Datei:         HINWEISE.TXT
Produkt:       NCP Secure Communications Software
Hersteller:    NCP engineering GmbH, Nürnberg, Deutschland
-------------------------------------------------------------------------------


Bekannte Einschränkungen der NCP Secure Software

Die im folgenden beschriebenen bekannten Einschränkungen der NCP Secure Software
gelten, sofern nicht ausdrücklich unterschieden wird, für alle unterstützten 
Betriebssysteme.


Inhalt:

1.   NCP Secure Windows Client
1.1  Installation des NCP Secure Clients
1.2  Konfigurieren der IPSec-Kompression
1.3  Installation der Gina-DLL
1.4  Benutzer anmelden und abmelden unter Windows XP
1.5  Das Zusatzprogramm NCP Client Tracer
1.6  Netzwerkdateien unter Windows 95
1.7  Größenbeschränkung des IP-Headers auf 120 Bytes
1.8  Zuweisung von IP Pool-Adressen
1.9  Software Update mit neuer Konfiguration

2.   NCP Secure CE Client
2.1  Update des NCP Secure CE Clients
2.2  Übertragen des Telefonbuchs zum PDA
2.3  Einschränkungen bei offiziellen Adress-Bereichen
2.4  Infrarotstrecke
2.5  Datenaustausch zwischen PDA und PC
2.6  Unkorrekter Verbindungsabbau
2.7  Tipps zum Einsatz des PDAs
2.8  Lizenzierung
2.9  DHCP mit Pocket PC 2002 EUU3 (oder niedriger)
2.10 Dummy-Adresse bei DHCP
2.11 Fehler beim Austausch von Profil-Einstellungen mit und ohne NCP-Dialer
2.12 Verbindungsabfall nach Wiedereinschalten des PDAs (nach Stromsparmodus)
2.13 Verwendung des Loopback-Adapters
2.14 Einsatz von Windows Mobile 5.0

3.   NCP Secure Linux Client
3.1  Kobil Kaan Reader
3.2  Die Oberfläche des Secure Linux Clients
3.3  Verbindungsaufbau (wechselnd)
3.4  Autostart-Ordner unter RedHat
3.5  Konfigurations-Update unter RedHat
3.6  Update von 1.0 auf 2.0

4.   NCP Secure Client Manager
4.1  Nutzung des NCP Secure Client Managers
4.2  Log-Datei
4.3  Remote-Zugriff
4.4  Ansicht der Netzwerkeinstellungen über Remote Monitor

5.   NCP Secure Server / Secure Server Manager
5.1  Deinstallation des NCP Secure Servers
5.2  Größenbeschränkung des IP-Headers auf 120 Bytes
5.3  Zuweisung von IP Pool-Adressen
5.4  Konfigurieren der IPSec-Kompression
5.5  Log-Anzeige des NCP Secure Server Managers
5.6  Aktivieren des Load Balance-Modus
5.7  Pool-Verwaltung
5.8  Deinstallation eines Secure Servers unter Windows NT

6.   NCP Secure HA Server
6.1  Zur Funktion des NCP Secure High Availability Servers
6.2  Deinstallation des HA Servers
6.3  Update (HA Server Linux)

7.   NCP Secure Linux Server
7.1  Zur Neuinstallation
7.2  Automatischer Start unter RedHat
7.3  Secure Server und HA-Server auf einem System mit Fedora Core 3
7.4  Windows-Konfigurationsdateien unter Linux
7.5  Einfrieren von Linux-Systemen

8.   Secure Update Server
8.1  Zusammenspiel der Versionen des Update Servers und des Secure Clients

9.   Firewall-Einstellungen
9.1  Filterregel, die keinen automatischen Verbindungsaufbau zulässt 
9.2  Firewall und automatischer Verbindungsaufbau in der Client-Konfiguration

10.  NCP Secure Management Console
10.1 Installation unter Windows ME und Windows 98
10.2 Verwenden der gleichen Benutzer-ID für verschiedene Clients


-------------------------------------------------------------------------------
1.   NCP Secure Windows Client
-------------------------------------------------------------------------------


1.1  Installation des NCP Secure Clients
-------------------------------------------------------------------------------
Secure Client (Win32)

Bitte beachten Sie beim Einsatz einer FritzCard und einem Pentium IV-Rechner 
(1,5 Gh) oder schneller, dass beim Installieren des NCP Secure Clients unter 
Windows ME ein BlueScreen erscheinen kann.
 

1.2  Konfigurieren der IPSec-Kompression
-------------------------------------------------------------------------------
Secure Client (alle Versionen)

Die in der IPSec-Policy konfigurierten Verschlüsselungsarten können nur einzeln 
komprimiert werden. Dazu muss unter die zu komprimierende Verschlüsselungsart 
eine Dummy-Zeile eingefügt werden. Für diese Zeile wird anschließend das 
Protokoll auf "Comp" gesetzt. Die dann in dieser Zeile angezeigte IPSec-
Kompression gilt dann nur für die Verschlüsselung der darüberliegenden Zeile.


