Benutzerhandbuch
EN DE

S3U Gate Benutzerhandbuch

So kommen Sie ins Firmen-VPN: im Portal anmelden, 2FA einrichten, Profil herunterladen und verbinden.

Für VPN-Benutzer · Administratoren: siehe Administratorhandbuch

1Überblick

Unser Firmen-VPN läuft mit OpenVPN, und S3U Gate ist das Webportal dazu. Im Portal richten Sie die Zwei-Faktor-Authentifizierung auf Ihrem Smartphone ein und laden Ihr VPN-Profil herunter. Das ist eine kleine .ovpn-Datei, die Sie in Ihren VPN-Client importieren. Danach brauchen Sie das Portal nur noch, wenn sich etwas ändert, zum Beispiel bei einem neuen Smartphone.

Die Oberfläche des Portals ist englisch. Deshalb stehen Schaltflächen und Menüpunkte hier so, wie Sie sie auf dem Bildschirm sehen.

Anmelden, 2FA einrichten, herunterladen, importieren, verbinden
Von der ersten Anmeldung bis zur ersten Verbindung

Was Sie brauchen

Ihren Benutzernamen und Ihr Passwort. In der Regel ist das Ihr Firmenkonto. Externe Partner bekommen stattdessen ein lokales Konto vom Administrator.

Eine Authenticator-App auf dem Smartphone. Google Authenticator, Microsoft Authenticator, FreeOTP und 2FAS funktionieren alle.

Einen VPN-Client. Unter macOS und Linux ist das S3U Connect, das Sie von Ihrem Administrator bekommen. Unter Windows nehmen Sie OpenVPN Connect oder OpenVPN GUI, unter Android und iOS OpenVPN Connect.

Und die Adresse des Portals, etwa https://vpn-portal.example.com. Die bekommen Sie von Ihrem Administrator.

2Am Portal anmelden

Anmeldeseite
Die Anmeldeseite. Mit der Schaltfläche oben rechts wechseln Sie zwischen hell und dunkel.

Öffnen Sie die Portal-Adresse im Browser und geben Sie Benutzername und Passwort ein. Welchen Benutzernamen Sie eintippen, hängt vom Konto ab:

  • Normales Firmenkonto: nur Ihr Name, zum Beispiel sat.
  • Konto einer anderen Firma oder Domäne: name@domain, zum Beispiel sat@local.example.com. Ob das für Sie gilt, hat Ihnen Ihr Administrator gesagt.
  • Lokales Konto: der Name, den Sie vom Administrator bekommen haben.

Wenn Sie 2FA schon eingerichtet haben, fragt das Portal danach den 6-stelligen Code aus der App ab. Hat der Administrator gerade erst ein lokales Konto für Sie angelegt, müssen Sie zuerst das vorläufige Passwort durch ein eigenes ersetzen (siehe Kapitel 7).

Sperre und Zeitlimit Nach 5 falschen Versuchen ist Ihr Konto für 15 Minuten gesperrt. Außerdem meldet Sie das Portal nach 15 Minuten ohne Aktivität ab, spätestens aber nach 8 Stunden. An einem fremden oder gemeinsam genutzten Rechner melden Sie sich bitte selbst ab, mit dem Symbol oben rechts.

3Die Seite „My VPN Access"

My VPN Access
My VPN Access

Diese Seite sehen Sie nach der Anmeldung. Links gibt es für jeden VPN-Server, den Sie nutzen dürfen, eine eigene Karte. Darauf sehen Sie, ob der Server online ist, seine Adresse, wie Sie sich anmelden, und die Schaltfläche zum Herunterladen des Profils. Darunter stehen kurze Anleitungen für die einzelnen Betriebssysteme.

Rechts finden Sie Ihre Kontodaten und den 2FA-Status mit den Schaltflächen zum Einrichten oder Zurücksetzen. Lokale Konten sehen hier außerdem ihr Ablaufdatum und die Schaltfläche Change password.

Das i-Symbol oben öffnet dieses Handbuch.

Portal auf dem Smartphone
Auf dem Smartphone ist das Menü oben links

4Zwei-Faktor-Authentifizierung (2FA)

Mit 2FA reicht ein gestohlenes Passwort nicht, um ins VPN zu kommen. Beim Verbinden geben Sie zusätzlich einen 6-stelligen Code von Ihrem Smartphone ein, der sich alle 30 Sekunden ändert. Die meisten VPN-Server verlangen 2FA. Solange Sie es nicht eingerichtet haben, bleibt dort der Download gesperrt.

