Sun Java System Portal Server Secure Remote Access 7.2 管理指南

定義 Netlet 規則

Netlet 配置是 Netlet 規則所定義的，這些規則使用 [Secure Remote Access] 配置標籤下的 Portal Server 管理主控台配置。可為組織、角色或使用者配置 Netlet 規則。如果 Netlet 規則用於角色或使用者，請在選取組織之後選取想要的角色或使用者。

注意 –

Netlet 規則不支援多位元組輸入。請勿在 Netlet 規則中的任何欄位中指定多位元組字元。

Netlet 規則中不能包含任何高於 64000 的連接埠號。

定義 Netlet 規則會列出 Netlet 規則中的欄位。

表 6–1 Netlet 規則中的欄位


參數	描述	值
規則名稱	指定此 Netlet 規則的名稱。您需要為每個規則指定唯一的名稱。如此當您在定義使用者存取特定規則時將會非常有用。
加密密碼	定義加密密碼，或是指定使用者可從中選擇的密碼清單。	您選取的密碼將會在 Netlet 提供者中以清單的形式出現。使用者可以從清單中選擇需要的密碼。預設 - 會使用 Netlet 管理主控台中指定的 [預設 VM 原生密碼] 和 [預設 Java Plugin 密碼]。
遠端應用程式 URL	指定當使用者按一下 Netlet 提供者中的相關連結時，瀏覽器所開啟的 URL。瀏覽器會開啟應用程式的視窗，並連接至稍後在規則中指定的本機連接埠號的 `localhost`。您需要指定一個相對的 URL。	Netlet 規則所呼叫之應用程式的 URL。例如，`telnet://localhost:30000` 。如果應用程式使用 applet 來呼叫應用程式，則指定一個 URL。 `null`－如果應用程式不是由 URL 啟動或由桌面控制，請設定此值。對於不以網路為基礎的應用程式而言，該項通常為 true。
啟用下載 Applet	指出是否需要為此規則下載 applet。	`Client Port` 表示用戶端上的目標連接埠。此連接埠必須與預設的回送連接埠不同。為每個規則指定唯一的`本機連接埠`。 `Server Host` 是會從該處下載 applet 的伺服器名稱。 `Server Port` 代表伺服器上用來下載 applet 的連接埠。如果要下載 applet，而且未指定伺服器，則會從 Portal Server 主機下載 applet。
啟用延伸階段作業	此將控制 Netlet 為使用中時 Portal Server 階段作業的閒置逾時。	僅在 Netlet 為使用中且入口網站應用程式的其餘部分為閒置時，選取此核取方塊以保持入口網站階段作業為使用中。根據預設，不會選取此選項。
將本機連接埠對映至目標伺服器連接埠	本機連接埠	Netlet 偵聽之用戶端上的連接埠。 `local-port` 的值必須唯一。您不能夠在一個以上的規則中指定某特定的連接埠號。如果您要為多個連線指定多個主機，請指定多個本機連接埠。請參閱包含多個主機連線的靜態規則以取得語法。對於 FTP 規則，本機連接埠值必須為 30021。
	目標主機	Netlet 偵聽之用戶端上的連接埠。 Netlet 連線的收件者。 `host` - 接收 Netlet 連線的主機名稱。此欄位用於靜態規則。使用簡單的主機名稱 (例如 `siroe`) 或完全合格的 DNS 式主機名稱 (例如 `siroe.mycompany.com`)。因下列原因指定多個主機： `local-port` 的值必須唯一。您不能夠在一個以上的規則中指定某特定的連接埠號。如果您要為多個連線指定多個主機，請指定多個本機連接埠。請參閱包含多個主機連線的靜態規則以取得語法。對於 FTP 規則，本機連接埠值必須為 30021。與每個指定主機建立連線。您需要為每個指定的主機指定相對應的用戶端以及目標連接埠。請參閱包含多個主機連線的靜態規則以取得語法。嘗試連接至指定主機清單中任何可用的主機。請參閱選擇多個主機的靜態規則以取得語法。 `TARGET` - 在語法中指定 `TARGET` 的規則為動態規則。`TARGET` 表示一般使用者能夠在桌面的 Netlet 提供者中指定一台或多台必要的目標主機。在單個規則中，不可以同時有靜態主機和 TARGET。
	目標連接埠	目標主機上的連接埠除了主機與目標主機以外，您必須指定目標連接埠。您可以在有多個目標主機的情況下，指定多個目標連接埠。以下列格式指定多個連接埠：`port1+port2+port3-port4+port5`。連接埠號之間的加號 (+) 指出用於單一目標主機的替代連接埠。連接埠號之間的減號 (-) 為不同目標主機連接埠號的分隔符號。 Netlet 在此會嘗試依序使用 `port1`、`port2` 和 `port3` 連接至指定的第一台目標主機。如果此項操作失敗，Netlet 會嘗試以 `port4` 和 `port5` 依次連接至第二台主機。您只可以為靜態規則配置多個連接埠。

