Clique para o futuro. Controlar aplicativos remotamente. Melhor com o HTML5. Como instalar o Guacamole ANÁLISE. Desktop remoto Guacamole

Transcrição

1 ANÁLISE Desktop remoto Guacamole ANÁLISE Desktop remoto Guacamole Clique para o futuro O HTML5 oferece uma série de recursos que não necessitam de plugins Flash ou Java para funcionar. Com isso, surgem novas opções de acesso móvel a aplicativos na rede local. por Thomas Zeller Controlar aplicativos remotamente através do navegador não é novidade isso já é possível desde o Google Apps. Mas, e se quisermos nos servir de aplicativos próprios na rede local da empresa ou acessar a área de trabalho em casa através da Internet? Tecnologias de acesso remoto (como VNC e RDP ) ou soluções VDI (como o /VMware View ou Citrix Xen Desktop ) são escolhas óbvias. Porém, esta abordagem geralmente envolve a instalação do cliente de software correspondente na máquina a partir da qual os usuários desejam acessar o aplicativo remoto. Se o usuário não confia na criptografia incorporada, ou se não existe nenhuma, em breve sentirá a necessidade de um cliente VPN que forneça criptografia e autenticação. Tudo isto é lamentável, por exemplo, se estivermos trabalhando em um computador no saguão do hotel ou em uma lan house e não pudermos instalar nossos próprios aplicativos. Durante alguns anos, os VPNs SSL clientless têm preenchido esta lacuna, fornecendo acesso baseado em navegador para aplicativos remotos através de uma conexão HTTPS segura, sem a necessidade de instalar um cliente. No entanto, estas soluções normalmente impõem requisitos específicos para o navegador e plugins. Muitas vezes precisamos de Java, Flash ou ActiveX e talvez até mesmo uma versão específica. Melhor com o HTML5 A alternativa é o Guacamole [1], um aplicativo online em HTML5 que suporta acesso gráfico através de protocolos desktop remoto ( remote desktop protocols ou RDPs) diretamente no navegador, sem a necessidade de plugins adicionais. O programa está licenciado sob a AGPLv3 e, na atual versão 0.6.2, suporta VNC e RDP embora de forma limitada em alguns casos. Por exemplo, não é possível transmitir dados de audio ou conectar unidades de rede no RDP. No lado servidor, o software Java é executado em um servidor Apache com um container servlet (Apache Tomcat) e atua como um proxy que traduz a saída gráfica do VNC e do RDP em XML e vice-versa ( figura 1 ). Os desktops acessíveis via RDP ou VNC podem executar tanto no servidor de aplicativos como em um computador diferente na rede. O Guacamole promete desempenho quase nativo e oferece suporte a teclado internacional e teclado na tela, onde é possível utilizar o mouse para simular a digitação no teclado. O recurso do Guacamole baseia-se no elemento <canvas> do HTML5, que usa JavaScript para lidar com extensas operações gráficas, incluindo linhas não só de desenho, retângulos, arcos e curvas de Bezier, mas também renderização de gradientes de cores, transparências, texto e o mais importante gráficos escalonados nos formatos PNG, JPG e GIF. Estas são as condições ideais para a renderização de um desktop e aplicativos no navegador. O pré-requisito, então, é apenas um navegador que ofereça suporte ao elemento canvas. A maioria dos navegadores atuais pode fazer isso hoje em dia (exceto o Internet Explorer 8 e 9), apesar do W3C supor que o HTML5 não será amplamente suportado até 2014 ( quadro 1 ). Como instalar o Guacamole Felizmente, o site do Guacamole apresenta pacotes pré-compilados para várias distribuições. A seção de downloads do site [1] oferece pacotes para o Debian 6.0 (Squeeze), Ubuntu 11.10/12.04 e 72

