Datei:          NEUES.TXT
Produkt:        NCP Secure Entry CE Client
Version:        Version 2.26
Hersteller:     NCP Engineering GmbH

-------------------------------------------------------------------------------
Neueste Informationen zum NCP Secure Entry CE Client 
-------------------------------------------------------------------------------
Neue Features der Version 2.26, gegenüber Version 2.21
-------------------------------------------------------------------------------

Der NCP Entry CE Client 2.26 unterstützt die aktuellen Versionen des 
Betriebssystems Windows Mobile 5.

Um Geräte mit der aktuellsten Firmware (WLAN-Treiber) nutzen zu können, sollte 
immer die aktuellste Version des Clients installiert werden. Sie erhalten den 
neuesten NCP Entry CE Client über die Web-Seite:
http://www.ncp.de/deutsch/download/testsoftware/index.html




Neue Features der Version 2.21, gegenüber Version 2.20
-------------------------------------------------------------------------------

1. Beim Schließen des Monitors minimieren (neuer Menüpunkt im Popup-Menü)

Im Popup-Menü wurde der Menüpunkt "Beim Schließen minimieren" hinzugefügt. Ist 
dieser Menüpunkt aktiviert, so wird der Monitor beim Schließen über den 
Button [x] rechts in der Kopfzeile nur minimiert, nicht beendet. Der Monitor
erscheint als Tray Icon in Form eines Ampelsymbols in der Task-Leiste. Am 
Ampellicht kann der Status der Verbindung abgelesen werden (grün = Verbindung 
besteht noch).
Das Beenden des Monitors ist nur noch möglich, indem im geöffneten Monitor das 
Popup-Menü erneut aktiviert und die Funktion "Beim Schließen minimieren" wieder 
deaktiviert wird. Erst dann beendet ein erneuter Klick auf den Button [x] rechts 
in der Kopfzeile den Monitor.


2. Zertifikats-Informations-Dialog

Im grafischen Feld des Monitors wurde im Bereich der Smartcard- und PIN-Dar-
stellung ein weiteres Popup-Menü für die Zertifikats-Information hinzugefügt.
Es wird mit Druck auf das Smartcard- oder PIN-Symbol aktiviert und zeigt vier
Menüpunkte:
- Zertifikats-Info (zeigt die verwendeten CA- und Benutzer-Zertifikate an;
                    ein Untermenü zeigt die Inhalte an.)
- PIN eingeben     (ermöglicht die Eingabe der PIN)
- PIN zurücksetzen (um die PIN um erneut eigeben zu müssen)
- ReInit PKI-Modul (bei fehlerhafter Verbindung zum Chipkartenleser kann
                    eine erneute Initialisierung angestoßen werden.)


3. Neuer Verbindungsmodus

immer = Dieser Modus ist speziell für Push-Dienste am PDA gedacht (z.B. E-Mail 
Push-Dienste). In diesem Modus prüft der Client, ob eine VPN-Verbindung steht. 
Ist dies nicht der Fall, wird sie aufgebaut. (Steckt der PDA in der Docking-
Station, so wird keine Verbindung hergestellt.)


4. Unterstützung von Windows Mobile 5.0

Der Client unterstützt auf Pocket PCs und MDA Pro von T-Mobile das Windows 
Betriebssystem Mobile 5.0. Dabei ist zu beachten, dass nur der Loopback- und 
Media-Treiber signiert ist, nicht jedoch alle anderen ausführbaren Dateien.
(Siehe auch die Datei "Hinweise").


5. ActiveSync-Verbindung zulassen (TCP 990, 999, 5678, 5679)

ActiveSync-Verbindungen werden als normale TCP-Verbindungen von der Link 
Firewall behandelt. Obwohl ActiveSync die TCP-Verbindung in beide Richtungen (PC 
<--> PDA) etabliert, wird die ActiveSync-Kommunikation bei aktiviertem Stateful 
Inspection-Filter in der Link Firewall zugelassen. 

Die ActiveSync-Verbindung wird dann gesperrt, wenn "Ausschließlich Kommunikation 
im Tunnel zulassen" aktiviert ist. Um bei dieser Einstellung die ActiveSync-
Verbindung zuzulassen, muss die Funktion "ActiveSync-Verbindung zulassen" 
aktiviert werden.

Die (globale) Firwall muss bei einer Direktverbindung (über USB, seriell oder 
Infrarot) für ActiveSync freigeschaltet werden. Dies erfolgt in den Firewall-
Einstellungen des Monitors unter "Optionen - ActiveSync-Verbindungen (TCP 990, 
999, 5678, 5679) zulassen". Diese Einstellung kann auch am PDA über das Popup-
Menü vorgenommen werden, wenn die (globale) Firewall aktiv ist.

Wird ActiveSync über Netzwerk betrieben (LAN oder WLAN), so muss zusätzlich 
manuell eine eigene Firewall-Regel für die Namensauflösung (DNS/WINS) erstellt 
werden.



Neue Features der Version 2.20, gegenüber Version 2.04
-------------------------------------------------------------------------------


1. Loopback-Adapter standardmäßig deaktiviert auf PocketPC Platform

Auf Windows CE-Geräten der PocketPC Platform wird der virtuelle Netzwerkadapter 
"NCP Loopback" bei der Neuinstallation standardmäßig deaktiviert.  