1.3  Installation der Gina-DLL
-------------------------------------------------------------------------------
Secure Client (Win32) / WinNT

Ist eine Gina-Dll eines anderen Herstellers bereits geladen, welche vor der
NCP Windows-Anmeldung gestartet wird, muss diese vor der Installation des
NCP Secure Clients deaktiviert werden. Andernfalls muss der Verweis auf die NCP-
Gina.Dll manuell im Registry-Eintrag des anderen Herstellers geändert werden.
(NCPGINAx.DLL -> NCPGINA1.Dll)
  
Achtung: Wird das System auf eine nicht vorhandene Gina-Dll verwiesen,
         kann des System nicht mehr gestartet werden (Blue Screen).


1.4  Benutzer anmelden und abmelden unter Windows XP
-------------------------------------------------------------------------------
Secure Client (Win32) / WinXP

1. Anmelden und Wechseln
Windows XP bietet die Möglichkeit, einen Benutzer zu wechseln. In diesem Fall
werden im Windows Start-Menü entsprechend mehr Benutzer angelegt, die alle 
angemeldet sein können.

2. Abmelden und neuen Benutzer anmelden
Wenn sich ein Benutzer im Windows Start-Menü abmeldet, und gleichzeitig war kein
weiterer Benutzer angemeldet, so wird der Benutzer-Account gelöscht und nach
einem neuen Benutzer gefragt.

Bitte beachten Sie, dass die Option eines Benutzerwechsels (siehe 1.) nicht von
der NCP Secure Client Software unterstützt wird!

Abhilfe:
Ein Benutzerwechsel ist im Rahmen der An- und Abmeldeprozedur (siehe 2.)
möglich.


1.5  Das Zusatzprogramm NCP Client Tracer
-------------------------------------------------------------------------------
Secure Client (Win32)

Um einen Trace protokollieren zu können, ist es möglich die Log-Daten des 
Zusatzprogramms NCP Client Tracer in einem Logfile zu speichern. Der Dateiname 
ist frei wählbar und trägt die Endung LOG.

Bitte beachten Sie unbedingt, dass das Trace-Programm Sie nicht informiert, wenn 
Sie eine bereits bestehende LOG-Datei überschreiben!

Wählen Sie bei der Speicherung neuer Traces unbedingt neue Namen für die LOG-
Dateien!


1.6  Netzwerkdateien unter Windows 95
-------------------------------------------------------------------------------
Secure Client (Win32) / Win95

Wenn der NCP Secure Client unter dem Betriebssystem Windows 95 genutzt werden 
soll, so muss vor der Installation des Clients zunächst das NCP Support Pack für 
Windows 95 installiert werden!

Der Support Pack (Win95SP1.EXE) befindet sich auf der NCP Software-CD im 
Verzeichnis Products\Win95SP1.

Werden nach der Installation des Secure Clients unter Windows 95 Änderungen in 
den Netzwerkeinstellungen vorgenommen, so müssen unter Umständen Dateien von der 
System-CD für Windows 95 eingespielt werden. Dabei kann das System feststellen, 
dass ein NDIS.VXD-Treiber (von der System-CD) installiert werden soll, der älter 
ist als der bereits vorhandene Treiber (des NCP Support Packs für Windows 95)!

Behalten Sie unbedingt den neueren, vom NCP Support Pack installierten NDIS.VXD-
Treiber bei!

Bitte beachten Sie, dass die Client-Produkte unter Windows 95 von der NCP 
Support-Abteilung nicht mehr im vollen Umfang unterstützt werden.
Eine Weiterentwicklung zu Windows 95 findet nicht mehr statt.


1.7  Größenbeschränkung des IP-Headers auf 120 Bytes
-------------------------------------------------------------------------------
Secure Client (alle Versionen) / Secure Server

Im Zusammenhang mit dem Kommando "ping -r" kommt es bei einer Größe des
IP-Headers über 120 Bytes zu einem Absturz des zuständigen Dienstes
(NCPWSUP.EXE Version 5.21 NCP Secure Server, NCPRWSNT.EXE Version 7.21 NCP 
Secure Client).
Bei früheren Versionen kommt es bereits bei einer Größe des IP-Headers über
20 Bytes zur Beendigung des zuständigen Dienstes (Server Version kleiner 5.21, 
Client Version kleiner 7.21). Versionen 5.01 und darunter (Server) sowie 7.01
und vorhergehende (Client) verursachen in diesem Fall einen Systemabsturz.


1.8  Zuweisung von IP Pool-Adressen
-------------------------------------------------------------------------------
Secure Client (alle Versionen) / Secure Server

Wenn vom NCP Secure Server keine freien Pool-Adressen mehr vergeben werden 
können, kann auch kein Verbindungsaufbau durch einen weiteren Client mehr 
erfolgen. Aus Sicherheitsgründen wurde darauf verzichtet, eine entsprechende 
Meldung an den Client zu schicken, dessen Verbindungswunsch deswegen abgewiesen 
wird. Der NCP Secure Client zeigt aus diesem Grund keine Meldung zum 
Verbindungsaufbau im grafischen Statusfeld.