2 Desktop remoto Guacamole ANÁLISE Fedora 15/16/17. Alternativamente, podemos compilar o Guacamole a partir do código fonte [3]. Para um teste, vamos precisar do Guacamole em um sistema Ubuntu recente ( LTS). Para fazer isso, devemos primeiro satisfazer as dependências de suporte ao Java, VNC e RDP, usando: sudo apt-get install tomcat6 libvncserver0 libfreerdp1 Em seguida, baixe os pacotes pré-compilados para o Ubuntu da página do projeto Guacamole no SourceForge e descompacte o conteúdo do arquivo no diretório home. Siga para o novo diretório, cd guacamole ubuntu i386 e instale os pacotes Guacamole. A seguinte linha única fará isso: sudo dpkg -i guacd_*.deb guacamole_*.deb libguac3_*.deb libguac-client-vnc0_*.deb libguac-client-rdp0_*.deb Se o usuário desejar somente suporte a conexões VNC no navegador, não precisará instalar o pacote libguac-client-rdp0_*.deb. O servidor Tomcat exige agora links simbólicos: um para cada um dos arquivos guacamole.war e guacamole. properties. Além disso, precisará adicionar o usuário tomcat6 ao novo grupo guacamole-web, o que é feito automaticamente ao instalarmos o pacote: sudo dpkg -i guacamole-tomcat_*.deb Como alternativa, o procedimento manual é descrito no site do projeto Guacamole. Finalmente, reinicie o servidor Tomcat e selecione sim no prompt ( figura 2 ), ou digite sudo /etc/init.d/tomcat6 restart Figura 1 O esquema mostra um diagrama funcional do Guacamole e sua comunicação com os servidores RDP ou VNC. para reiniciar o servidor Tomcat via linha de comando. Configuração Para que o acesso via Guacamole ao desktop seja bem-sucedido, evidentemente também é preciso compartilhar um desktop. Durante nosso teste, optamos por compartilhar a área de trabalho em um PC com Windows 7 usando o protocolo RDP. Isto funcionará tão bem quanto um terminal de servidor real do Windows ou um computador em que o ambiente de trabalho é compartilhado através de um servidor VNC. Em seguida, precisaremos inserir o Guacamole nas credenciais de área de trabalho remota, assim o acesso através do navegador irá funcionar adequadamente. Para isso, abra o arquivo /etc/ guacamole/user-mapping.xml com o seu editor preferido ( figura 3 ), por exemplo: sudo vi /etc/guacamole/ user-mapping.xml Figura 2 Instalar os pacotes do site do Guacamole confi gura o servidor Tomcat. Em seguida, adicione os dados necessários na seção: <!-- Per-user authentication and config information -->. Para fazer isso, primeiro remova os caracteres de comentário <--! e -->. No exemplo, vamos configurar uma conexão para o usuário tom com uma senha teste em um sistema Windows com um endereço IP (lista- Linux Magazine #98 Janeiro de

3 ANÁLISE Desktop remoto Guacamole gem 1 ). Se preferir usar o VNC, poderá substituir o RDP na seção protocolo por vnc. Em seguida, guarde a senha para o servidor VNC na seguinte seção: <param name="password"><minhasenhavnc></param>. Salve o arquivo de configuração e digite sudo /etc/init.d/guacd restart para reiniciar o serviço guacd. Como conectar ao desktop Verifique se a máquina inserida em user-mapping.xml é acessível com o protocolo correspondente; em seguida, acesse o endereço no navegador. Após a autenticação bem sucedida com o nome de usuário e senha especificados, o usuário deve ser capaz de efetuar login no desktop do sistema de destino, como mostrado no navegador ( figura 4 ). Poderá também fazer o login com as credenciais do Windows. O Guacamole fornece uma área de transferência simples para a troca de texto entre a máquina remota e o sistema local, bem como um teclado na tela, se arrastarmos o cursor do mouse na direção da barra de endereço do navegador ( figura 5 ). Se necessário, poderá enviar um Ctrl+Alt+Del para a máquina remota ou encerrar a sessão com o Guacamole. Pequenas incertezas A instalação padrão do Guacamole funciona, mas não é nada segura, pois o acesso à página de login não é criptografado. Assim, o usuário é urgentemente aconselhado a instalar o Tomcat com suporte a SSL. Para um how-to (como fazer), confira a documentação detalhada do Tomcat online [4]. Outra característica lamentável é que a senha para abrir a conexão com o servidor RDP e se usarmos uma conexão VNC também a senha do VNC fica armazenada em texto puro no arquivo de configuração user-mapping.xml e pode ser lida por um usuário logado. Desta forma, é preferível mudar o dono e as Figura 3 Os usuários que precisam de acesso HTTP para desktops gráfi cos são adicionados ao arquivo de confi guração central user-mapping.xml. permissões do arquivo user-mapping. xml da seguinte forma: sudo chown tomcat6.tomcat6 user-mapping.xml sudo chmod 640 user-mapping.xml Alternativamente, o Guacamole oferece também a possibilidade de criar senhas com hash apenas no arquivo de configuração. A listagem 2 mostra a seção correspondente do user-mapping.xml para o usuário tom e o hash MD5 da senha. Podemos visualizar rapidamente o hash da senha na linha de comando com o utilitário md5sum : echo -n <SENHA> md5sum -t 319f4d26e3c536b5dd871bb2c52e Em seguida, adicione o valor hash ao invés da senha na configuração. Naturalmente, o hash da senha deve Figura 4 Graças ao HTML5, os usuários não precisam mais de plugins para acesso gráfi co a desktops no navegador. 74