Dadurch sind Profil-Einstellungen mit NCP Dialer und teilweise auch 
automatischem Modus nicht einsetzbar. Diese Profile werden am PDA nach einem 
Upload vom Configurator automatisch ausgeblendet. Dazu erscheint im Log-Fenster 
ein Text, der darauf hinweist, dass die Profile nicht kompatibel zur aktuellen 
Einstellung am PDA sind. 


2. Firewall

Die Personal Firewall kann im Configurator-Menü "Konfiguration" eingestellt 
werden und ist fester Bestandteil des Secure Clients. Alle Firewall-Mechanismen 
sind optimiert für Remote Access-Anwendungen und werden bereits beim Start des 
Rechners aktiviert. D.h. im Gegensatz zu VPN-Lösungen mit eigenständiger 
Firewall ist der Telearbeitsplatz bereits vor der eigentlichen VPN-Nutzung gegen 
Angriffe geschützt. Die Firewall bietet auch im Fall einer Deaktivierung der 
Client-Software vollen Schutz des Endgerätes. Alle Firewall-Regeln können 
zentral vom Administrator vorgegeben und deren Einhaltung erzwungen werden. 
Voraussetzung hierfür ist das zentrale NCP Secure Enterprise Management, mit 
dessen Hilfe die Konfiguration des Clients fest, für den Anwender nicht 
änderbar, vorgegeben werden kann.


3. Automatische HotSpot-Anmeldung

Damit der remote Client in jeder Phase des Verbindungsaufbaus auch in WLANs mit 
HotSpots ohne Zutun des Benutzers gegenüber jeglichen Attacken geschützt ist, 
wurde die Firewall fest in die Client Software integriert. Sie verfügt 
über intelligente Automatismen für eine sichere HotSpot-Anmeldung.

Funktionsbeschreibung:
Befindet sich ein Benutzer mit seinem Endgerät im Empfangsbereich eines 
öffentlichen WLAN, wählt er im Hauptmenü "Verbindung" den Menüpunkt "HotSpot-
Anmeldung". Der Client sucht daraufhin automatisch den HotSpot und öffnet die 
Website zur Anmeldung im Standard-Browser. Nach erfolgreicher Eingabe der 
Zugangsdaten und Freischaltung durch den Betreiber, kann die VPN-Verbindung z.B. 
zur Firmenzentrale aufgebaut und sicher wie an einem Büroarbeitsplatz 
kommuniziert werden.
Damit der PC bei der Anmeldung im WLAN zu keiner Zeit angreifbar ist, gibt die 
Firewall dynamisch die Ports für http bzw. https für die Anmeldung bzw. 
Abmeldung am HotSpot frei. Dabei ist nur Datenverkehr mit dem HotSpot-Server des 
Betreibers möglich. Nicht angeforderte Datenpakete werden abgewiesen. Auf diese 
Weise ist garantiert, dass ein öffentliches WLAN ausschließlich für die VPN-
Verbindung zum zentralen Datennetz genutzt wird und kein direkter Internet-
Zugriff erfolgt.
Die direkte Kommunikation zum Internet unter Umgehung des VPN-Tunnels ist 
ausgeschlossen, aufgrund der bereits beschriebenen dynamischen Firewall-Regeln, 
die von der integrierten Personal Firewall des NCP Secure Clients selbständig 
gesetzt werden.
Für die Anmeldung über den Standard-Browser am HotSpot ist zu beachten, dass 
eventuell eingetragene Proxy-Einstellungen angepasst bzw. deaktiviert werden 
müssen.
Sollte vom NCP Secure Client keine HotSpot-Anmeldung durchgeführt werden, wird 
dies durch die Meldung "HotSpot konnte nicht gefunden werden" mitgeteilt.
Für einen solchen Fall ist zu klären, ob über diesen HotSpot-Betreiber ein 
generelles Problem in Verbindung mit den von NCP implementierten Mechanismen 
besteht.


4. ActiveSync bei Link Firewall

ActiveSync-Verbindungen werden als normale TCP-Verbindungen von der Link 
Firewall behandelt. Obwohl ActiveSync die TCP-Verbindung in beide Richtungen (PC 
<--> PDA) etabliert, wird bei aktiviertem Stateful Inspection-Filter in der Link 
Firewall zugelassen. Die Verbindung wird gesperrt, wenn "Ausschließlich 
Kommunikation im Tunnel zulassen" aktiviert ist.

Auch komprimierte Verbindungen des RAS-Dialers können vom Client als normaler 
IP-Verkehr überwacht werden, da sowohl die Kompression (CCP) als auch die 
VanJacobson-IP-Header-Kompression (im IPCP) nicht mehr ausgehandelt werden.

Die (globale) Firwall muss bei einer Direktverbindung (über USB, seriell oder 
Infrarot) für ActiveSync freigeschaltet werden. Dies erfolgt in den Firewall-
Einstellungen des Monitors unter "Optionen - ActiveSync-Verbindungen (TCP 990, 
999, 5678, 5679) zulassen". Diese Einstellung kann auch am PDA über das Popup-
Menü vorgenommen werden, wenn die (globale) Firewall aktiv ist.

