Inhalt

Einführung

Hintergrundinformationen

Java-Plug-In

Active-X-Plug-In

RDP-Plug-In

RDP- und RDP-2-Plug-In-Nutzung

Positionierung von ActiveX und Java-Clients im Vergleich

RDP-ActiveX

RDP-Java

RDP-Bookmark-Format

RDP-Plug-In und VPN-Lastenausgleich

Häufig gestellte Fragen

Warum erscheinen einige typisierte Zeichen nicht in der Remote-RDP-Sitzung?

Bekannte Probleme mit Tastaturzuordnungen

Kann das Java RDP-Plug-in RDP-Sitzungen im Vollbildmodus unterstützen?

Kann der Java-Client mit AES-256 für Verschlüsselung kommunizieren?

RDP-Probleme beheben

Bekannte Einwände

Probleme mit Microsoft Security Update

ActiveX-Client

Java-Client

Einführung

Dieses Dokument enthält Antworten auf einige häufig gestellte Fragen zum Remote Desktop Protocol (RDP)-Plug-in, das Benutzern von Cisco Adaptive Security Appliance (ASA) Clientless Secure Sockets Layer VPN (SSLVPN) zur Verfügung steht.

Das RDP-Plug-in ist neben anderen Plug-Ins wie Secure Shell (SSH), Virtual Network Computing (VNC) und Citrix nur eines der Plug-Ins, die Benutzern zur Verfügung stehen. Das RDP-Plug-in ist eines der am häufigsten verwendeten Plug-Ins in dieser Sammlung. Dieses Dokument enthält weitere Details zur Bereitstellung und Fehlerbehebung für dieses Plug-in.

Hinweis: Dieses Dokument enthält keine Informationen zur Konfiguration des RDP-Plug-ins. Weitere Informationen finden Sie im Cisco ASA 5500 SSL VPN Deployment Guide, Version 8.x.

Hintergrundinformationen

Das RDP-Plug-in wurde von einem reinen Java-basierten RDP-Plug-in entwickelt und umfasst sowohl den ActiveX RDP-Client (Internet Explorer) als auch den Java-Client (Browser, die nicht zum Internet Explorer gehören).

Java-Plug-In

Der Java RDP Client verwendet das richtige Java RDP-Applet. Das Java-Applet wird dann in ein Plug-in eingeschlossen, das die Installation im clientlosen ASA-Portal ermöglicht.

Active-X-Plug-In

Das RDP-Plug-in beinhaltet auch den Microsoft ActiveX RDP Client, und das Plug-in bestimmt, ob Java oder ActiveX Client auf Basis des Browsers verwendet werden soll. Das heißt:

- Wenn Internet Explorer (IE)-Benutzer versuchen, RDP über ein Clientless-SSL-VPN-Portal zu verwenden, und die Lesezeichen-URL das ForceJava=true-Argument nicht enthält, wird der ActiveX-Client verwendet. Wenn ActiveX nicht ausgeführt werden kann, initiiert das Plug-in den Java-Client.

- Wenn Nicht-IE-Benutzer versuchen, ein RDP-Lesezeichen oder eine URL zu starten, wird nur der Java-Client gestartet.

Weitere Informationen zu Anforderungen für RDP-ActiveX- und USER-Berechtigungen finden Sie im Artikel Anforderungen  von Microsoft für Remotedesktop-Webverbindung .

Das nächste Bild zeigt die drei Links, die im Browserfenster nach dem Starten des Plug-ins ausgewählt werden können:

1. Neue Portalseite - Über diesen Link wird die Portalseite in einem neuen Browserfenster geöffnet.

2. Vollbildmodus - Hiermit wird das RDP-Fenster im Vollbildmodus verwendet.

3. Java erneut verbinden - Dadurch wird das Plug-in gezwungen, erneut eine Verbindung herzustellen und Java anstelle von ActiveX zu verwenden.