Einrichten

  1. Installieren Sie eine Authenticator-App, falls Sie noch keine haben.
  2. Klicken Sie auf „My VPN Access" auf Enable 2FA und bestätigen Sie mit Ihrem Passwort.
  3. Scannen Sie den QR-Code mit der App. Klappt das Scannen nicht, tippen Sie den Schlüssel unter dem QR-Code von Hand ein und wählen „zeitbasiert".
  4. Geben Sie den Code ein, den die App jetzt anzeigt, und klicken Sie auf Verify & enable. Dafür haben Sie 15 Minuten Zeit, danach müssen Sie neu beginnen.
  5. Sie bekommen jetzt 10 Backup-Codes. Bewahren Sie sie sicher auf, am besten im Passwort-Manager. Sie werden nur dieses eine Mal angezeigt.
Der Code wird nicht angenommen Die Codes hängen von der Uhrzeit ab, die Uhr Ihres Smartphones muss also stimmen. Stellen Sie sie auf automatisch (Netzwerkzeit). Außerdem gilt jeder Code nur einmal. Wenn Sie ihn gerade benutzt haben, warten Sie auf den nächsten.

Backup-Codes

Haben Sie Ihr Smartphone gerade nicht dabei, können Sie beim Verbinden mit dem VPN statt des 6-stelligen Codes einen Backup-Code eingeben. Jeder funktioniert einmal. Behandeln Sie die Codes wie ein Passwort und speichern Sie sie nicht auf demselben Smartphone wie die App.

Neues Smartphone

Solange Sie das alte Smartphone noch haben, ziehen Sie 2FA selbst um. Klicken Sie auf Reset 2FA, geben Sie Ihr Passwort und einen Code vom alten Gerät ein und scannen Sie dann den neuen QR-Code mit dem neuen Smartphone. Der Rest läuft wie bei der ersten Einrichtung.

Smartphone verloren oder kaputt? Dann können Sie 2FA nicht selbst zurücksetzen. Wenden Sie sich an Ihren Administrator, der Ihre 2FA abschaltet. Danach melden Sie sich mit dem Passwort an und richten 2FA neu ein. Falls Sie glauben, dass jemand Ihr Passwort kennt, sagen Sie das bitte gleich mit.

5Profil herunterladen

Suchen Sie auf „My VPN Access" die Karte des VPN-Servers, zum Beispiel Home office staff, und klicken Sie auf Download profile. Sie bekommen eine Datei wie staff.ovpn oder staff-ihrname.ovpn. Importieren Sie sie in Ihren VPN-Client (Kapitel 6) und löschen Sie sie danach aus dem Download-Ordner.

Was Ihnen auf den Karten auffallen kann:

  • Die Schaltfläche ist gesperrt und zeigt Please enable two-factor authentication first. Dieser Server verlangt 2FA. Richten Sie sie ein (Kapitel 4) und kommen Sie zurück.
  • Sie sehen mehrere Karten. Sie dürfen mehrere Server nutzen, etwa Berlin und Basel. Laden Sie jedes Profil herunter, das Sie brauchen.
  • Personal certificate heißt, das Profil enthält ein Zertifikat nur für Sie. Wird es einmal gesperrt, laden Sie das Profil einfach neu herunter.
  • Shared certificate heißt, alle nutzen dasselbe Zertifikat, und Sie werden über Passwort und 2FA-Code erkannt.
  • Gar keine Karte heißt, Ihnen ist noch kein VPN-Server zugewiesen. Fragen Sie Ihren Administrator.
Das Profil gehört nur Ihnen Die Datei enthält einen privaten Schlüssel. Schicken Sie sie nicht unverschlüsselt per E-Mail und geben Sie sie nicht an Kollegen weiter. Jeder lädt sein eigenes Profil herunter.

6Verbinden

Beim Verbinden fragt der VPN-Client nach Benutzername und Passwort, also denselben Daten wie im Portal. Wenn der Server 2FA nutzt, kommt danach „Enter Authenticator Code". Geben Sie den aktuellen Code aus der App ein oder einen Ihrer Backup-Codes.

Windows

Installieren Sie OpenVPN Connect (von openvpn.net/client) oder die Community-Version OpenVPN GUI. In OpenVPN Connect wählen Sie Import Profile und dann Upload File und suchen die .ovpn-Datei aus. In OpenVPN GUI klicken Sie mit der rechten Maustaste auf das Symbol in der Taskleiste und wählen Import file. Dann verbinden.

macOS

Nutzen Sie S3U Connect. Installieren Sie OpenVPN mit Homebrew und danach einmalig die App, die Sie von Ihrem Administrator bekommen. Geben Sie mit --company Ihren Firmennamen an; den genauen Befehl zeigt das Portal unter How to connect.

brew install openvpn
sudo "./S3U Connect.app/Contents/MacOS/S3U Connect" install --company "Example GmbH"

Starten Sie S3U Connect, klicken Sie auf Import profile…, wählen Sie die .ovpn-Datei und klicken Sie auf Connect. Die App ist nicht signiert, deshalb warnt macOS beim ersten Start; öffnen Sie sie mit Rechtsklick → Öffnen.