Wird ActiveSync über Netzwerk betrieben (LAN oder WLAN), so muss zusätzlich 
manuell eine eigene Firewall-Regel für die Namensauflösung (DNS/WINS) erstellt 
werden.


5. Log-Fenster am Configurator

In der PC-Komponente, dem Configurator, gibt es ein Log-Fenster für Meldungen. 
Die Texte in diesem Log-Fenster, dessen Größe mit dem Mauszeiger verändert 
werden kann, betreffen die Kommunikation zwischen PDA und PC-Komponente bzw. die 
Kompatibilität der Profil-Einstellungen des Configurators mit den aktuellen 
Einstellungen des PDAs. So wird zum Beispiel geprüft, ob der virtuelle Adapter 
(Loopback-Adapter) am PDA ausgeschaltet ist und beim Kopieren der Profile auf 
den PDA darauf hingewiesen, dass in diesem Fall der NCP Dialer nicht verwendet 
werden kann. Das entsprechende Profil wird am PDA dann nicht angezeigt.
 
rote  Meldungen: Fehler und missglückte Verbindungen
grüne Meldungen: OK-Meldungen bei Upload von Profil-Einstellung und Zertifikat 
blaue Meldungen: Hinweise und Warnungen wegen inkompatibler Profile
                 (WAN Support, virtueller Adapter am PDA - Upload auf den PDA)


6. VPN Passwort-Abfrage im automatischen Modus 

Ist kein VPN-Passwort eingegeben, so wird es bei einem Verbindungsaufbau, gleich 
ob manuell, automatisch oder wechselnd, abgefragt. Ein einmal eingegebenes 
Passwort bleibt gespeichert bis
- das Profil gewechelt wird oder  
- der Dienst neu gestartet wird oder  
- über manuellen Verbindungsaufbau ein anderes Passwort eingegeben wird


7. Monitor im Vordergrund bei Verbindungsstatusänderung

Bei einer Änderung des Verbindungsstatus erscheint der Monitor im Vordergrund, 
wenn dies über die Benutzeroberfläche in ncpconfig.exe am PDA eingeschaltet 
wurde. Der Monitor muss nach dem Ändern dieser Einstellung neu gestartet werden.


8. Kompressionstyp Deflate

Der Kompressionstyp Deflate wird unterstützt. In den Profil-Einstellungen 
erscheint unter "IPSec-Einstellungen" der Parameter "IP-Kompression verwenden". 
Wird diese Funktion aktiviert, so werden beide Kompressionstypen, LZS und 
Deflate, ausgehandelt. 


9. Kaltstart-Installation

Mit einem eigenen Programm (Admin Pack) kann eine Neuinstallation inklusive 
Profil-Einstellungen ohne PC vorgenommen werden. Dazu wird die Software im 
Flash-ROM des Geräts oder auf Flashcard hinterlegt. Nach einem Kaltstart wird 
sie dann automatisch installiert. Damit gleichzeitig Profil-Einstellungen und 
Lizenzierung übernommen werden können, werden drei Dateien benötigt:
- die CAB-Datei der Software vom PC
- ein Installationsprogramm (Admin Pack) mit Anleitung
- ein Konfigurationsprogramm (Script)
Das Installationsprogramm wird durch die Autostart-Mechanismen des Systems 
gestartet. 
Im Konfigurationsprogramm ist angegeben um welche Software es sich handelt 
(Entry oder Enterprise), ob und wo ein Telefonbuch/eine Profil-Einstellung 
vorhanden ist, sowie Informationen über die Lizenz. Zudem ist vermerkt, ob 
weitere Einstellungen vor bzw. nach der Installation in der Registry vorgenommen 
werden sollen.
Das Admin Pack ist auf Nachfrage direkt bei NCP erhältlich.


10. Angabe des Smartcard-Lesers mit Wildcards

Der Name eines Smartcard-Lesers wird in der Konfiguration festgelegt. Verwendet 
man nun einen anderen Leser so unterscheidet sich der Name und der Leser wird 
nicht gefunden. Bei zwei Lesern, die sich lediglich in der Firmware 
unterscheiden, deswegen jedoch einen anderen Namen haben, kann das evtl. nicht 
erwünscht sein. z.B.: 
SpringCard GCR-R1.44-GI slot A 
SpringCard GCR-R1.44-GH slot A 
--> für obiges Beispiel kann mit einem Stern "*" als Wildcard z.B. folgenden 
Lesernamen angeben: SpringCard*


11. Integriertes Ping-Utilty

Der CE Client enthält ein Programm um ICMP-Echo_Requests (Ping) abzusenden. Der 
Aufruf erfolgt über das Popup-Menu des Clients. Das Programm "Ping.exe" befindet 
sich im Installationsverzeichnis der Client Software und ist jedoch auch stand-
alone verwendbar.