RDP-Plug-In

RDP- und RDP-2-Plug-In-Nutzung

- RDP-Plug-in: Dies ist das ursprüngliche Plug-In, das sowohl den Java- als auch den ActiveX-Client enthält.

- RDP2-Plug-in: Aufgrund von Änderungen im RDP-Protokoll wurde der richtige Java-RDP-Client aktualisiert, um Microsoft Windows 2003 Terminal-Server und Windows Vista Terminal-Server zu unterstützen.

Tipp: Das neueste RDP-Plug-in kombiniert RDP- und RDP2-Protokolle. Infolgedessen ist das RDP2 Plug-in veraltet. Es wird empfohlen, die neueste Version des RDP-Plug-ins zu verwenden. Die RDP-Plug-in-Nomenklaturen folgen dieser Struktur: rdp-plugin.ymmdd.jar, wobei yy ein zweistelliges Jahresformat ist, mm ein zweistelliges Monatsformat und dd ein zweistelliges Tagformat.

Um das Plug-in herunterzuladen, besuchen Sie die Cisco Software Download-Seite.

Positionierung von ActiveX und Java-Clients im Vergleich

RDP-ActiveX

- Nur IE

- Unterstützung für weitergeleiteten Sound

RDP-Java

- Funktioniert auf allen unterstützten Browsern, die Java-fähig sind.

- Der Java-Client wird in IE nur dann gestartet, wenn ActiveX nicht gestartet werden kann, oder das Argument ForceJava=true wird im RDP-Lesezeichen übergeben.

- Die RDP-Java-Implementierung basiert auf einem geeigneten Java-RDP-Projekt, einer Open-Source-Initiative. Für die Anwendung wird bestmöglicher Support angeboten.

RDP-Bookmark-Format

Das folgende Beispiel zeigt ein RDP-Lesezeichen:

rdp://server:port/?Parameter1=value&Parameter2=value&Parameter3=value

Hier einige wichtige Hinweise zum Format:

- server - Dies ist das einzige erforderliche Attribut. Geben Sie den Namen des Computers ein, der die Microsoft Terminal Services hostet.

- port (optional) - Dies ist die virtuelle Adresse innerhalb des Remote-Computers, der die Microsoft Terminal Services hostet. Der Standardwert 3389 stimmt mit der bekannten Portnummer für Microsoft Terminal Services überein.

- parameters - Dies ist eine optionale Abfragezeichenfolge, die aus Parameterwert-Paaren besteht. Ein Fragezeichen demarkiert den Anfang der Argumentzeichenfolge, und jedes Parameterwertpaar wird durch einen Ampersand getrennt.

Im Folgenden finden Sie eine Liste der verfügbaren Parameter:

- Geometrie - Dies ist die Größe des Client-Bildschirms in Pixel (W x H).

- bpp: Dies sind die Bits pro Pixel (Farbtiefe), 8|16|24|32.

- Domäne: Dies ist die Anmeldungsdomäne.

- username - Dies ist der Benutzername für die Anmeldung.

- password - Dies ist das Anmeldekennwort. Verwenden Sie das Passwort mit Vorsicht, da es auf der Client-Seite verwendet wird und beobachtet werden kann.

- console - Dies wird verwendet, um eine Verbindung zur Konsolensitzung auf dem Server herzustellen (Ja/Nein).

- ForceJava - Legen Sie diesen Parameter auf yes fest, um nur den Java-Client zu verwenden. Die Standardeinstellung ist Nein.

- shell - Legen Sie diesen Parameter auf den Pfad der ausführbaren Datei bzw. Anwendung fest, die automatisch gestartet wird, wenn Sie eine Verbindung mit RDP herstellen (rdp://server/?shell=path, z. B.).

Im Folgenden finden Sie eine Liste zusätzlicher Parameter, die nur für ActiveX verwendet werden:

- RedirectDrives - Legen Sie diesen Parameter auf true fest, um Remote-Laufwerke lokal zuzuordnen.