1.9  Software Update mit neuer Konfiguration
-------------------------------------------------------------------------------
Secure Client (Win 32)

Wenn der Endbenutzer (Client) ein Software Update mit neuer Konfiguration 
(Telephonbuch) und zugehörigem Aktivierungsschlüssel auf CD (oder als 
Diskettensatz) bezieht, dann sind die neuen Parameter nach Installation und 
Vergabe des neuen Aktivierungsschlüssels (für Version 8.0) erst nach dem 
Schließen und erneuten Öffnen des Monitors konfigurierbar.



-------------------------------------------------------------------------------
2.   NCP Secure CE Client
-------------------------------------------------------------------------------


2.1  Update des NCP Secure CE Clients
-------------------------------------------------------------------------------
Secure CE Client

Soll ein Update der PC-Komponente durchgeführt werden, so ist darauf zu achten, 
dass die Software nicht geladen ist, d.h. vorher beendet wurde.


2.2  Übertragen des Telefonbuchs zum PDA
-------------------------------------------------------------------------------
Secure CE Client

Bitte beachten Sie, dass auch ein leeres Telefonbuch zum PDA übertragen werden 
kann. Auf diese Weise kann ein eventuell bereits bestehendes Telefonbuch am PDA 
gelöscht werden!

Sollte während der Übertragung des Telefonbuchs oder eines Zertifikats auf den 
PDA eine Verbindung bestehen, so wird diese ohne Vorwarnung beendet.


2.3  Einschränkungen bei offiziellen Adress-Bereichen
-------------------------------------------------------------------------------
Secure CE Client mit RAS-Dialer

Bitte beachten Sie, dass ein Zugriff über VPN auf Systeme mit offiziellen IP-
Adressen aus dem Bereich des gewählten ISP, derzeit nicht möglich ist, da der 
RAS-Adapter von Microsoft diesen Zugriff direkt herstellt. Diese Einschränkung 
gilt nur bei Benutzung des RAS-Dialers.

In einigen Fällen lassen sich diese Probleme durch Eintragung fester Routen im 
Telefonbuch unter "VPN-IP Netze" umgehen. 


2.4  Infrarotstrecke
-------------------------------------------------------------------------------
Secure CE Client

Treten fehlerhafte Verbindungen auf, so kann dies an der Infrarotstrecke liegen. 
Achten Sie deshalb darauf, dass das verwendete Handy nicht zu weit vom PDA 
entfernt ist.

Wird der PDA abgeschaltet, während einer bestehenden Infrarot-Modem-Verbindung, 
wird nach dem Wiedereinschalten der MS Infrarot-Stack nicht erneut 
initialisiert. Somit sind neuerliche Verbindungen über die IR-Schnittstelle erst 
nach einem Softreset des PDA wieder möglich.


2.5  Datenaustausch zwischen PDA und PC
-------------------------------------------------------------------------------
Secure CE Client

Wenn der Verbindungsaufbau auf automatisch eingestellt ist, kann keine 
ActiveSync-Verbindung über die USB-Schnittstelle hergestellt werden, aufgrund 
von Routing-Problemen.


2.6 Unkorrekter Verbindungsabbau
-------------------------------------------------------------------------------
Secure Entry CE Client

Wird eine bestehende Verbindung durch Ausschalten des PDAs abgebrochen, so 
treten folgende Begebenheiten auf:

- Bestand vorher eine LAN-Verbindung, dann zeigt der Client-Monitor nach dem 
erneuten Einschalten einen grünen Verbindungsbalken, als bestünde die Verbindung 
noch. Der Balken bleibt bis nach Ablauf des Timeouts erhalten. Erst danach wird 
auch optisch die Verbindung abgebaut. Sollte nach dem wieder Einschalten des 
PDAs die LAN-Karte oder das LAN-Kabel entfernt werden, so verschwindet nach ca. 
10 Sekunden auch der grüne Balken.

- Bestand vorher eine Modem-Verbindung, dann zeigt der Client-Monitor nach dem 
Einschalten einen grünen Verbindungsbalken, wie bei einer bestehenden 
Verbindung. Dieser Balken bleibt bis nach Ablauf des Timeouts erhalten. Erst 
danach wird auch optisch die Verbindung abgebaut (wie bei der LAN-Verbindung). 
Sollte nach dem erneuten Wieder-Einschalten die Infrarot-Verbindung unterbrochen 
werden, so verschwindet nach ca. 10 Sekunden auch der grüne Balken.


2.7  Tipps zum Einsatz des PDAs
-------------------------------------------------------------------------------
Secure CE Client

Allgemein PocketPC 2002:
Für Infrarot-Verbindung über NCP-Dialer die COM3 Schnittstelle verwenden 
(COM2 "IRDA Connection" funktioniert meist nicht).