12. Neues Verbindungsmedium PocketPC Connection Manager

In den Profil-Einstellungen kann im Parameterfeld "Grundeinstellungen" das 
Verbindungsmedium "PocketPC Connection Manager" für PocketPC Plattformen 
eingestellt werden. Dieses Verbindungsmedium ist ideal für Geräte mit 
integriertem Telefon (MDA). Während eine GPRS-Verbindung besteht, kann 
gleichzeitig telefoniert werden. Der PocketPC Connection Manager übernimmt dabei 
automatisch das Parken der GPRS-Verbindung. Bei der Konfiguration eines Profils 
für diese Anwendung ist darauf zu achten, dass die Timeout-Spanne genügend groß 
gewählt wird, bzw. der Timeout deaktiviert ist und Dead Peer Detection (DPD) in 
den IPSec-Einstellungen deaktiviert ist.
Bei Einsatz dieses Verbindungsmediums, nur sinnvoll bei deaktiviertem Loopback-
Adapter, kann man das Zielnetzwerk auswählen: Internet oder Firmennetz. Diese 
Einstellung kann auch nachträglich am PDA über das Popup-Menü geändert werden. 
Bei Verwendung dieses Medientyps wird der PocketPC Connection Manager dazu 
veranlasst eine Verbindung (ins Internet oder Firmennetz) aufzubauen. D.h. der 
ConnectionManager wird automatisch eine RAS-Verbindung auswählen und aufbauen, 
oder er erkennt eine schon vorhandene LAN-Karte und baut keine weitere 
Verbindung auf.
Unter "Start -> Einstellungen -> Verbindungen -> Verbindungen", kann mit 
Bordmitteln die entsprechende Internet- und Firmenverbindung konfiguriert 
werden.
Ist der virtuelle Adapter aktiv so ist für den sinnvollen Einsatz des Connection 
Managers genauere projektspezifische Kenntniss der Umgebung nötig.




Neue Features der Version 2.04, gegenüber Version 2.0
-------------------------------------------------------------------------------

Allgemein zum Datenaustausch zwischen PDA und PC:

Bei aktivierter Firewall werden alle unbekannten WAN-Pakete geblockt. Ein 
Verbindungsaufbau funktioniert noch (PPP-Verhandlung sind bekannte Pakete und 
werden nicht geblockt) aber anschließend ist kein Datenverkehr mehr möglich. 
Dies gilt sowohl für ActiveSync-Verbindungen als auch für von Hand gestartete 
RAS-Verbindungen sofern diese Kompression nutzen.

Abhilfe: Wählen Sie im Client-Monitor ein Zielsystem, für welches keine Firewall 
aktiviert ist oder beenden Sie den NCP Client Driver (falls ein derartiges Ziel 
noch nicht angelegt wurde)!


1. WAN-Support

Mit dem Programm NCPCONFIG.EXE kann die Unterstützung von WAN-Adaptern am PDA 
konfiguriert werden. Dieses Programm steht im Installationsverzeichnis auf dem 
PDA und kann dort von Hand gestartet werden. Im Auslieferungszustand ist der 
WAN-Support eingeschaltet.

Nur bei aktivem WAN-Support ist auch die Firewall-Funktionalität für den RAS-
Adapter gegeben. WAN-Support wird außerdem benötigt, um IPSec-Tunneling über 
RAS-Verbindungen nutzen zu können. Alle anderen Verbindungsarten über den RAS-
Adapter benötigen keinen WAN-Support.

Voraussetzung für den WAN-Support ist Pocket PC 2002 mit EUU3 oder einem neueren 
System auf dem PDA. Nach der Aktivierung und einem anschließenden Softreset muss 
eine ActivSync-Verbindung (über USB oder seriell) zum PC weiterhin möglich sein. 
Ist dies nicht der Fall, so funktioniert der WAN-Support nicht und muss mit 
NCPCONFIG.EXE abgeschaltet werden. Nach einem erneuten Softreset sollte 
ActiveSync 
wieder funktionsfähig sein.

NCP empfiehlt den WAN-Support nur dann zu deaktivieren, wenn Probleme auftreten.


2. Statusanzeigen im grafischen Feld des Monitors

Folgende Statusanzeigen werden im grafischen Feld angezeigt:
- Chipkarte 
- PIN-Status 
- Firewall-Option 
- EAP-Status 


3. Anzeige der Meldungen des ACE Servers

Anfragen des ACE Servers, die über XAUTH beim Client eintreffen, werden dem 
Benutzer angezeigt.


4. IPSec clearing previous session

Bei einem unerwarteten Verbindungsabbruch speichert der Client die Parameter zur 
letzten ausgehandelten Verbindung und meldet diese bei einem erneuten 
Verbindungsaufbau zunächst ordentlich ab. Anschließend findet ein erneuter 
Verbindungsaufbau statt.


5. PKCS#11-Module

Der entsprechende PKCS#11-Eintrag erscheint unter "aus Chipkartenleser", nachdem 
das PKCS#11-Modul in der Datei NCPPKI.CONF angelegt wurde.


6. Modemdaten aus RAS-Eintrag übernehmen

Wählt man als Verbindungsart "Modem" und den Microsoft RAS-Dialer so besteht bei 
der Modem-Konfiguration die zusätzliche Option "Modemdaten aus RAS-Eintrag 
übernehmen". Wird diese Option selektiert, so werden unter "Modem" alle im PDA 
gefundenen RAS-Einträge angezeigt. Aus dem gewählten Eintrag wird die 
Modemkonfiguration incl. gerätespezifischer Einstellungen für den vom NCP-Client 
neu angelegten RAS-Eintrag übernommen.

Zu den gerätespezifischen Einstellungen gehört z.B. die Baudrate und der Init-
String, nicht jedoch die Telefonnummer. Somit ist es möglich einen Modem Init-
String über den Ras-Dialer zu verwenden.