Linux

Nutzen Sie S3U Connect. Installieren Sie OpenVPN und danach einmalig die Datei s3u-connect, die Sie von Ihrem Administrator bekommen (mit Ihrem Firmennamen, wie im Portal unter How to connect angezeigt). Danach steht S3U Connect im App-Menü: Import profile…, .ovpn-Datei wählen, Connect. Zum Verbinden brauchen Sie keine Root-Rechte.

sudo apt install openvpn
sudo ./s3u-connect install --company "Example GmbH"

Ohne S3U Connect können Sie openvpn auf der Kommandozeile starten. Das braucht sudo; ohne bekommen Sie die Meldung Cannot ioctl TUNSETIFF tun: Operation not permitted. Oder Sie importieren das Profil in den NetworkManager.

# auf der Kommandozeile
sudo openvpn --config staff.ovpn

# oder NetworkManager (Desktop)
sudo apt install network-manager-openvpn-gnome
nmcli connection import type openvpn file staff.ovpn

Android und iOS

Installieren Sie OpenVPN Connect aus dem Play Store oder App Store. Am einfachsten kommt das Profil aufs Smartphone, wenn Sie sich dort im Portal anmelden und es direkt herunterladen. Öffnen Sie die Datei mit OpenVPN Connect und verbinden Sie.

Mehrere Server gleichzeitig S3U Connect, OpenVPN GUI und der NetworkManager können mehrere Verbindungen gleichzeitig halten. OpenVPN Connect schafft nur eine.

Während Sie verbunden sind, werden Sie nicht jede Stunde nach einem neuen Code gefragt. Dafür bekommt Ihr Client vom Server ein Sitzungs-Token. Erst nach dem Trennen melden Sie sich wieder mit Passwort und Code an.

7Passwort ändern (lokale Konten)

Mit einem Firmenkonto ändern Sie Ihr Passwort im Firmenverzeichnis, zum Beispiel auf der Self-Service-Seite von FreeIPA, nicht in S3U Gate.

Lokale Konten ändern es im Portal. Klicken Sie auf „My VPN Access" auf Change password. Wenn Sie gerade ein vorläufiges Passwort bekommen haben, landen Sie automatisch dort. Geben Sie das aktuelle Passwort ein und das neue zweimal. Das neue Passwort braucht mindestens 10 Zeichen mit Buchstaben und Ziffern und darf weder Ihr Benutzername noch das alte Passwort sein.

Sie können dabei auch Ihre laufenden VPN-Verbindungen trennen lassen. Das ist sinnvoll, wenn jemand anderes das alte Passwort kennen könnte.

Lokale Konten können ein Ablaufdatum haben. Danach funktioniert das Konto nicht mehr. Fragen Sie Ihren Administrator, wenn Sie es länger brauchen.

8Wenn etwas nicht klappt

Was Sie sehenWas Sie tun können
„Invalid username or password"Prüfen Sie die Schreibweise und ob Sie name oder name@domain brauchen. Nach 5 Fehlversuchen müssen Sie 15 Minuten warten.
„Your account is not allowed to use the VPN"Sie sind noch in keiner VPN-Gruppe. Fragen Sie Ihren Administrator.
Der 2FA-Code wird abgelehntStellen Sie die Uhr des Smartphones auf automatisch und warten Sie auf den nächsten Code.
Der VPN-Client meldet AUTH_FAILEDMeist ein falsches Passwort oder ein falscher Code. Es kann auch heißen, dass Ihr Konto gesperrt oder abgelaufen ist oder Sie nicht mehr in der Gruppe dieses Servers sind. Melden Sie sich zur Kontrolle im Portal an. Klappt das auch, fragen Sie Ihren Administrator.
Cannot ioctl TUNSETIFF tun: Operation not permitted (Linux)Starten Sie openvpn mit sudo oder nutzen Sie den NetworkManager.
Die Verbindung bricht ab und kommt nicht wiederEin Administrator oder eine automatische Prüfung hat Sie getrennt, etwa nach einer Passwortänderung oder weil Sie aus einer Gruppe entfernt wurden. Verbinden Sie sich neu. Wird das abgelehnt, fragen Sie Ihren Administrator.
Verbunden, aber interne Server sind nicht erreichbarTrennen und neu verbinden. Klappt es immer noch nicht, sagen Sie Ihrem Administrator, welchen Server oder welche Adresse Sie erreichen wollen.
Das Profil geht nach einer Änderung nicht mehrLaden Sie es neu herunter. Server oder Zertifikat haben sich vielleicht geändert.
„Your session has expired"Sie waren 15 Minuten inaktiv. Melden Sie sich neu an.

9Sicher bleiben

Geben Sie niemandem Ihr Passwort, einen 2FA-Code oder Ihr Profil. Administratoren fragen nie danach.

Bewahren Sie die Backup-Codes im Passwort-Manager auf, nicht auf dem Smartphone mit der Authenticator-App. Nutzen Sie das VPN nur auf Ihren eigenen Geräten, mit aktuellen Updates und Bildschirmsperre. Wenn Smartphone oder Laptop verloren gehen, sagen Sie sofort Ihrem Administrator Bescheid. Und löschen Sie die .ovpn-Datei, sobald sie importiert ist.

Kein Abschnitt enthält diesen Text.
S3U Gate · Benutzerhandbuch (Deutsch) · English version