MDA von T-Mobile (xda von O2 wahrscheinlich ähnlich):
Über RAS-Dialer sind GSM und GPRS Verbindungen möglich, nicht aber über den NCP-
Dialer. Als Gerät "Cellular Line" verwenden.

Für GPRS ist eine spezielle Telefonnummer nötig: 
+~GPRS!internet.t-d1.de
(Das "+~GPRS!" muss immer am Anfang stehen, dahinter steht die zu T-D1 passende 
APN.)

Der Secure CE Client funktioniert nicht zusammen mit einem Odyssey Client. Der 
Odyssey Client ist häufig auf Del-PDAs mit eingebautem wireless LAN 
vorinstalliert.


2.8  Lizenzierung
-------------------------------------------------------------------------------
Secure CE Client

Folgende Funktionen sind nur noch ab 2.0 Lizenz-Schlüsseln verfügbar: 
- IPSec Tunneling
- IP-Adresse eines Update-Servers im Telefonbuch 
- EAP (auch mit V2 Schlüsseln noch nicht funktionsfähig) 
- Firewall: IPNat (wenn Firewall aktiviert -> es werden immer alle Ports ein- 
und ausgehend blockiert) 

Dies äußert sich so: Beim Hochladen des Telefonbuchs / der CNF-Datei werden 
alle Telefonbucheinträge durchsucht und obige Optionen OHNE Warnung deaktiviert. 


2.9  DHCP mit Pocket PC 2002 EUU3 (oder niedriger)
-------------------------------------------------------------------------------
Secure CE Client

Aufgrund des DHCP-Verhaltens des Betriebssystems Pocket PC 2002 EUU3 können 
folgende Fehler auftreten:
- Ist am PDA auf dem Ethernet Adapter DHCP konfiguriert und eine Verbindung mit 
Zertifikat soll hergestellt werden, so schlägt der erste Verbindungsaufbau meist 
fehl.
- Wird der Tunnelendpunkt (Ziel) als DNS-Name angegeben werden, und der Ethernet 
Adapter am PDA bezieht seine IP-Adresse über DHCP, so kommt keine Verbindung 
zustande. (Wenn dem PDA die IP-Adresse über DHCP zugewiesen wird, muss auch der 
DNS-Server über DHCP mitgeteilt werden.)
Wenn eine feste IP-Adresse für den LAN-Adapter verwendet wird, treten diese 
Probleme nicht auf.


2.10 Dummy-Adresse bei DHCP
-------------------------------------------------------------------------------
Secure CE Client

Wurde DHCP konfiguriert, erhält der CE Client die Dummy-Adresse 
192.168.254.2, die im LAN bereits anderweitig vergeben sein kann. Ist dies der 
Fall so kommt es zu Adresskonflikten. Führen Sie dann einen Soft-Reset durch und 
vergeben eine feste IP-Adresse für den CE Client.


2.11 Fehler beim Austausch von Profil-Einstellungen mit und ohne NCP-Dialer
-------------------------------------------------------------------------------
Secure CE Client

Mit dem Programm NCPCONFIG.EXE kann die Unterstützung von WAN-Adaptern am PDA 
konfiguriert werden. Standardmäßig werden Verbindungen über den RAS-Adapter 
aufgebaut. Der NCP(Loopback-)Adapter kann nur für bestimmte Verbindungen genutzt 
werden (siehe -> Handbuch, Profil-Einstellungen, Grundeinstellungen) und ist 
standardmäßig aktiv.

Wird der NCP-Dialer für eine Profil-Einstellung aus den bereits upgeloadeten 
Profilen am PDA nicht genutzt (wurde mit NCPCONFIG.EXE deaktiviert), und wird 
eine neue Profil-Einstellung erzeugt für die der NCP-Dialer eingesetzt wird, so 
erscheint nach einem Upload des neuen Profils auf den PDA dort ein leeres Feld 
für dieses Profil bei den Zieleinträgen.

Abhilfe:
Entweder NCP-Dialer aktivieren oder das Modem im Profil-Eintrag auf die RAS-
Verwendung konfigurieren.


2.12 Verbindungsabfall nach Wiedereinschalten des PDAs (nach Stromsparmodus)
-------------------------------------------------------------------------------
Secure CE Client

Wie mit einer bestehenden Verbindung nach dem Wiedereinschalten verfahren wird, 
wird über die erweiterte Installation mit AUTOINSTALL.EXE festgelegt:
Autoinstall.exe im Installationsverzeichnis am PC aufrufen: 
autoinstall-disconnectafterpoweron 0 [oder] 1
0 = die Verbindung wird nach dem Einschalten nicht getrennt
1 = die Verbindung wird nach dem Einschalten getrennt

Nach Übertragung der Registry-Änderung an den PDA wird dort die entsprechende 
Einstellung vorgenommen, sofern kein DHCP auf dem NCP(Loopback-)Adapter aktiv 
ist. Standard am PDA = 1. 