4 Desktop remoto Guacamole ANÁLISE possuir mais de oito caracteres e deve ser escolhido para ser o mais seguro possível com caracteres não-padrão; senhas simples podem ser quebradas por crackers através de força bruta, com ferramentas como o mdcrack, dentro de alguns minutos. Sophos UTM 9.0 Se o usuário estiver preocupado com a sobrecarga da criação de conexões seguras com o Guacamole, pode usar também um software comercial. Por exemplo, a versão atual do Firewall Sophos UTM 9.0 (anteriormente Astaro Security Gateway ) fornece um portal em HTML5 que podemos usar para acessar serviços na rede local sem a instalação de cliente ( quadro 2 ). Além de RDP e VNC, o Sophos suporta conexões em servidores Telnet e SSH, bem como conexões HTTP e HTTPS. Dito isso, o acesso remoto via HTML5 só desempenha um papel secundário no Sophos UTM. Novamente, não podemos usar RDP para mapear unidades nos clientes. Para acesso remoto à rede totalmente transparente, o Sophos UTM fornece servidores IPsec, SSL, PPTP, e L2TP VPN como alternativas. O portal HTML5 com transmissão somente KVM (teclado, vídeo e mouse) é mais adequado para eventuais sessões de gerenciamento remoto com prestadores de serviços externos para os quais não queremos designar pleno direito de acesso VPN. Firewall e VPN gratuitos A Sophos oferece o UTM 9.0 como um aplicativo de hardware, aplicativo virtual ou aplicativo em software para instalação em seu próprio hardware. Aplicativos de software e virtuais estão disponíveis para download a partir do servidor FTP no site da Astaro [7]. A Sophos concede a usuários registrados uma licença de uso doméstico gratuita para uso privado e não comercial que possui o recurso completo de edição comercial para até 50 endereços IP ( antivirus endpoint para 10 usuários). Ela inclui os seguintes módulos: Segurança de rede: filtragem de pacotes, VPN, proteção contra invasão. Segurança web: filtragem de URL, controle de aplicativos, antivírus com HTTP, HTTPS, FTP e proxy. Segurança de anti-spam, antivírus com proxy SMTP+POP3. Segurança de servidor web: firewall de aplicativos web contra ataques de scripts de cross-site, injeção de SQL, e assim por diante. Segurança sem fio: controlador WLAN para pontos de acesso Sophos. Antivírus endpoint: antivírus e controle de dispositivos para clientes Windows. Para obter uma licença, primeiro registre-se online [8] e, em seguida, faça login com suas credenciais. A licença gratuita estará disponível em View License/Home Use License. Como criar um portal de usuário Pelo fato de as imagens pré-construídas para VMware entregarem um Sophos UTM 9.0 com um portal em HTML5 com o VMware Player, VMware Workstation ou um servidor ESX, isso é feito facilmente. Se preferir executar a máquina virtual no VirtualBox, poderá baixar a imagem ISO ao invés do aplicativo virtual e vinculá-la como uma medida de inicialização para criar uma máquina virtual manualmente. Após a instalação, ou a primeira execução da VM, um assistente de configuração simples guia o usuário através da configuração dos ajustes básicos, como atribuir a senha de administrador, configurar a conexão à Internet, habilitar a proteção de intrusão, configurar proxies, e por aí vai. No final deste processo, basta instalar a licença de uso doméstico, e estará pronto para continuar a configuração do portal HTML5. Figura 5 Além da área de transferência (de texto) própria, o Guacamole oferece um teclado na tela, aonde podemos digitar um texto e usar o mouse. Figura 6 O novo Sophos UTM 9.0 também oferece um portal HTML5 para o acesso aos recursos internos do sistema no navegador. Linux Magazine #98 Janeiro de