- RedirectPrinters (UmleitenDrucker): Legen Sie diesen Parameter auf true fest, um Remote-Drucker lokal zuzuordnen.

- Vollbild - Legen Sie diesen Parameter auf true fest, um im Vollbildmodus zu starten.

- ForceJava - Legen Sie diesen Parameter auf yes fest, um den Java-Client zu erzwingen.

- audio - Dieser Parameter wird für die Audioweiterleitung über die RDP-Sitzung verwendet:

- 0 - Leitet Remote-Sounds auf den Client-Computer um.

- 1 - Spielt Töne am Remote-Computer ab.

- 2 - Deaktiviert die Tonumleitung; ertönt keine Sounds auf dem Remote-Server.

RDP-Plug-In und VPN-Lastenausgleich

Der geografische Lastenausgleich wird durch den globalen Server-Lastenausgleich auf DNS-Basis (Domain Name Server) unterstützt. Aufgrund der Unterschiede bei der DNS-Ergebniszwischenspeicherung können Plug-Ins auf verschiedenen Betriebssystemen unterschiedlich funktionieren. Mit dem Windows DNS-Cache kann das Plug-in dieselbe IP-Adresse auflösen, wenn es das Java-Applet startet. Auf Macintosh (MAC) OS X kann das Java-Applet eine andere IP-Adresse auflösen. Daher kann das Plug-in nicht ordnungsgemäß gestartet werden.

Ein Beispiel für DNS Round-Robin ist, wenn Sie eine einzige URL (https://www.example.com) haben, über die der DNS-Eintrag für www.example.com entweder 192.0.2.10 (ASA1) oder 198.51.100.50 (ASA2) auflösen kann.

Nachdem sich der Benutzer über einen Browser auf ASA1 beim Clientless-WebVPN-Portal angemeldet hat, ist die Initiierung des RDP-Plug-ins möglich. Während der Initiierung des Java-Clients führen MAC OS X-Computer eine neue DNS-Auflösungsanfrage aus. Bei einer Round-Robin-DNS-Konfiguration besteht eine Wahrscheinlichkeit von 50 %, dass diese zweite Auflösungsantwort dieselbe Website zurückgibt, die für die erste WebVPN-Verbindung gewählt wurde. Wenn die Antwort des DNS-Servers 198.51.100.50 (ASA2) und nicht 192.0.2.10 (ASA1) lautet, initiiert der Java-Client eine Verbindung zur falschen ASA (ASA2). Da die Benutzersitzung auf der ASA2 nicht vorhanden ist, wird die Verbindungsanforderung abgelehnt.

Dies kann Java-Fehlermeldungen ähnlich der folgenden ergeben:

java.lang.ClassFormatError: Incompatible magic value 1008813135 in

class file net/propero/rdp/applet/RdpApplet

Häufig gestellte Fragen

Warum erscheinen einige typisierte Zeichen nicht in der Remote-RDP-Sitzung?

Der Remote-Computer in der RDP-Sitzung kann eine andere Einstellung für den Tastaturbereich haben als der lokale Computer. Aufgrund dieser Unterschiede werden auf dem Remote-Computer möglicherweise keine bestimmten typisierten Zeichen oder falschen Zeichen angezeigt. Dieses Verhalten wird nur mit dem Java-Plug-in beobachtet. Um dieses Problem zu beheben, verwenden Sie das keymap-Attribut, um die lokale Tastatur dem Remote-PC zuzuordnen.

Um beispielsweise eine deutsche Tastaturzuordnung festzulegen, verwenden Sie:

rdp://

/?keymap=de

The following keymaps are available:

---------------------------------------------------------------------

ar    de    en-us fi    fr-be it    lt    mk    pl    pt-br sl    tk

da    en-gb es    fr    hr    ja    lv    no    pt    ru    sv    tr

---------------------------------------------------------------------

Bekannte Probleme mit Tastaturzuordnungen

- Cisco Bug ID CSCth38454 - Implementieren der ungarischen Tastatur für das RDP-Plug-in.