閘道要從 Portal Server 取得階段作業通知時，新增下列指令行：

com.iplanet.am.jassproxy.trustAllServerCerts=true

至下列的特性檔中

Portal Server 上的 /etc/opt/SUNWam/config/AMConfig.instance-name .properties

規則類型

根據規則中指定目標主機的方式，Netlet 規則類型有兩種。

靜態規則

靜態規則會指定目標主機做為規則的一部分。如果您建立一項靜態規則，使用者將無法指定需要的目標主機。在下列範例中，sesta 為目標主機。

規則名稱	加密密碼	URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
ftpstatic	`SSL_RSA_WITH_RC 4_128_MD5`	空	false	true	本機連接埠：30021 目標主機：sesta 目標連接埠：21

您可以為靜態規則配置多個目標主機和連接埠。請參閱包含多個主機連線的靜態規則以取得範例。

動態規則

在動態規則中，不會將目標主機指定為規則的一部分。使用者可以在 Netlet 提供者中指定必要的目標主機。在下列範例中，TARGET 為目標主機的萬用字元。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
ftpdynamic	`SSL_RSA_WIT H_RC4_128_MD5`	空	選取核取方塊	選取核取方塊	本機連接埠：30021 目標主機：TARGET 目標連接埠：21

加密密碼

根據加密密碼，可進一步將 Netlet 規則依如下分類：

使用者可配置的密碼規則 - 在此規則中，您可指定使用者可從中選擇的密碼清單。這些選擇性密碼會在 Netlet 提供者中以清單的形式出現。使用者可以從清單中選擇必要的密碼。在下列範例中，使用者可以從多個密碼中作出選擇。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
Telnet	`SSL_RSA_WITH_RC4 _128_SHA`	空	選取核取方塊	選取核取方塊	本機連接埠：30000 目標主機：TARGET 目標連接埠：23
	`SSL_RSA_WITH_RC4 _128_MD5`

備註 –

雖然 Portal Server 主機可能已經啟用不同的密碼，但是使用者僅能從配置為 Netlet 規則部分的清單中選擇。

請參閱支援的密碼以取得 Netlet 所支援的密碼的清單。

管理員配置的密碼規則 - 在此規則中，會將密碼定義為 Netlet 規則的一部份。使用者無法選擇必要的密碼。在下列的範例中，已經將密碼配置為 SSL_RSA_WITH_RC4_128_MD5。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
Telnet	`SSL_RSA_WITH_RC4_128_MD5`	空	選取核取方塊	選取核取方塊	本機連接埠：30000 目標主機：TARGET 目標連接埠：23

請參閱支援的密碼以取得 Netlet 支援的密碼的清單。

支援的密碼

支援的密碼列出 Netlet 支援的密碼。

表 6–2 支援的密碼清單


密碼
原生 VM 密碼
KSSL_SSL3_RSA_WITH_3DES_EDE_CBC_SHA
KSSL_SSL3_RSA_WITH_RC4_128_MD5
KSSL_SSL3_RSA_WITH_RC4_128_SHA
KSSL_SSL3_RSA_EXPORT_WITH_RC4_40_MD5
KSSL_SSL3_RSA_WITH_DES_CBC_SHA
Java Plugin 密碼
SSL_RSA_WITH_3DES_EDE_CBC_SHA
SSL_RSA_WITH_RC4_128_MD5
SSL_RSA_WITH_RC4_128_SHA
SSL_RSA_EXPORT_WITH_RC4_40_MD5
SSL_RSA_WITH_DES_CBC_SHA
SSL_RSA_WITH_NULL_MD5
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA

向下相容性

先前的 Portal Server 版本並不支援將密碼作為 Netlet 規則的一部分。為了向下相容不含密碼的現有規則，規則會使用預設的密碼。不含密碼的現有規則如下：