Bei Schalterstellung 0 am PDA kann es (nach Ausschalten im Stromsparmodus) 
vorkommen, dass nach Wiedereinschalten des PDAs die Verbindung getrennt wird. 
Dies erfolgt aufgrund des DPD-Pollings.

Abhilfe: Ca. 30 Sekunden warten. Danach ist eine erneute Anwahl möglich und 
das DPD-Polling funktioniert wieder. Oder -
DPD in der Konfiguration der Profil-Einstellungen unter "IPSec-Einstellungen" 
ausschalten. 

2.13 Verwendung des Loopback-Adapters
-------------------------------------------------------------------------------
Secure CE Client

Bitte beachten Sie: Auf Windows CE-Geräten der PocketPC Plattform wird der 
virtuelle Netzwerkadapter "NCP Loopback" bei der Neuinstallation standardmäßig 
deaktiviert. Dadurch sind Profil-Einstellungen mit NCP Dialer und teilweise auch 
automatischem Modus nicht einsetzbar. Diese Profile werden am PDA nach einem 
Upload vom Configurator automatisch ausgeblendet. Dazu erscheint im Log-Fenster 
ein Text, der darauf hinweist, dass die Profile nicht kompatibel zur aktuellen 
Einstellung am PDA sind.
Der Betrieb ohne virtuellen Netzwerkadapter ist auf Geräten mit PocketPC 2003 
Phone Edition zu empfehlen.

Ist der virtuelle Netzwerkadapter "NCP Loopback" deaktiviert - was bei einer 
Neuinstallation standardmäßig der Fall ist - so muss bei der Erzeugung einer 
"Filter-Regel / lokal" folgendes beachtet werden:
Die Firewall blockiert die Kommunikation, sofern nicht "Alle IP-Adressen", 
unabhängig vom lokalen Netzwerkadapter, zugelassen werden . Eine "Eindeutige IP-
Adresse" oder "Mehrere IP-Adressen" aus dem lokalen Bereich kann nur verwendet 
werden, wenn der Loopback-Adapter aktiviert wird. Dies erfolgt über das 
Konfigurationsprogramm NCPCONFIG.EXE am PDA. Das Konfigurationsprogramm befindet 
sich normalerweise im Installationsverzeichnis:
\Programme\NCP Secure CE Client\

2.14 Einsatz von Windows Mobile 5.0
-------------------------------------------------------------------------------

Der Client unterstützt auf Pocket PCs und MDA Pro von T-Mobile das Windows 
Betriebssystem Mobile 5.0. Dabei ist zu beachten, dass nur der Loopback- und 
Media-Treiber signiert ist, nicht jedoch alle anderen ausführbaren Dateien.
Beim MDA Pro ist das Nachfragen bei der Installation von unsignierten Dateien 
abgeschaltet. Bei anderen Herstellern können jedoch Message-Boxen aufgeblendet 
werden. Diese Boxen können geschlossen werden. Nur auf Geräten mit Two-Tier-
Sicherheitseinstellung können keine unsignierten Dateien ausgeführt werden.



-------------------------------------------------------------------------------
3.   NCP Secure Linux Client
-------------------------------------------------------------------------------

Bitte beachten Sie, dass folgende Linux-Programme immer im System installiert
sein müssen:

- dhcpcd    (DHCP Client-Dämon)
- ifconfig  (Netzkonfigurations-Tool)


3.1  Kobil Kaan Reader
-------------------------------------------------------------------------------
Secure Linux Client

Die Chipkartenleser Kobil B0/B1 können für den Einsatz konfiguriert werden, 
wurden jedoch nicht getestet.


3.2  Die Oberfläche des Secure Linux Clients
-------------------------------------------------------------------------------
Secure Linux Client

- Der Client Monitor wird ohne Sicherheitsabfrage geschlossen, wenn er über die
Konsole geöffnet wurde und diese geschlossen wurde.
- Eine Online-Hilfe ist noch nicht implementiert.


3.3  Verbindungsaufbau (wechselnd)
-------------------------------------------------------------------------------
Secure Linux Client

Wird beim Konfigurieren des Verbindungsaufbaus (siehe -> Telefonbuch, Verbin-
dungssteuerung) der Modus von "automatisch" auf "wechselnd" gestellt und
die IP-Adressen werden nicht aus einem Adress-Pool zugewiesen, so kann zwar eine
Verbindung aufgebaut werden, es kommt jedoch keine Kommunikation zustande.

Ursache:
Das virtuelle VPN-Interface tap0 ist nicht aktiv.

Abhilfe:
Die Umkonfiguration von Verbindungsaufbau "automatisch" auf "wechselnd" muss
über den Zwischenschritt Verbindungsgaufbau "manuell" erfolgen.

Es besteht auch die Möglichkeit mit dem Befehl "ifconfig tap0 up" das Device
manuell zu aktivieren.


3.4  Autostart-Ordner unter RedHat
-------------------------------------------------------------------------------
Secure Linux Client

Der Autostart-Ordner wird unter RedHat 8.0 / 9.0 mit Gnome nicht gefunden.
D.h. bei einem Neustart müssen Popup und Monitor von Hand gestartet werden.