- Cisco Bug-ID CSCsu77600 - Die Bildschirmtasten des WebVPN RDP-Plugins sind falsch. Umschalttaste (Taste) .jar.

- Cisco Bug-ID CSCtt04614 - WebVPN - ES-Tastaturdiakritiken, die nicht korrekt über das RDP-Plugin verwaltet werden.

- Cisco Bug-ID CSCtb07767 - ASA Plugin - Konfigurieren Sie die Standardparameter.

Tipp: Eine weitere mögliche Problemumgehung ist die Verwendung eines Application Smart Tunnel für mstsc.exe. Dies wird im WebVPN-Unterkonfigurationsmodus mit dem folgenden Befehl konfiguriert: Plattformfenster für die Smart-Tunnel-Liste RDP_List RDP mstsc.exe.

Kann das Java RDP-Plug-in RDP-Sitzungen im Vollbildmodus unterstützen?

Derzeit werden RDP-Sitzungen im Vollbildmodus nicht nativ unterstützt. Die CSCto87451-Verbesserungsanfrage wurde eingereicht, um dies zu implementieren. Wenn der Geometrieparameter (Geometrie = 1024x768 zum Beispiel) auf die Auflösung des Benutzerbildschirms eingestellt ist, arbeitet er im Vollbildmodus. Da die Größe des Benutzerbildschirms variiert, kann es erforderlich sein, mehrere Lesezeichen-Links zu erstellen. Der ActiveX-Client unterstützt nativ Vollbild-RDP-Sitzungen.

Kann der Java-Client mit AES-256 für Verschlüsselung kommunizieren?

Damit der Java-Client das SSL korrekt aushandeln kann, passen Sie die Reihenfolge des ASA SSL-Verschlüsselungssatzes an die folgende Reihenfolge an:

Enabled cipher order: aes256-sha1 rc4-sha1 aes128-sha1 3des-sha1

Disabled ciphers: des-sha1 rc4-md5 null-sha1

Der Java-Client kann diesen Fehler anzeigen, wenn die Reihenfolge der Verschlüsselung anders ist:

[Thread-12] INFO net.propero.rdp.Rdp - javax.net.ssl.SSLHandshakeException:

Received fatal alert: handshake_failure

RDP-Probleme beheben

Wenn Sie andere Probleme mit dem RDP-Plug-In haben, können Sie diese Daten möglicherweise sammeln, um RDP-Probleme zu beheben:

- Die Show-Tech-Ausgabe der ASA

- Das show import webvpn-Plug-in zeigt detaillierte Ausgabe von der ASA

- Betriebssystem des Benutzercomputers und Patch-Level

- Das Betriebssystem des Zielcomputers und die Patch-Level

- Der verwendete Client (ActiveX- oder Java-Version) und Java JRE-Version

- Bestimmen Sie, ob sich die ASA in einem Cluster, DNS-basiert oder ASA-basiert mit Lastenausgleich befindet.

Bekannte Einwände

Probleme mit Microsoft Security Update

1. KB2695962  - Microsoft Security Advisory: Update-Rollup für ActiveX-Kill-Bits: 8. Mai 2012.

2. KB2675157  - MS12-023: Kumulative Sicherheits-Update für Internet Explorer: 10. April 2012.

3. cisco-sa-20120314-asaclient - Clientless VPN ActiveX Control Remote Code Execution Schwachstelle der Cisco Adaptive Security Appliance der Serie ASA 5500 - 14. März.

4. Cisco Bug ID CSCtx68075 - ASA WebVPN Break, wenn Windows Patch KB2585542 angewendet wird (8.2.5.29 / 8.4.3.9).

5. KB2585542  - MS12-006: Beschreibung des Sicherheitsupdates für Webio, Winhttp und Game in Windows: 10. Januar 2012.

ActiveX-Client

- Symptome: Der ActiveX-Client kann nach einem Upgrade auf die ASA-Betriebssystemversion 8.4.3 nicht von IE 6 bis 9 geladen werden.