5 ANÁLISE Desktop remoto Guacamole O VPN HTML5 e portais de usuário são integrados para acesso a outros recursos. Por exemplo, podemos visualizar a quarentena de spam, baixar os clientes VPN pré-configurados e acessar o portal VPN HTML5. O primeiro passo permite, portanto, habilitar o portal do usuário em Management/User Portal e restringi- -lo a redes e usuários individualmente, conforme aplicável. É claro, queremos que os usuários possam acessar o portal do usuário pela Internet. Por este motivo, digite AnyIPv4 em Allowed networks (redes permitidas) e selecione a opção Allow all users (permitir todos os usuários). Em seguida, em Definitions & Users/ Users & Groups (definições e usuários/ usuários e grupos), adicione os usuários que acessarão o portal. Em seguida, habilite HTML5 VPN portal em Remote Access/HTML5 VPN portal/ Enable (acesso remoto/html5 VPN portal/habilitar) e crie as conexões para os serviços internos. Para fazer isso, clique em New HTML5 VPN Portal Listagem 1: Mapeamento de Usuário 01 <authorize username="tom" password="test"> 02 <protocol>rdp</protocol> 03 <param name="hostname"> </param> 04 <param name="port">3389 </param> 05 <param name="password"> </param> 06 </authorize> Listagem 2: Senha com MD5 01 <authorize 02 username="tom" 03 password="b2016af ccb510d7543ed514" 04 encoding="md5"> 05 <protocol>vnc</protocol> 06 <param name="hostname"> localhost</param> 07 <param name="port">5900 </param> 08 <param name="password"> </param> 09 </authorize> connection (nova conexão com portal VPN HTML5), digite um nome para a conexão e selecione o protocolo por exemplo, Remote Desktop (figura 6 ). Opcionalmente, podemos inserir as credenciais; os usuários podem fazer login no terminal de servidor diretamente via portal VPN HTML5. Esta abordagem é prática quem iria querer confiar em um usuário externo com uma conta de administrador? Mais abaixo, podemos atribuir a nova conexão para todos os usuários e redes ou definir restrições. A conexão agora está pronta para ser usada. Usuários legítimos podem fazer login no portal Quadro 1: Navegadores compatíveis com o HTML5 Para determinar se o seu navegador suporta recursos HTML5 e, em caso afi rmativo, quais, o site de teste HTML5 [2] é altamente recomendável. Ele analisa o suporte a recursos individuais no navegador na velocidade da luz e atribui uma pontuação para cada elemento. O resultado é uma avaliação confi ável da compatibilidade do navegador com o HTML5. A partir da atual safra de navegadores, o Chrome 21 facilmente mantém a liderança com 437 pontos, e o Internet Explorer 9 está em último lugar, com apenas 138 pontos. Em plataformas móveis (Android, ios, Windows Phone, entre outros) o Opera 12 está há apenas dois pontos atrás do Chrome (em dispositivos Android 4) em todas as plataformas. Quadro 2: Mais desktops remotos em HTML5 Para completar o assunto, mencionaremos apenas dois projetos mais interessantes neste momento; ambos fornecem desktops remotos através da tecnologia HTML5: ThinVNC [5] é um servidor VNC comercial (infelizmente, apenas para Windows) com criptografi a SSL e autenticação NTLM integradas. novnc [6] é um cliente VNC HTML5 licenciado sob LGPLv3 que requer um servidor VNC com suporte a WebSockets do lado do servidor. do usuário, que eles acessam através do URL https: <endereco IP externo>. Após a autenticação bem sucedida, os usuários devem apenas clicar em HTML5- -VPN-Portal e, em seguida, clicar no botão Connect (conectar) próximo às conexões pré-configuradas. Finalmente, devemos também mencionar que, como um sistema backend, o Sophos UTM 9.0 suporta uma ampla gama de soluções de autenticação, incluindo LDAP, Active Directory, Single Sign-On, Novell edirectory e RADIUS. Pelo fato de a maioria dos fornecedores de solução de dois fatores de autenticação (por exemplo, o Vasco Digipass [9] ) usarem a interface universal RADIUS, o acesso ao portal do usuário pode facilmente ser protegido com tokens. Mais informações [1] Guacamole: guac -dev.org/ [2] Suite de teste HTML5: [3] Código fonte do Guacamole: net/projects/guacamole/ files/current/source/ [4] Tomcat SSL how-to: org/tomcat -6.0-doc/ ssl-howto.html [5] ThinVNC: cybelesoft.com/thinvnc/ [6] novnc: github.com/novnc/ [7] Astaro UTM: ftp://ftp. astaro.com/utm/v9/ [8] Astaro login: my.astaro.com/ [9] Digipass: com/products/products.aspx Gostou do artigo? Queremos ouvir sua opinião. Fale conosco em cartas@linuxmagazine.com.brne.com.b Este artigo no nosso o site:

6