 
7. Disable Auto-Poweroff

Wird der PDA längere Zeit nicht benutzt, schaltet er automatisch ab in den 
Stromsparmodus. Dies kann auch geschehen, während eine VPN-Verbindung aktiv ist. 
Im Client-Monitor kann dieser Automatismus ausgeschaltet werden. Dazu gehen Sie 
wie folgt vor:

Halten Sie den Eingabestift einige Sekunden auf das grafische Feld des Monitors 
gedrückt, dann erscheint ein Popup-Menü über das sie aktuelle Einstellung 
angezeigt wird und geändert werden kann.


8. Betrieb ohne virtuellen Netzwerkadapter

Der Betrieb ohne virtuellen Netzwerkadapter ist auf Geräten mit Pocket PC 2003 
(Phone Edition) zu empfehlen. Der virtuelle Adapter wird wie folgt 
ausgeschaltet:

- Über den Datei-Explorer wechseln Sie in das Installationsverzeichnis 
(normalerweise: \Programme\NCP Secure CE Client\) und rufen NCPCONFIG.EXE auf.
- Wählen Sie anschließend den Karteireiter "Loopback" und deaktivieren Sie den 
virtuellen Netzwerkadapter.
- Führen Sie anschließend einen Softreset durch.




Neue Features der Version 2.00, gegenüber Version 1.22
-------------------------------------------------------------------------------


1. Firewall-Einstellungen (neues Konfigurationsfeld)

An Stelle der Funktion "LAN-Adapter schützen" in früheren Versionen wurde das 
Konfigurationsfeld "Firewall-Einstellungen" mit erweiterten 
Konfigurationsmöglichkeiten eingefügt. Achtung: Es werden nur LAN-Adapter 
geschützt (Ethernet, WLAN) keine WAN-Adapter wie z.B. der RAS-Adapter.

Grundsätzliche Aufgabe einer Firewall ist es, zu verhindern, dass sich Gefahren 
aus anderen bzw. externen Netzen (Internet) in das eigene Netzwerk ausbreiten. 
Deshalb wird eine Firewall auch am Übergang zwischen Firmennetz und Internet 
installiert. Sie prüft alle ein- und ausgehenden Datenpakete und entscheidet auf 
der Basis vorher festgelegter Konfigurationen, ab ein Datenpaket durchgelassen 
wird oder nicht. Die hier zu aktivierende Firewall arbeitet nach dem Prinzip der 
Stateful Inspection.

Aktivierung aus: Die Sicherheitsmechanismen der Firewall werden nicht in 
Anspruch genommen.
Aktivierung immer: Die Sicherheitsmechanismen der Firewall werden immer in 
Anspruch genommen, d.h. auch wenn keine Verbindung aufgebaut ist, ist der PC vor 
unberechtigten Zugriffen geschützt.
Aktivierung bei bestehender Verbindung: Der PC ist dann nicht angreifbar, wenn 
eine Verbindung besteht.
Ausschließlich Kommunikation im Tunnel zulassen: Bei aktivierter Firewall kann 
diese Funktion zusätzlich eingeschaltet werden, um in ein- und ausgehender 
Richtung ausschließlich VPN-Verbindungen zuzulassen. 


2. Update Server (neuer Parameter)

Im Telefonbuch wurde im Konfigurationsfeld "DNS/WINS" der Parameter "Update 
Server" hinzugefügt. Die IP-Adresse des NCP Update Servers muss hier eingetragen 
werden, wenn das Gateway der Gegenstelle kein NCP-Gateway ist und somit kein 
Update-Server automatisch über die PPP-Verhandlung bekannt gegeben werden kann.

Wird die IP-Adresse eines Update Servers eingetragen, obwohl die Gegenstelle ein 
NCP-Gateway ist, so wird unabhängig von der eingetragenen IP-Adresse der Update-
Server genutzt, welcher bei der PPP-Verhandlung zwischen NCP-Gateway und NCP 
Secure Client bekannt gegeben wird. Die eingetragene IP-Adresse wird in diesem 
Fall ignoriert.


3. Unterstützung von Dynamic DNS (DynDNS)

Das VPN Gateway benötigt keine feste offizielle IP-Adresse, sodass auch die 
Einrichtung einer Internet-Festverbindung entfällt. Statt dessen erhält das 
Gateway seine IP-Adresse vom Internet Service Provider. Da vom ISP bei jeder 
erneuten Einwahl seitens des Gateways eine andere Adresse vergeben wird, kann 
die eindeutige Identifikation durch den Secure Client nicht mehr über eine fest 
konfigurierte IP-Adresse erfolgen. Statt dessen wird dem VPN Gateway vom 
Administrator ein Name zugeordnet (DNS Name), der am DynDNS Server bei der 
Registrierung mit Benutzername (User ID) und Passwort gespeichert wird.

Auf Seiten des Clients wird nun statt der (festen) IP-Adresse für den Tunnel-
Endpunkt (siehe -> Client-Telefonbuch, Tunnel-Parameter) dieser, beim DynDNS 
Service Provider hinterlegte Name des Gateways eingetragen (DNS Name). Der DNS-
Name wird in das Feld "Tunnel-Endpunkt (Ziel)" eingetragen.