- Weitere Informationen finden Sie unter Cisco Bug ID CSCtx58556. Die Reparatur ist ab Version 8.4.3.4 verfügbar.

- Problemumgehung: Erzwingen Sie die Verwendung des Java-Clients.

- Symptome: Der ActiveX-Client kann nicht geladen werden, nachdem die ASA-Betriebssystemversion auf eine Version vor 8.4.3 herabgestuft wurde. Dies betrifft Benutzer, die den ActiveX-Client auf einem ASA-Gerät mit der Behebung für die Cisco Bug-ID CSCtx58556 verwendet haben und mit einer Version vor 8.4.3 eine Verbindung zu dieser ASA herstellen. Dies liegt an einem neuen ActiveX RDP-Plug-in in ASA Version 8.4.3, das nicht mit den früheren Versionen kompatibel ist.

- Weitere Informationen finden Sie unter Cisco Bug ID CSCtx57453.

- Entfernen Sie alle Windows-Registrierungsinstanzen von b8e73359-3422-4384-8d27-4ea1b4c01232? (alte ActiveX-CLSID).

Hinweis: Es wird empfohlen, vor allen Änderungen eine Sicherung der Computersystemregistrierung durchzuführen.

- Symptome: RDP-Verbindungen zu Geräten mit aktivierter Network Level Authentication (NLA) schlagen fehl.

- Die Erweiterung, bei der NLA in das ActiveX-RDP-Plug-In integriert werden soll, wird unter CSCtu63661 der Cisco Bug-ID angefordert.

- Obwohl Microsoft ActiveX-Client NLA unterstützt, wird die Verwendung dieser Funktion innerhalb des ASA-Plug-ins nicht unterstützt.

- Problemumgehung: Konfigurieren Sie das RDP-Plug-In (mstsc.exe) für den Smart-Tunneling. Weitere Informationen finden Sie im Cisco ASA 5500 SSL VPN Deployment Guide, Version 8.x.

- Symptome: ActiveX-RDP wird nicht geladen, und es wird eine leere Seite angezeigt.

- Weitere Informationen finden Sie unter Cisco Bug ID CSCsx49794.

- Dies tritt auf, wenn die Zertifikatskette für das ASA SSL-Zertifikat größer als vier Zertifikate ist (z. B. ROOT, SUBCA1, SUBCA2 und ASA CERT).

- Problemumgehung:

- Installieren Sie nicht die große Zertifikatskette auf der ASA.

- Im Gegensatz zum ActiveX-Plug-in ist bekannt, dass das Java-RDP-Plug-In ordnungsgemäß funktioniert.

- RDP funktioniert auch ordnungsgemäß, wenn Sie systemeigene Windows mstsc.exe mit Smart Tunnels konfigurieren.

- Symptome: Nachdem der ActiveX-RDP-Client verwendet wurde, klickt ein Benutzer auf die Logout-Schaltfläche und erhält einen HTTP 404 - Page Not found-Fehler. Weitere Informationen finden Sie unter Cisco Bug ID CSCtz33266. Dieses Problem wurde mit der Plug-in-Version rdp-plugin.120424.jar oder höher behoben.

- Symptome: Ein Benutzer hat im IE zwei Registerkarten geöffnet - eine für die RDP-Sitzung und eine andere für eine leere oder andere Webseite. IE funktioniert nach Schließen der RDP-Registerkarte nicht ordnungsgemäß.

- Weitere Informationen finden Sie unter Cisco Bug ID CSCua69129.

- Problemumgehung: Verwenden Sie das Java RDP-Plug-in (Set ForceJava=true).