3.5  Konfigurations-Update unter RedHat
-------------------------------------------------------------------------------
Secure Linux Client

Unter RedHat ist derzeit kein automatisches Konfigurations-Update des Clients
möglich.


3.6 Update von 1.0 auf 2.0
-------------------------------------------------------------------------------
Secure Linux Client

Vor einem Update des Clients von Version 1.0 auf 2.0 muss der Client vorher
deinstalliert und der PC gebooted werden. (Bei der Deinstallation bleiben 
unter SuSe 8.2 die Datei etc/rc.config.ncp und etc/rc.config, unter RedHat die
Datei etc/modules.conf.ncp stehen).




-------------------------------------------------------------------------------
4.   NCP Secure Client Manager
-------------------------------------------------------------------------------


4.1  Nutzung des NCP Secure Client Managers
-------------------------------------------------------------------------------
Secure Client Manager

Das Installationsprogramm des NCP Secure Client Managers ist bislang nur auf 
englisch!


4.2  Log-Datei
-------------------------------------------------------------------------------
Remote Monitor

Der Menüpunkt "Remote-LOG"  im Remote-Monitor kann erst geöffnet werden, wenn 
über den Remote-Monitor am Client das Logbuch mindestens einmal geöffnet wurde 
um die Daten einzulesen. Sonst ist er leer.


4.3  Remote-Zugriff
-------------------------------------------------------------------------------
Remote Monitor

Beim Remote-Zugriff auf den Client Version 7.20 kann die Statistik-Leiste nicht 
mit angezeigt werden (in dieser Version werden die Daten nicht komplett 
übertragen). Wenn im RAS Dialer eine Änderung vorgenommen wird, erscheint nur 
die Information "Daten konnten nicht geändert werden!".


4.4  Ansicht der Netzwerkeinstellungen über Remote Monitor
-------------------------------------------------------------------------------
Remote Monitor

Die Eigenschaften des TCP/IP-Protokolls (z.B. IP-Adresse) in den Windows 
Netzwerk-Einstellungen können bei einem Remote-Zugriff auf den Client-PC des 
Benutzers nicht geöffnet werden, wenn der Client auf dem Betriebssystem Windows
2000 oder Windows NT installiert ist.



-------------------------------------------------------------------------------
5.   NCP Secure Server / Secure Server Manager
-------------------------------------------------------------------------------


5.1  Deinstallation des NCP Secure Servers
-------------------------------------------------------------------------------
Secure Server

Wird der NCP Secure Server deinstalliert, so erscheint ein SNMP-Fehler. Dieser 
Fehler hat keine Auswirkung auf das System.


5.2  Größenbeschränkung des IP-Headers auf 120 Bytes
-------------------------------------------------------------------------------
Secure Server

Im Zusammenhang mit dem Kommando "ping -r" kommt es bei einer Größe des
IP-Headers über 120 Bytes zu einem Absturz des zuständigen Dienstes
(NCPWSUP.EXE Version 5.21 NCP Secure Server, NCPRWSNT.EXE Version 7.21 NCP 
Secure Client).
Bei früheren Versionen kommt es bereits bei einer Größe des IP-Headers über
20 Bytes zur Beendigung des zuständigen Dienstes (Server Version kleiner 5.21, 
Client Version kleiner 7.21). Versionen 5.01 und darunter (Server) sowie 7.01
und vorhergehende (Client) verursachen in diesem Fall einen Systemabsturz.


5.3  Zuweisung von IP Pool-Adressen
-------------------------------------------------------------------------------
Secure Server

Wenn vom NCP Secure Server keine freien Pool-Adressen mehr vergeben werden 
können, kann auch kein Verbindungsaufbau durch einen weiteren Client mehr 
erfolgen. Aus Sicherheitsgründen wurde darauf verzichtet, eine entsprechende 
Meldung an den Client zu schicken, dessen Verbindungswunsch deswegen abgewiesen 
wird. Der NCP Secure Client zeigt aus diesem Grund keine Meldung zum 
Verbindungsaufbau im grafischen Statusfeld.


5.4  Konfigurieren der IPSec-Kompression
-------------------------------------------------------------------------------
Secure Server Manager

Die in der IPSec-Policy konfigurierten Verschlüsselungsarten können nur einzeln 
komprimiert werden. Dazu muss unter die zu komprimierende Verschlüsselungsart 
eine Dummy-Zeile eingefügt werden. Für diese Zeile wird anschließend das 
Protokoll auf "Comp" gesetzt. Die dann in dieser Zeile angezeigte IPSec-
Kompression gilt dann nur für die Verschlüsselung der darüberliegenden Zeile.


5.5  Log-Anzeige des NCP Secure Server Managers
-------------------------------------------------------------------------------
Secure Server Manager

Die Anzeige der Fehler im Error-Log des NCP Server-Managers erfolgt erst nach 
einem wiederholten Öffnen des Error-Logs.