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
Telnet		`telnet://localhost:30000`	請勿選取核取方塊	選取核取方塊	本機連接埠：30000 目標主機：TARGET 目標連接埠：23

將被解譯為：

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
Telnet	預設密碼	`telnet://localhost:30000`	請勿選取核取方塊	選取核取方塊	本機連接埠：30000 目標主機：TARGET 目標連接埠：23

這類似於 [加密密碼] 欄位已選擇為 [預設] 的 [管理員配置的規則]。

備註 –

Netlet 規則無法包含任何大於 64000 的連接埠號碼。

Netlet 規則範例

本節包括一些 Netlet 規則的範例，以說明 Netlet 的語法。

基本靜態規則

本規則支援從用戶端至機器 sesta 的 Telnet 連線。

規則名稱	加密密碼	遠端應用程式 URL	下載 Applet	延伸式階段作業	將本機連接埠對映至目標伺服器連接埠
myrule	`SSL_RSA_WITH_RC4_128_MD5`	空	請勿選取核取方塊	true	本機連接埠：1111 目標主機：sesta 目標連接埠：23

其中

myrule 為規則的名稱。

SSL_RSA_WITH_RC4_128_MD5 表示要使用的密碼。

null 表示此應用程式不是由 URL 所呼叫或透過桌面執行。

false 表示用戶端並不會下載 applet 以執行此應用程式。

true 表示當 Netlet 連線在使用中的情況下 Portal Server 不應逾時。

1111 為用戶端上的連接埠，Netlet 會在此偵聽來自目標主機的連線請求。

sesta 是 Telnet 連線上收件者主機的名稱。

23 是目標主機上用於連線的連接埠號，在本例中即為已知的 Telnet 連接埠。

桌面 Netlet 提供者並不會顯示連結，但是 Netlet 會自動啟動與偵聽指定的連接埠 (1111)。指示使用者啟動用戶端軟體 - 此情形中為連接至 localhost 的 Telnet 階段作業。

例如，如果要啟動 Telnet 階段作業，用戶端需要在終端機 UNIX 指令行中鍵入下列字元：

telnet localhost 1111

包含多個主機連線的靜態規則

本規則支援從用戶端至兩台機器，即 sesta 和 siroe 的 Telnet 連線。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
myrule	`SSL_RSA_WITH_RC4_128_MD5`	空	請選取核取方塊	選取核取方塊	本機連接埠：1111–1234 目標主機：sesta-siroe 目標連接埠：23

其中

23 是目標主機上用於連線的連接埠號碼 – Telnet 的保留連接埠。

1111 為用戶端上的連接埠，Netlet 會在此偵聽來自第一個目標主機 sesta 的連線請求。

1234 為用戶端上的連接埠，Netlet 會在此偵聽來自第二個目標主機 siroe 的連線請求。

此規則中的前六個欄位與基本靜態規則中的相同。差別在於有三個欄位用於識別第二個目標主機。

當您新增其他目標至規則時，必須為每個新目標主機新增三個欄位：local port、destination host 與 destination port。

備註 –

您可以有多組此三個欄位，以描述與每個目標主機的連線。如果遠端用戶端是以 UNIX 為基礎，則不可以使用低於 2048 的偵聽連接埠號，原因是數字較低的連接埠將會受到限制，並且您必須是超級使用者才能夠啟動偵聽程式。

此規則的作用與先前的規則相同。Netlet 提供者並不顯示任何連結，但是 Netlet 會自動在指定的兩個連接埠 (1111 和 1234) 上啟動與偵聽。使用者必須啟動用戶端軟體 (在此案例中是連線至連接埠 1111 上的 localhost，或連接埠 1234 上的 localhost 的 Telnet 階段作業) 以連線至第二個範例中的主機。

選擇多個主機的靜態規則

使用此規則以指定多個替代主機。如果與規則中第一個主機的連線失敗，Netlet 會嘗試連接指定的第二個主機，以此類推。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
gojoe	`SSL_RSA_WITH_RC4_128_MD5`	/gojoe.html	用戶端連接埠：8000 伺服器主機：gojoeserver 伺服器連接埠：8080	選取核取方塊	本機連接埠：10491 目標主機：siroe+sesta 目標連接埠：35+26+491-35+491