- Symptome: Das ActiveX-Plug-in verursacht eine hohe CPU-Auslastung bei IE. Weitere Informationen finden Sie unter Cisco Bug ID CSCua16597.

- Symptome: Nach der Installation von Windows Update KB2695962 wird das ActiveX RDP-Plug-In nicht geladen. Wenn eine neue RDP-Sitzung geöffnet wird, versucht der ActiveX-Client, den Cisco SSL VPN Port Forwarder zu installieren (dies geschieht nicht immer) und kehrt zur clientlosen Portalseite zurück, ohne eine Verbindung zum Remote-Computer herzustellen. Dies ist auf die Schwachstelle CVE-2012-0358 zurückzuführen, die clientseitig durch Microsoft Security Advisory (2695962)  behoben wird.

- Weitere Informationen finden Sie in Cisco Security Advisory Cisco Adaptive Security Appliance der Serie ASA 5500 Clientless VPN ActiveX Control Remote Code Execution Vulnerability.

- Weitere Informationen finden Sie unter Cisco Bug ID CSCtr00165.

Java-Client

Hinweis: Cisco verteilt Plug-Ins ohne Änderungen neu. Aufgrund der GNU General Public License ändert oder erweitert Cisco die Plug-in-Anwendung nicht. Das korrekte JavaRDP-Plug-In ist eine Open-Source-Anwendung, und alle Probleme mit der Plug-In-Software müssen vom Projekteigentümer behoben werden.

- Symptome: Auf dem Remote-Computer werden prozessorintensive Anwendungen ausgeführt, wenn der Zugriff über den Java-RDP-Client erfolgt, und es kommt zu einem Absturz des Java-Applets.

- Diese Fehlermeldung kann angezeigt werden: FATAL net.properties.rdp - javax.net.ssl.SSLException: Die Verbindung wurde heruntergefahren: .....

- Das Verhalten wird ausgelöst, wenn schnell zwischen zwei oder mehr CPU-intensiven Anwendungen umgeschaltet wird.

- Dieses Problem wurde in den Plug-in-Versionen rdp.2012.6.4.jar und höher behoben.

- Problemumgehung:

- Stellen Sie eine Verbindung mit der Verwendung des ActiveX-Clients her.

- Wechseln Sie nicht schnell zwischen Anwendungen.

- Symptome: Der Java RDP-Client generiert die folgende Fehlermeldung: net.properties.rdp.Rdp - java.net.SocketException: Socket wird geschlossen java.net.SocketException: Der Sockel wird geschlossen und dann geschlossen.

- Das Problem wird durch eine Tunnelgruppe verursacht, für die eine group-url nur mit dem FQDN konfiguriert ist (z. B. http://www.example.com).

- Weitere Informationen finden Sie unter Cisco Bug ID CSCuh72888.

- Problemumgehung:

- Entfernen Sie den Gruppen-URL-Eintrag ohne "/" in der Tunnelgruppe.

- Verwenden Sie den ActiveX-Client.

- Symptome: Der Java RDP-Client schlägt fehl, wenn er an einen Windows 8-Computer angeschlossen ist.

- Der Java RDP Client unterstützt dies derzeit nicht.

- Siehe Cisco Bug-ID CSCuc79990

- Problemumgehung:

- Verwenden Sie den ActiveX RDP-Client.

- Intelligenter Tunnel zum nativen RDP-Client von Windows (mstsc.exe)

- Symptome: Der Java RDP-Client schlägt mit der folgenden Fehlermeldung fehl: ARSigningException: Nicht signierter Eintrag in Ressource gefunden: https://10.105.130.91/+CSCO+3a75676763663A2F2F2E637968747661662E++/vnc/VncViewer.jar.

- Dieses Problem wird durch einen Fehler in der ASA WebVPN Java Rewriter verursacht.

- Weitere Informationen finden Sie unter Cisco Bug ID CSCuj88114.

- Problemumgehung: Downgrade auf Java Version 7u40.