5.6  Aktivieren des Load Balance-Modus
-------------------------------------------------------------------------------
Secure Server

Nach Aktivieren des Modus für Load Balancing muss das Gateway zwei Mal gebootet
werden, damit dieser Modus aktiv wird!


5.7  Pool-Verwaltung
-------------------------------------------------------------------------------
Secure Server

Wenn alle Adressen eines IP-Pools für Verbindungen bereits vergeben sind, dürfte 
es für einen Client, dessen Link-Profil auf denselben IP-Pool verweist, nicht 
möglich sein, eine Verbindung zum Secure Server aufzubauen. Dies ist jedoch 
nicht der Fall. Für die überzählige Verbindung erhält der Client statt dessen 
eine Adresse, die nicht im Bereich des konfigurierten Pools liegt, sodass eine 
"fehlerhafte" Verbindung zustande kommt, über die kein Datenaustausch möglich 
ist.


5.8  Deinstallation eines Secure Servers unter Windows NT
-------------------------------------------------------------------------------
Secure Server

Vor der Deinstallation muss der Dienst snmp.exe gestoppt werden, da ansonsten 
die Fehlermeldung erscheint: "SNMP.exe hat Fehler verursacht und wird 
geschlossen. Starten Sie das Programm neu".


-------------------------------------------------------------------------------
6.   NCP Secure HA Server
-------------------------------------------------------------------------------


6.1  Zur Funktion des NCP Secure High Availability Servers
-------------------------------------------------------------------------------
Secure HA Server

Wird der NCP HA Server im Failsafe-Modus betrieben und fällt das erste Gateway 
aus, so werden alle Verbindungen auf das zweite Ersatz-Gateway umgeleitet. Wird 
nun das erste Gateway wieder in Betrieb genommen, so werden automatisch vom HA 
Server alle Verbindungen zum zweiten Ersatz-Gateway wieder abgebaut, um sie bei 
einer erneuten Einwahl wieder auf das erste Standard-Gateway leiten zu können. 
Dies bedeutet für einen Client, der eine Verbindung zum zweiten Ersatz-Gateway 
unterhält, dass bei einer erneuten Inbetriebnahme des ersten Gateways diese 
Verbindung zum Ersatz-Gateway ohne ersichtlichen Grund getrennt wird, und dass 
sich der Client anschließend erneut anwählen muss.


6.2  Deinstallation des HA Servers
-------------------------------------------------------------------------------
Secure HA Server

Nach der Deinstallation des HA Servers erfolgt eine Abfrage, ob gemeinsam 
benutzte Dateien gelöscht werden sollen (Remove Shared File). Diese Dateien 
sollen nicht gelöscht werden, wenn noch ein anderes NCP-Produkt auf dem Computer 
installiert ist.

6.3  Update (HA Server Linux)
-------------------------------------------------------------------------
HA Server Linux

Ein Update einer Version < 1.07 auf die Version 1.07 ist derzeit nur nach
Anfrage möglich.


-------------------------------------------------------------------------------
7.   NCP Secure Linux Server
-------------------------------------------------------------------------------

7.1  Zur Neuinstallation
-------------------------------------------------------------------------------
Secure Linux Server

Nach Neuinstallation und erstmaligem Start des Servers wird bei Verbindungs-
aufbau die konfigurierte Pool-Adresse nicht an den Client übermittelt. Nach
einem Neustart der Server-Dienste (rcncpsvr) ist dieser Fehler behoben.

7.2  Automatischer Start unter RedHat
-------------------------------------------------------------------------------
Secure Linux Server

Automatischer Start unter Red Hat 7.3 schlägt fehl. Auch bei positiv 
beantworteter Frage nach dem automatischen Start des NCP Secure Servers nach dem 
Booten, muss der Dämon "ncpsnmpd" nach jedem Neustart von Hand gestartet werden.


7.3  Secure Server und HA-Server auf einem System mit Fedora Core 3
-------------------------------------------------------------------------------
Secure Linux Server

Wird der Secure Server gleichzeitig mit einem HA-Server auf einem Fedora-System 
eingesetzt, so sollte der Dienst srvrsud (zuständig für Updates) im Start-Script 
auskommentiert werden. Dadurch wird verhindert, dass nach einem Boot-Vorgang bei 
einem unsauberen Start des srvrsud-Dienstes der ncpdved-Dienst (zuständig für 
den HA-Server) nicht gestartet wird.


7.4  Windows-Konfigurationsdateien unter Linux
-------------------------------------------------------------------------------
Secure Linux Server

Die Konfigurationsdateien eines Secure Servers unter Windows können auch unter 
Linux verwendet werden. Dazu werden die Konfigurationsdateien von vpnpki.cfg, 
vpngw.cfg, vpnlink.cfg, ipsec.cfg auf dem Linux Server unter etc/ncp/vpn/cfg als 
vpnpkix.cfg, vpngwx.cfg, vpnlinkx.cfg, ipsecx.cfg eingespielt.