Zur Abfrage der aktuellen IP-Adresse des Gateways findet nun vor dem 
Tunnelaufbau vom Client zum Gateway ein DNS Request statt, über den eine 
Auflösung des DNS Namens erfolgt. Damit erhält der Client die jeweils aktuelle 
IP-Adresse des Gateways, und der Tunnelaufbau zum Gateway kann erfolgen.

Beachten Sie bitte, dass eine Verbindung vom Client zum Gateway natürlich nur 
stattfinden kann, solange das Gateway eine Verbindung zum Internet unterhält 
(z.B. über DSL Flatrate).


4. Verbindung zu IPSec Gateways anderer Hersteller (neues VPN-Protokoll)

Im Telefonbuch des Clients unter "Tunnel-Parameter" kann zwischen den VPN-
Protokollen "L2TP" (Layer 2) und "IPSec Tunneling" (Layer 3) gewählt werden. 
Wird das VPN-Protokoll "IPSec Tunneling" gewählt, so wird die IPSec-Verbindung 
ohne einen Layer 2-Tunnel (L2TP) hergestellt. Bei Auswahl von "IPSec Tunneling" 
wird darauf hingewiesen, dass im Konfigurationsfeld "Security" automatisch 
folgende Einstellungen vorgenommen werden:
Security-Modus   =  IPSec
IKE-Richtlinie   =  Von Gegenstelle bestimmt
IPSec-Richtlinie =  Von Gegenstelle bestimmt
Austausch-Modus  =  Main Mode

Im Telefonbuch unter der Rubrik "Security" werden die Parameter "IKE ID-Typ" und 
"IKE ID" zur Konfiguration eingeblendet:
IKE ID-Typ = Alternativen: IP-Adresse, Fully Qualified Domain Name, Fully 
Qualified Username, IP Subnet-Adresse, ASN1 Distinguished Name, ASN1 Group Name, 
Free String used to identify Groups
IKE ID     = je nach ausgewähltem ID-Typ muss der zugehörige String eingetragen 
werden.

"Preshared Key" oder "RSA Signatur": Entsprechend den Vorgaben durch die 
Gegenstelle kann als "IKE-Richtlinie" die automatisch vorgenommene Einstellung 
"Von Gegenstelle bestimmt" auf "Preshared Key" oder "RSA Signatur" (Zertifikat) 
abgeändert werden. Erwartet die Gegenstelle "Preshared Key", so muss der 
Schlüssel in das Feld eingetragen werden. (Der Preshared Key muss in diesem Fall 
für alle Clients identisch sein.)

IP-Adressen und DNS Server werden über das Protokoll IKE-Config Mode (Draft 2) 
zugewiesen (kompatibel derzeit nur gegen Cisco). Für die NAS-Einwahl können alle 
bisherigen WAN-Schnittstellen verwendet werden.

Die Authentisierung bei "IPSec Tunneling" erfolgt über das XAUTH Protokoll 
(Draft 6). Dazu müssen außerdem noch folgende Parameter im Konfigurationsfeld 
"Tunnel-Parameter" gesetzt werden:
VPN-Benutzername = Benutzername des IPSec-Benutzers
VPN-Passwort = Kennwort des IPSec-Benutzers
Benutze Zugangsdaten von Zertifikat = optional

Bei "IPSec Tunneling" wird im Hintergrund automatisch DPD (Dead Peer Detection) 
und NAT-T (NAT Traversal) ausgeführt, falls dies von der Gegenstelle unterstützt 
wird. Mit DPD prüft der IPSec Client in bestimmten Abständen, ob die Gegenstelle 
noch aktiv ist. Bei inaktiver Gegenstelle erfolgt ein automatischer 
Verbindungsabbau. Der Einsatz von NAT Traversal erfolgt beim IPSec Client 
automatisch und ist immer nötig, wenn auf Seiten des Zielsystems ein Gerät mit 
Network Address Translation zum Einsatz kommt.


5. Erneuerter Schlüsselaustausch ohne Verbindungsabbruch (Seamless Rekeying)

Zehn Sekunden vor Ablauf der Gültigkeitsdauer (siehe -> Parameter "Dauer" in der 
Konfiguration der IKE- und IPSec-Richtlinie) der IKE- oder IPSec-Richtlinie wird 
automatisch eine neue Security Association ausgehandelt. Dies gewährleistet 
einen nahtlosen Datenaustausch ohne Paketverlust.


6. L2TP-Polling

Der Client prüft bei einer Layer-2-Tunnelverbindung mit Polling, ob die 
Gegenstelle noch aktiv ist. Bleibt eine Antwort aus, so wird die Verbindung 
getrennt. Das Polling wird dann aktiv, wenn keine Daten vom Gateway mehr 
empfangen werden und wird alle zehn Sekunden durchgeführt. Dieses Verfahren hat 
keinen Einfluss auf die Einstellungen des Timeouts.


