesta
35+26+491-35+491
其中
10491 是客户机上的端口，Netlet 在此侦听来自目标主机的连接请求。
依据可用的端口，Netlet 将首先尝试与端口 35、端口 26 和端口 491 上的 siroe 建立连接（均按相同顺序）。
如果无法连接到 siroe，则 Netlet 会尝试连接到端口 35 和 491 上的 sesta（按相同顺序）。
调用 URL 的动态规则
该规则允许用户配置所需的目标主机，从而使用户可通过 Netlet 远程登录到各个主机上。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
myrule
SSL_RSA_WITH_RC4_128_MD5
telnet://localhost:30000
false
true
30000
TARGET
23
其中
myrule 是规则名称。
SSL_RSA_WITH_RC4_128_MD5 表示要使用的密码。
telnet://localhost:30000 是由规则所调用的 URL。
false 表示将不会下载任何 applet。
扩展会话 (true) 表示当 Netlet 连接处于活动状态时 Portal Server 不应超时。
30000 是客户机上的端口，Netlet 在此侦听针对此规则的连接请求。
TARGET 表示目标主机需要由用户使用 Netlet 提供者进行配置。
23 是由 Netlet 打开的目标主机上的端口，在本例中为众所周知的 Telnet 端口。
在添加规则之后运行 Netlet
添加该规则之后，用户必须要完成一些步骤才能使 Netlet 按照预期方式运行。用户需要在客户机端执行以下操作：
下载 Applet 的动态规则
此规则定义了从客户机到动态分配主机的连接。它会从 applet 所处的服务器上将 GO-Joe applet 下载到客户机中。
规则名称
加密密码
URL
下载 Applet
扩展会话
本地端口
目标主机
目标端口
gojoe
SSL_RSA_WITH_RC4_128_MD5
/gojoe.html
8000:gojoeserver:8080
true
3399
TARGET
58
其中
gojoe 是规则名称。
SSL_RSA_WITH_RC4_128_MD5 表示要使用的密码。
例如，/gojoe.html 是包含 applet 的 HTML 页的路径，该路径应相对于部署门户的网络容器的文档根。
8000:server:8080 指明端口 8000 是用于接收 applet 的客户机上的目标端口，gojoeserve 是提供 applet 的服务器的名称，8080 则是自其下载 applet 的服务器上的端口。
扩展会话 (true) 表示当 Netlet 连接处于活动状态时 Portal Server 不应超时。
3399 是客户机上的端口，Netlet 在此侦听此类型的连接请求。
TARGET 表示目标主机需要由用户使用 Netlet 提供者进行配置。
58 是由 Netlet 打开的目标主机上的端口，在本例中为 GoJoe 的端口。端口 58 是目标主机侦听其自身通信量的端口。Netlet 将信息从新 applet 传递至该端口。
Netlet 规则示例表 5-3 列出了一些常见应用程序的 Netlet 规则示例。
该表由 7 列组成，分别对应于 Netlet 规则中的以下字段：规则名称、URL、下载 Applet、本地端口、目标主机、目标端口。最后一列中包括对规则的描述。
注
表 5-3 未列出 Netlet 规则的“密码”与“扩展会话”字段。对于所提供的示例，假定这两个字段分别为 "SSL_RSA_WITH_RC4_128_MD5" 和 "true"。
启用 Netlet 日志记录您可以在网关服务中启用 Netlet 相关活动的日志记录。参见启用 Netlet 日志记录。日志文件是在“日志位置”属性中指定的目录内创建的，该属性属于“Access Manager 配置”属性的“日志记录”部分。
日志文件命名约定如下：
srapNetlet_gateway-hostname_gateway-profile-name
Netlet 日志会捕捉以下信息：
启用调试日志记录调试信息的位置取决于 com.iplanet.services.debug.directory 属性的设置，该属性在 Portal Server 节点上的 AMConfig-instance-name.properties 文件中。
例如，如果 com.iplanet.services.debug.directory 属性的值为：
/var/opt/SUNWam/debug/
则可在 /var/opt/SUNWam/debug 目录下的 srapNetlet 文件中获得 Netlet 的调试信息。
有关更多信息，参见 Access Manager 管理指南。
在 Sun Ray 环境中运行 Netlet如果您要在 Sun Ray 环境中运行需要将 applet 下载到客户机上的应用程序，就需要更改 HTML 文件。这里是一个示例文件，向您显示需要完成的必要修改。
新 HTML 文件
<!-- @(#)citrix_start.html 2.1 98/08/17 Copyright (c) 1998 i-Planet, Inc., All rights reserved. -->
<html>
<script language="JavaScript">
var KEY_VALUES; // KEY_VALUES['key'] = 'value';
function retrieveKeyValues() {
KEY_VALUES = new Object();
var queryString = '' + this.location;
queryString = unescape(queryString);
queryString = queryString.substring((queryString.indexOf('?')) + 1);
if (queryString.length < 1) {
return false; }
var keypairs = new Object();
var numKP = 0;
while (queryString.indexOf('&') > -1) {
keypairs[numKP] = queryString.substring(0,queryString.indexOf('&'));
queryString = queryString.substring((queryString.indexOf('&')) + 1);
numKP++;
}
// Store what's left in the query string as the final keypairs[] data.
keypairs[numKP++] = queryString;
var keyName;
var keyValue;
for (var i=0; i < numKP; ++i) {
keyName = keypairs[i].substring(0,keypairs[i].indexOf('='));
keyValue = keypairs[i].substring((keypairs[i].indexOf('=')) + 1);
while (keyValue.indexOf('+') > -1) {
keyValue = keyValue.substring(0,keyValue.indexOf('+')) + ' ' + keyValue.substring(keyValue.indexOf('+') + 1);
}
keyValue = unescape(keyValue);
// Unescape non-alphanumerics
KEY_VALUES[keyName] = keyValue;
}
}
function getClientPort(serverPort) {
var keyName = "clientPort['" + serverPort +"']";
return KEY_VALUES[keyName];
}
function generateContent() {
retrieveKeyValues();
var newContent =
"<html>\n"
+ "<head></head>\n"
+ "<body>\n"
+ "<applet code=\"com.citrix.JICA.class\" archive=\"JICAEngN.jar\" width=800 height=600>\n"
+ "<param name=\"cabbase\" value=\"JICAEngM.cab\">\n"
+ "<param name=\"address\" value=\"localhost\">\n"
+ "<param name=ICAPortNumber value="
+ getClientPort('1494')
+ ">\n"
+ "</applet>\n"
+ "</body>\n"
+ "</html>\n";
document.write(newContent);
}
</script>
<body onLoad="generateContent();">
</body>
</html>
弃用的 HTML 文件
<html>
<body>
<applet code="com.citrix.JICA.class" archive="JICAEngN.jar" width=800 height=600>
<param name="cabbase" value="JICAEngM.cab">
<param name="address" value="localhost">
<param name=ICAPortNumber value=1494>
</applet>
</body></html>