其中

10491 為用戶端上的連接埠，Netlet 會在此偵聽來自目標主機的連線請求。

Netlet 會嘗試以相同順序連線至連接埠 35、26 和 491 上的 siroe，視何者可用而定。

如果無法建立與 siroe 的連線，Netlet 會嘗試以相同順序連線至連接埠 35 和 491 上的 sesta。

主機之間的加號 (+) 表示替代的主機。

連接埠號之間的加號 (+) 指出用於單一目標主機的替代連接埠。

連接埠號之間的減號 (-) 為不同目標主機連接埠號的分隔符號。

備註 –

會按次序連線至鏈接中所提供的主機。例如，如果規則是 siroe+ sesta，則會先嘗試 siroe。如果連線失敗，則會嘗試連線至 sesta。如果規則中先列出的主機無法在使用中的網路實際使用，則連線至下一個可用主機的時間會隨著規則中的不可用主機數增加而增加。

呼叫 URL 的動態規則

此規則可以讓使用者配置必要的目標主機，讓使用者可以通過 Netlet 遠程登入不同主機。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	啟用延伸階段作業	將本機連接埠對映至目標伺服器連接埠
myrule	`SSL_RSA_WITH_RC4_128_MD5`	telnet://localhost:30000	請勿選取核取方塊	選取核取方塊	本機連接埠：30000 目標主機：TARGET 目標連接埠：23

其中

myrule 為規則的名稱。

SSL_RSA_WITH_RC4_128_MD5 表示要使用的密碼。

telnet://localhost:30000 為規則所呼叫的 URL。

false 表示將不會下載任何 applet。

Extend Session(true) 表示當 Netlet 連線在使用中的情況下 Portal Server 不應逾時。

30000 為用戶端上的連接埠，Netlet 會在此偵聽此規則的連線需求。

TARGET 表示使用 Netlet 提供者的使用者需要配置的目標主機。

23 是 Netlet 開啟的目標主機上的連接埠，在本例中為已知的 Telnet 連接埠。

在新增規則之後執行 Netlet

在新增規則之後，使用者必須完成某些步驟，使得 Netlet 能夠如預期般執行。使用者需要在用戶端執行下列動作：

在標準 Portal Server 桌面的 Netlet 提供者區段中，按一下 [編輯]。

新的 Netlet 規則會列在 [新增新目標] 區段中的 [規則名稱] 底下。

變更規則名稱，然後鍵入目標主機的名稱。

儲存變更。

使用者會返回桌面，此時您可以在 Netlet 提供者區段中看見此新連結。

按一下新連結。

會啟動一個新的瀏覽器，並進至 Netlet 規則中所提供的 URL。

備註 –
透過重複上述步驟，您可以在相同的規則中新增一個以上的目標主機。只有最後選取的連結為使用中。

下載 Applet 的動態規則

本規則定義從用戶端至動態配置的主機之間的連線。規則會從 applet 所在的伺服器上將 GO-Joe applet 下載至用戶端。

規則名稱	加密密碼	遠端應用程式 URL	啟用下載 Applet	延伸式階段作業	將本機連接埠對映至目標伺服器連接埠
gojoe	`SSL_RSA_WITH_RC4_128_MD5`	/gojoe.html	用戶端連接埠：8000 伺服器主機：gojoeserver 伺服器連接埠：8080	選取核取方塊	本機連接埠：3399 目標主機：TARGET 目標連接埠：58

其中

gojoe 是規則的名稱。

SSL_RSA_WITH_RC4_128_MD5 表示要使用的密碼。

例如 /gojoe.html 是包含 applet 的 HTML 頁面的路徑，路徑應與部署入口網站的 Web 容器文件根是相對的。

8000:server:8080 表示連接埠 8000 是用戶端上用來接收 applet 的目標連接埠，gojoeserve 是提供 applet 的伺服器名稱，而 8080 則是伺服器上的連接埠，applet 則從該處下載。

Extended Session(true) 表示當 Netlet 連線在使用中的情況下 Portal Server 不應逾時。

3399 為用戶端上的連接埠，Netlet 會在此偵聽此類型的連線請求。

TARGET 表示使用 Netlet 提供者的使用者需要配置的目標主機。

58 為 Netlet 所開啟的目標主機上的連接埠，在本例中為 GoJoe 的連接埠。連接埠 58 為目標主機偵聽其本身通訊的連接埠。Netlet 會將資訊從新的 applet 傳送至此連接埠。