7. EAP-Optionen (neues Konfigurationsfeld)

Der Einsatz des Extensible Authentication Protocols Message Digest5 (EAP MP5) 
kann über das Hauptmenü des Monitors unter "Konfiguration - EAP-Optionen" 
eingestellt werden. Dieses Protokoll kann dann zum Einsatz kommen, wenn für den 
Zugang zum LAN ein Switch oder für das wireless LAN ein Access Point verwendet 
werden, die 802.1x-fähig sind und eine entsprechende Authentisierung 
unterstützen. Mit dem Extensible Authentication Protocol (EAP MP5) kann 
verhindert werden, dass sich unberechtigte Benutzer über die Hardware-
Schnittstelle in das LAN einklinken. Zur Authentisierung kann wahlweise "VPN-
Benutzername" mit "VPN-Passwort" verwendet werden oder ein eigener "EAP-
Benutzername" mit einem "EAP-Passwort".


8. Übertrage CA-Zertifikat zum PDA

Mit diesem Menüpunkt in der Overfläche der PC-Komponente können CA-Zertifikate 
(nur das DER-Format wird vom CE-Client verstanden, kein PEM) ins Verzeichnis 
"cacerts" auf den PDA kopiert werden.


9. Allgemeines zum InitString

Beispiel zu einem InitString für GPRS über E-Plus:
AT+cgdcont=1,"IP","internet.eplus.de"<cr>
Wichtig für die Notation: mit Anführungszeichen, ohne Leerzeichen, vorne AT, 
hinten <cr>
Bei Störungen mit einem zusätzlichen ATZ<cr> (bewirkt einen Modem-Reset) vor dem 
InitString testen.


10. Aktivierungsschlüssel

Ab jetzt wird aus einer vorhandenen CNF-Datei (Telefonbuch vom Update-Server) 
auch der Aktivierungsschlüssel und Seriennummer ausgelesen und eingestellt. 

Verändert sich dabei die Produkt-Kategorie (VPN <--> PKI / GovNet), so muss 
anschließend der "Client Driver" neu gestartet werden, damit der PKI-Teil zu-
/abgeschaltet wird. Auf diesen Umstand wird jedoch NICHT mit einer Box 
hingewiesen. 


11. Verbindungsabbau nach Standby-Modus

Mit Hilfe eines Registry Keys ist es möglich, dass Verhalten nach dem Verlasen 
des StandBy-Moduses (=ausschalten des PDA )zu beeinflussen. Um die Einträge zu 
ändern benötigt man einen Registry-Editor oder "autoinstall.exe".
Schlüssel: [HKEY_LOCAL_MACHINE\SOFTWARE\NCP\NCP Secure CE Client]
Werte: DisconnectAfterPowerOn - 0/1 (Default=1) 
Bestimmt, ob nach dem "Einschalten" eine eventuell noch bestehende VPN-
Verbindung beendet werden soll oder nicht. Dies ist jedoch nur bei (W)LAN 
sinnvoll. PKI-Verbindungen werden immer beendet, weil die PIN ungültig 
geschaltet wird!


12. Autoinstall

Im Installations-Verzeichnis auf dem PC existiert ein autoinstall.exe. Mit 
diesem können Einstellungen am NCP Client auf dem PDA vorgenommen werden und die 
Installation kann etwas automatisiert werden. Infos können mit "autoinstall -
help" oder in der Datei autoinstall.rtf (liegt auch im Installationverzeichnis) 
abgerufen werden.


13. PKI-Überwachung, ob die PKCS12 Datei vorhanden ist

Mit dieser Version wird überwacht, ob die PKCS#12 Datei vorhanden ist. Wird 
diese z.B. auf einem USB Stick oder SD Karte gespeichert, so wird nach dem 
Ziehen der SD Karte die PIN zurückgesetzt und eine Verbindung abgebaut (wie mit 
einer Chipkarte). Wird später die SD Karte wieder gesteckt, kann nach der PIN-
Eingabe die Verbindung hergestellt werden. 


14. DHCP, Standardeinstellung

Der NCP-Adapter wird bei der Installation auf dem PDA automatisch auf DHCP 
gestellt. Bei einigen Geräten kann diese Einstellung zu Problemen führen 
(Adapter bekommt keine IP-Adresse). Ist dies der Fall kann die IP-Adresse in 
folgendem Dialog geändert werden: 
StartMenü -> Einstellungen -> Verbindungen -> Netzwerk Adapter -> NCP Loopback 


15. PC-Komponente

Bisher musste beim Start der PC-Komponente eine ActivSync Verbindung zum PDA 
bestehen, sonst funktionierte der spätere Telefonbuch Up-/Download nicht. Ab 
jetzt funktioniert der Austausch auch wenn der PDA erst nachträglich angesteckt 
wird. 
Auch die Daten des Modems und des Smart Card-Lesers können nachträglich vom PDA 
geladen werden; dazu gibt es 2 neue Menü-Einträge.
Beachte: die Infos über vorhandene Modems werden jedesmal "frisch" auf dem PDA 
erzeugt, die Infos zu  Smart Card-Lesern jedoch nur bei jedem Start des Treibers 
auf dem PDA.


