[2008] Computer benaderen via Remote Web Workplace

[Verwijderd]

Hey GoT's,

Inleiding:
Ik ben bezig om vanuit thuis verbinding te krijgen met een werkstation op mijn werk.
Het gaat om een SBS2008 server en 5 werkstations op mijn werk. Aangezien alle computers aan het domein zijn toegevoegd kan ik ze simpelweg via MSTSC en RDP niet meer benaderen. RWW zou dit mogelijk moeten maken. Op dit moment zijn alle gebruikers toegevoegd aan Domein Users en VPN Users.

Probleem:
Ik komt voor 2 problemen te staan wanneer ik een pc wil benaderen via RWW.
1) Wanneer ik met een van de gebruikers inlog via RWW (https://ipadres/remote = via router geforward naar de server) zie ik dat er geen computers beschikbaar zijn (om over te nemen). Moet ik deze gebruikers nog aan een groep toekennen voordat de computers zichtbaar zijn.
2) Wanneer ik via een administrator of netwerkbeheerer inlog krijg ik WEL alle computers te zien maar nadat ik een systeem selecteer verschijnt de volgende melding:

VBScript: De verbinding met Extern Bureaublad is verbroken
Voor verbinding met Externe Internet-werkplek moet u het juiste certificaat installeren. Neem contact op met de persoon die technische ondersteuning biedt voor uw netwerk.

Na het opzoeken van deze foutmelding kwam ik er achter dat ik via de rode balk bovenin mijn URL balk moest klikken op Certificate Error - View Certificates - Install Certificate. Dit heb ik doorlopen maar de rode balk bovenin blijft net als de foutmelding. Ook heb ik gelezen dat de regel ISSUED TO hetzelfde moet zijn als de regel die ik in mijn URL balk typ. Dit klopt echter niet. Bij mij in het certificaat zie ik staan:

Issued to: Sites
Issued By: domein-servernaam-CA
Valid from: 6-3-2010 to 5-3-2012

Kan iemand mij verder helpen?

[DaVaRiOuS]

In de SBS Console ga je naar Users & Groups, daar kun je een gebruiker selecteren en aangeven welke computers die remote mag benaderen via RWW.

Je moet het certificaat installeren in de categorie vetrouwde basiscerticaten o.id.

[Verwijderd]

DaVaRiOuS schreef op dinsdag 13 april 2010 @ 16:50:
In de SBS Console ga je naar Users & Groups, daar kun je een gebruiker selecteren en aangeven welke computers die remote mag benaderen via RWW.

Je moet het certificaat installeren in de categorie vetrouwde basiscerticaten o.id.

Ik heb de gebruikers direct toegevoegd via de Active Directory. Ze staan dus niet in de SBS Console.
Ik heb verder nog geen Policy's op deze gebruikers losgelaten dus kan ik deze nog naar de OU SBSUsers kopieren. VOlgens mij is deze OU namelijk gekoppeld aan de SBS Console.

Ik heb het certificaat al geprobeerd te installeren via vertrouwde basiscertificaten. Helaas geen resultaat.
De balk bovenin blijft rood. Zoals al aangegeven verwacht ik dat het ligt aan een eigenschap van het certificaat.
Verleend aan: Sites (Nederlandse WIndows)
Issued to: Sites (Engelse WIndows)

Aangezien ik niet naar https://sites/remote kan gaan kan dit certificaat niet werken. Is er een mogelijkheid om een nieuw certificaat aan te maken en zelf de Issued To / Verleend Aan eigenschap op te geven ?

EDIT: Ik heb zojuist een topic gevonden op dit forum om gebruikers die aangemaakt zijn via de Active Directory toch toe te voegen aan de SBS Console.
Ga naar AD - Beeld - Geavanceerde kenmerken - Eigenschappen van gebruiker - Tabblad kenmerkeditor -
msSBSCreationState de waarde 'Created' geven. Daarna SBS Console refreshen en de gebruiker staat erbij.
Ik kan nu inderdaad ook per gebruiker een computer toewijzen. Weer een stap in de goede richting.

Nu rest alleen nog het laatste probleem.
Het certificaatprobleem. De VBScript error blijft komen wanneer ik verbinding probeer te maken.
Iemand hier nog een oplossing voor. (bijv. hoe een nieuw certificaat aan te maken?)

[ Voor 23% gewijzigd door Verwijderd op 14-04-2010 00:21 ]

[ThePrutser]

Eerst even dit:
Een groot nadeel van SBS is dat je aan allerlei voor gedefinieerde waardes vast zit en als je hiervan afwijkt je tegen allerlei "vage/rare" problemen kunt aan lopen.

Dus al het beheer en configuratie van SBS 2008 zoveel mogelijk dmv de wizards en console die SBS levert. De wizards doen altijd net even een setting meer of anders, die wel nodig zijn voor een correcte werking van SBS 2008 en om dit soort problemen te voorkomen.

Verwijderd schreef op dinsdag 13 april 2010 @ 22:10:
[...]
EDIT: Ik heb zojuist een topic gevonden op dit forum om gebruikers die aangemaakt zijn via de Active Directory toch toe te voegen aan de SBS Console.
Ga naar AD - Beeld - Geavanceerde kenmerken - Eigenschappen van gebruiker - Tabblad kenmerkeditor -
msSBSCreationState de waarde 'Created' geven. Daarna SBS Console refreshen en de gebruiker staat erbij.
Ik kan nu inderdaad ook per gebruiker een computer toewijzen. Weer een stap in de goede richting.