Ausgenommen ist die Konfigurationsdatei vpnadmins.cfg! Wird diese Datei unter 
Linux verwendet, so ist eine Anmeldung am Server über den Server Manager nicht 
mehr möglich!

Wird der Secure Server unter Linux ohne vpnadmins-Datei gestartet, so wird diese 
Datei neu gebildet. Die Administrator-Verwaltung für den Server unter Linux muss 
dann neu konfiguriert werden.


7.5  Einfrieren von Linux-Systemen
-------------------------------------------------------------------------------
Secure Linux Server

Linux-Systeme mit Kernelversion 2.6.11-4-smp (SuSE 9.3 basiert unter anderem 
darauf) können unter bestimmten Umständen vollkommen einfrieren.

Dieser Zustand tritt unter Last auf, nachdem ein Datenpaket aus dem User-Space 
an das Kernelmodul netfilter über das Interface ipqueue übergeben wird.
Das o.g. Problem wurde mit Kernel 2.6.11-4-smp festgestellt, es ist durchaus 
möglich, dass auch weitere Kernel dieses Verhalten zeigen.

Lösung:
Es muss eine andere Kernelversion verwendet werden. Mit Version 2.6.13-4-smp 
konnte das oben beschriebene Verhalten nicht mehr nachvollzogen werden.


-------------------------------------------------------------------------------
8.   NCP Secure Update Server
-------------------------------------------------------------------------------

8.1 Zusammenspiel der Versionen des Update Servers und des Secure Clients

Der Secure Client der Version 8.10 kann in einem beliebigen 
Installationsverzeichnis installiert werden (instdir). Ältere Versionen wurden 
immer im Windows-Verzeichnis ncple installiert, und entsprechend waren auch die 
Komponenten des Update Servers < 2.05 und des rwsrsu-Dienstes ausgelegt.

Wird nun die aktuelle Client Software der Version 8.10 mit einer älteren Version 
des Update Servers als 2.05 verwendet, und wurde die Client Software in einem 
beliebigen instdir installiert, so kann die Update-Funktionalität nicht mehr 
genutzt werden. 


-------------------------------------------------------------------------------
9.   Firewall-Einstellungen
-------------------------------------------------------------------------------

9.1  Filterregel, die keinen automatischen Verbindungsaufbau zulässt 

Wird in der Firewall eine Regel generiert, die einen automatischen 
Verbindungsaufbau ausschließt, dann können über eine Verbindung vom Client zur 
Gegenstelle keine Daten fließen, wenn im Telefonbuch (Profil-Einstellungen) des 
Clients unter der Rubrik "Verbindungssteuerung" die Art des Verbindungsaufbaus 
auf "automatisch" oder "wechselnd" gesetzt wurde.

Abhilfe: Entweder Firewall-Regel dahingehend ändern, dass der automatische 
Verbindungsaufbau nicht ausgeschlossen wird, oder in der Client-Konfiguration 
"manuellen" Verbindungsaufbau einstellen.

9.2  Firewall und automatischer Verbindungsaufbau in der Client-Konfiguration

Wird in der Firewall eine Regel generiert, die nur Datenverkehr über "bekannte" 
Netze und/oder VPN-Netze zulässt, so kann kein automatischer Verbindungsaufbau 
erfolgen, auch wenn dies in der Konfiguration des Clients (Telefonbuch, Profil-
Einstellungen) unter der Rubrik "Verbindungssteuerung" so eingestellt wurde.

Abhilfe: Entweder in der Firewall-Regel auch den Datenverkehr über "unbekannte 
Netze" zulassen, oder in der Client-Konfiguration den Verbindungsaufbau auf 
"manuell" setzen.


-------------------------------------------------------------------------------
10.  NCP Secure Enterprise Management
-------------------------------------------------------------------------------

10.1 Installation unter Windows ME und Windows 98

Unter Windows ME und Windows 98 ist in der benutzerdefinierten Installation die 
Auswahl der PlugIns nicht möglich. Mit der Einstellung "vollständig" können alle 
PlugIns installiert werden.

10.2 Verwenden der gleichen Benutzer-ID für verschiedene Clients

Soll die Client Software für verschiedene Betriebssysteme so vorkonfiguriert 
werden, dass sie von einem Benutzer unter verschiedenen Betriebssystemen 
eingesetzt werden kann, so kann für die betriebssystemspezifischen Varianten
(z.B. Windows, Windows CE und Linux) des Produkts (z.B. Enterprise Client)
die gleiche Benutzer-ID verwendet werden. Bei nachfolgenden Konfigurations-
änderungen oder Updates werden die entsprechenden Client-Konfigurationen 
gleichzeitig vollzogen.

Soll die gleiche Benutzer-ID für verschiedene Produktversionen (z.B. GovNet 
Client und Enterprise Client) innerhalb eines Betriebssystems verwendet werden,
dann stellen sich Fehler im Managementsystem ein.


===============================================================================
NCP engineering GmbH,
30.12.2005