16. Rückruf-Funktion

Im Telefonbuch der PC-Komponente kann eine Rückruf-Funktion konfiguriert werden. 
Sie funktioniert jedoch nur, wenn der NCP-Dialer genutzt wird. Sie wird 
folgendermaßen eingesetzt:
- "COM-Port freigeben" auf "Aus" stellen (D.h. COM-Port wird geöffnet, sodass 
eine Verbindung zum Modem / Handy aufgebaut wird, sobald der Telefonbucheintrag 
am PDA ausgewählt wurde. Schon ab diesem Zeitpunkt muss das Modem erreichbar 
sein, d.h. das eventuell eingesetzte Handy muss im IR-Bereich liegen oder die 
Bluetooth-Verbindung muss bereits aufgebaut sein. Ob diese Verbindung steht, 
kann z.B. daran erkannt werden, dass im Handy das Symbol für die IR-Verbindung 
erscheint. Dieses Symbol muss während der ganzen Zeit angezeigt werden, d.h. 
auch nach der Abwahl des Clients, während auf den Rückruf gewartet wird. Ist 
dies nicht der Fall, so klappt zwar die Anwahl der Gegenstelle, der Rückruf wird 
jedoch nicht angenommen.





Neue Features der Version 1.22, Build 14 gegenüber Version 1.0
-------------------------------------------------------------------------------


1.    NCP-Dialer und Microsoft RAS-Dialer

Die neue Version des NCP Secure CE Clients kann sowohl den Microsoft RAS-Dialer 
als auch den NCP-Dialer nutzen. Mit dem NCP-Dialer können Initialisierungs-
Strings an Handys (Modems) gesendet werden, sodass GPRS-Verbindungen mit jedem 
dafür geeigneten Handy aufgebaut werden können (auch V.110).

Welcher Dialer genutzt werden soll, hängt davon ab, welche Hardware-Komponente 
bzw. welches Handy oder Modem für den Verbindungsaufbau eingesetzt wird und ob 
der Einwahlpunkt (ISP) ein Einwahl-Script benötigt. Die entsprechende 
Konfiguration der CE Client Software erfolgt auf der PC-Komponente im 
Telefonbuch. (Siehe -> Liesmich.txt)


2.   Parameterfenster "Modem"

Dieses Parameterfeld erscheint ausschließlich, wenn Sie als "Verbindungsart" 
"Modem" gewählt haben. Alle nötigen Parameter zu dieser Verbindungsart sind hier 
gesammelt. Bei Einsatz des Microsoft RAS-Dialers sind nur die Parameter 
"Baudrate" und "Modem" konfigurierbar. Je nach Einsatz des vorher unter 
"Zielsystem" festzulegenden Dialers werden zum Modem die zugehörigen 
Treibernamen zur Auswahl gelistet. 
Beachten Sie zur Konfiguration die Datei Liesmich.txt!


3.    Zertifikats-Überprüfung

Der neue Secure CE Client kann das eingehende Server-Zertifikat überprüfen. 
Schlägt die Überprüfung fehl, wird die Verbindung nicht aufgebaut. Die Ursache 
dafür kann im Log Fenster des Clients beobachtet werden.

Im Parameterfeld "Zertifikats-Überprüfung" im Telefonbuch kann pro Zielsystem 
des Secure Clients vorgegeben werden, welche Einträge in einem Zertifikat der 
Gegenstelle (Secure Server) vorhanden sein müssen.
Beachten Sie zur Konfiguration die Datei Liesmich.txt!


4.    Zertifikats-Unterstützung

Es können Zertifikate eingesetzt werden, die einen privaten Schlüssel bis zu 
einer Länge von 2048 Bits haben. Als Gegenstelle muss der NCP Secure Server 5.21 
(27) oder höher eingesetzt werden.


5.    Download vom Update Server

In Zusammenspiel mit dem NCP Secure Update Server kann der CE Client den Service 
von Konfigurations- und Zertifikats-Updates nutzen. Die Updates erfolgen 
automatisch, d.h. sobald ein neues Telefonbuch (Konfigurations-Update) oder ein 
neues Zertifikat (Zertifikats-Update) für den Client am Update Server bereit 
liegt.


6.    Passwort-Abfragen

Bei der Erstellung eines Telefonbucheintrags mit der PC-Komponente kann sowohl 
das Passwort-Feld zur "Netzeinwahl" als auch das Passwort (VPN)-Feld zur Einwahl 
am VPN Gateway (unter "Tunnel-Parameter) leer bleiben. In diesem Fall werden die 
Passwörter vor dem Verbindungsaufbau am PDA abgefragt.


7.    PIN-Abfrage bei jedem Verbindungsaufbau

Die "PIN-Abfrage bei jedem Verbindungsaufbau" kann im Hauptmenü der PC-
Komponente unter "Konfiguration - Zertifikate" eingestellt werden. Beachten Sie 
jedoch, dass bei "automatischem Verbindungsaufbau" mit dieser Einstellung und 
geschlossenem Monitor ein Verbindungsaufbau nicht möglich ist.


8.    Autostart des NCP-Treibers am PDA

Der NCP-Treiber muss nach der Installation und nach einem Softreset nicht 
unbedingt manuell aus dem Programmordner gestartet werden. Der Treiber wird 
automatisch gestartet, wenn das Programm ncprwscestart aus dem 
Installationsverzeichnis am PDA in das (anzulegende) Autostart-Verzeichnis unter 
Windows kopiert wurde.


---------------------------------------------------------------------------
Zur weiteren Information besuchen Sie bitte die Web-Site: www.ncp.de
---------------------------------------------------------------------------
NCP engineering GmbH, Nürnberg, Germany
20.09.2006