Dit kan ook anders cq de SBS manier, die ten zeerste aangeraden worden:
* Open de SBS console,
* Ga naar "Users and Groups", tabblad Users
* Klik op "Change user role for User Accounts"
* Selecteer de gewenste "Role", kies voor "Add user permission or setting"
* Vink "Display all user accounts in the Active Directory" aan. Nu verschijnen alle AD user accounts.
* Voeg de gewenste User accounts toe en klik op "Change user role"
* Refresh de Console et voila, daar is de user

Nu rest alleen nog het laatste probleem.
Het certificaatprobleem. De VBScript error blijft komen wanneer ik verbinding probeer te maken.
Iemand hier nog een oplossing voor. (bijv. hoe een nieuw certificaat aan te maken?)

Een aantal dingen kun je proberen:
* In de SBS console
- Ga naar "Network" tab "Connectivity" en klik op "Set up your Internet address"
- Klik op "Next"
- Kies "I already have a domain name that I want to use" en klik op "Next"
- Kies "I want to manage the domain name myself" en klik op "Next"
- vul je externe domein naam in en klik op "Configure"
De SBS wizard zal nu een aantal zaken voor je configureren, waaronder het aanmaken van remote.domeinnaam.nl en het bijbehorende certificaat. Je bent gebonden aan de host name remote !!

Belangrijk in het certificaat zijn, de Issuer, de common name en de expiry date.
De issuer = Root CA = je SBS server
De common name moet overeenkomen met de externe FQDN (remote.domeinnaam.nl)
De expiry date mag niet voorbij zijn
Daarbij komt dat de client die connectie maakt via RWW en een PC wil overnemen de issuer moet vertrouwen. Je SBS server zit standaard niet in de trusted root authorities van PC die niet in het domein zitten. Is de PC echter wel lid van het domein, dan zorgt AD ervoor dat het certificaat van de server in de juiste certificate store komt. Dwz op een domein pc zou je in principe je Root CA certificaat niet hoeven te importeren, hier zorgt de AD voor. Is het een PC die niet lid van het domein is, dan zul je dus het certificaat van de Root CA moeten importeren.


Is het nog gelukt met je VPN?

[McWolf82]

Je bent gebonden aan de host name remote???

Dat is niet waar. Je kunt het woordje 'remote' aanpassen in wat je zelf wil.
Dus bijvoorbeeld extern.domeinnnaam.nl kun je ook gebruiken.

Op de server staat op de C:\ schijf een map genaamd Public (is een share)
Hierin zit het certificaat wat wordt aangemaakt nadat je de wizard voor het internet hebt doorlopen.

Dit certificaat moet je op elke pc installeren die je gaat gebruiken om van op afstand een computer over te kunnen nemen. Dat is gewoon een .exe bestand die je kunt openen en vervolgens geef je aan dat het certificaat gebruikt wordt voor een computer. Dan wordt het certificaat vanzelf op de juiste plaats gezet.

Als je vervolgens Internet Explorer afsluit en je gaat dan naar https://remote.domeinnaam.nl of iets wat je zelf hebt verzonnen dan is je rode adresbalk verdwenen.
Je kunt niet RWW benaderen via het publieke ip-adres. Je moet een DNS entry actief hebben die verwijst naar de naam op het certificaat.

Staat er bij het certificaat issued to: remote.domeinnaam.nl dan moet je een DNS entry aan (laten) maken genaamd 'remote' die verwijst naar het publieke IP-adres van je server.

[ThePrutser]

McWolf82 schreef op donderdag 15 april 2010 @ 15:40:
Je bent gebonden aan de host name remote???

Dat is niet waar. Je kunt het woordje 'remote' aanpassen in wat je zelf wil.
Dus bijvoorbeeld extern.domeinnnaam.nl kun je ook gebruiken.

Ok dan, weer wat geleerd. Het is me nog niet gelukt bij verschillende sbs 2008 implementaties, maar daarbij moet ik toegeven dat ik na de eerste failure geen poging heb gedaan om het nog een keer aan te passen en uitzoeken hoe dit aan te passen, was niet belangrijk voor de klant. My Bad.

[sanfranjake]

Je hebt via de Internet Address wizard de optie Domeinnaam. Hier vul je de domeinnaam in zonder enig voorvoegsel. Vervolgens klik je daar op het knopje Advanced, alwaar je een prefix kan kiezen, of het vinkje kan veranderen om helemaal geen prefix te gebruiken. Certificaataanvragen en dergelijke zullen deze namen gaan gebruiken, alsook je exchange mail. Die certificaten worden bij de op de SBS server geinstalleerde CA aangevraagd, en niet self-signed, dus je hoeft dan op clients in principe niet opnieuw de rootcerts te importeren.

[ThePrutser]

sanfranjake schreef op donderdag 15 april 2010 @ 17:32:
Die certificaten worden bij de op de SBS server geinstalleerde CA aangevraagd, en niet self-signed, dus je hoeft dan op clients in principe niet opnieuw de rootcerts te importeren.

Behalve als de clients niet lid zijn van het domein toch?

[sanfranjake]

ThePrutser schreef op donderdag 15 april 2010 @ 20:11:
[...]

Behalve als de clients niet lid zijn van het domein toch?

Domein/niet-domein zou niet uit moeten maken als je het rootcertificaat eenmaal hebt geimporteerd.