In neuem Glanz

von Dr. Christian Knermann

Aus alt mach neu: Betagte Endgeräte müssen nicht gleich auf den Elektroschrott, sondern lassen sich unter Umständen als Thin Clients weiternutzen. Das Betriebssystem IGEL OS unterstützt hierfür die gängigen Remote-Protokolle zum Zugriff auf virtuelle Anwendungen und Desktops. Auch die Installation auf nahezu beliebiger Hardware ist möglich. Wir stellen das Betriebssystem vor und zeigen, wie der Einstieg in das zentrale Management funktioniert.

Im Märchen der Gebrüder Grimm gewinnt der smarte Igel den Wettlauf gegen den vermeintlich überlegenen Hasen. Wir widmen uns der Frage, ob das gleichnamige Thin Client Betriebssystem gegenüber herkömmlichen Fat Clients die Nase vorn hat. Der Hersteller IGEL Technology aus Bremen, inzwischen unter amerikanischer Leitung weltweit aktiv, begann bereits Ende der 1990er mit der Entwicklung und Produktion von Thin Clients mit hauseigenem Betriebssystem auf Linux-Basis.

Anfangs bildeten Hardware und Betriebssystem eine Einheit und es standen die damals gebräuchlichen Anwendungsfälle im Vordergrund – vornehmlich der Zugriff auf lokal betriebene Terminalserver mit Remote-Protokollen, wie Microsoft Remote Desktop Protocol (RDP), Citrix Independent Computing Architecture (ICA) und dem klassischen X Window System (X11).

Dem Trend zu mehr und mehr räumlich verteiltem Arbeiten folgend, hat der Hersteller das zwischenzeitlich IGEL OS genannte Betriebssystem kontinuierlich weiterentwickelt. So integriert IGEL OS heute zahlreiche VPN-Clients namhafter Netzwerkausrüster, um auch aus der Ferne auf Ressourcen im internen Unternehmensnetz zugreifen zu können. Weiterhin bringt IGEL OS, neben RDP und ICA/ HDX, Clients für zahlreiche weitere Remote-Protokolle mit. Auch die Unterstützung für VMware Horizon, NoMachine NX, Teradici PCoIP oder die Cloudarbeitsplätze der Azure Virtual Desktops (AVD) sowie der Amazon Workspaces ist an Bord. Hinzu kommen begleitende Technologien, etwa zur Integration mehrerer Monitore, Multimedia-Codecs, Smartcards, Drucker, USB-Geräte, Audio- und Video-Peripherie sowie zur Absicherung der Clients.

Vom Hardware- zum Softwarehersteller

Mit seinen zum Ende des ersten Quartals 2023 abgekündigten Endgeräten der Produktfamilie Universal Desktop (UD) bietet IGEL auch klassische Thin Clients an [1]. Das Einsteigermodell UD2 positioniert sich als Client für typische Office-Tätigkeiten mitsamt Internetnutzung, Onlinemeetings und der Wiedergabe von Medien. Die größeren Geräte UD3 und UD7 nehmen auch anspruchsvollere Anwendungsfälle bis zu CAD-Applikationen sowie Videobearbeitung in Angriff. Weiterhin findet sich im Angebot der bootfähige USB-Stick UD POCKET2, der nahezu beliebige Computer temporär in Thin Clients umwandelt.

Den Trends zu mobilem Arbeiten und dem Hosting virtueller Desktops in Public Clouds trägt IGEL mit der Wandlung vom Hardware- zum Softwarehersteller Rechnung. So hat das Unternehmen in den letzten Jahren die Entwick- lungszweige getrennt und bietet unter dem Label "Powered by IGEL" Geräte diverser Hersteller sowie unterschiedlicher Formfaktoren mit vorinstalliertem IGEL OS an [2]. Darunter finden sich neben in Monitoren integrierten Systemen auch Notebooks der Hersteller LG und Lenovo, die die Vorteile von Thin Clients mit ortsunabhängigem Arbeiten verbinden.

Noch einen Schritt weiter geht IGEL damit, dass IGEL OS auch komplett losgelöst von hauseigener Hardware oder Drittanbietern verfügbar ist. So bietet der Hersteller mit seiner Workspace Edition (WE) das Betriebssystem mitsamt der Universal Management Suite (UMS) rein als Software an [3]. Hinzu gesellt sich das Enterprise Management Pack (EMP), das vor allem das IGEL Cloud Gateway (ICG) mitbringt [4]. Das ICG sorgt dafür, dass sich auch mobile Thin Clients ohne herkömmlichen VPN-Tunnel sicher mit der UMS im internen Unternehmensnetz verbinden können.

All diese Optionen mitsamt Support schnürt IGEL in ein neues Lizenzmodell auf Basis eines Abonnements mit einem oder drei Jahren Laufzeit. Es handelt sich dabei um ein hybrides Lizenzmodell, da das Betriebssystem IGEL OS als solches und die UMS auch dann noch funktionieren, wenn das Abonnement abgelaufen ist. Doch mit dem Ende des Abonnements verlieren Sie die Funktionen des EMP, die Versorgung mit Updates und Upgrades für das Betriebssystem und den Zugang zum Support. Bestandskunden können unbefristete Lizenzen nach dem alten Modell und deren Maintenance vorerst weiternutzen oder während einer Übergangszeit bis 2025 auf das neue Lizenzmodell migrieren [5].

Ressourcen schonen

Der Vorteil des neuen Lizenzmodells liegt in der Kombination von IGEL OS, UMS und ICG. So erhalten Sie das schlanke Betriebssystem unabhängig von Hardware und mit der Option, auch mobile Clients außerhalb des internen Netzes zu verwalten. Vor dem Hintergrund beeinträchtigter Lieferketten und der Aufforderung an die IT, ihren Beitrag zur Einsparung von Energie und Ressourcen zu leisten, positioniert sich IGEL OS damit als Alternative zur Beschaffung neuer Fat Clients. Stattdessen können Sie vorhandene Hardware als Thin Client weiternutzen.

Die Liste der offiziell unterstützten Geräte ist lang [6]. Doch darüber hinaus läuft IGEL OS auf fast jeder Hardware, denn die Anforderungen sind gering. Das System begnügt sich grundsätzlich mit einem x86_64-Prozessor ab 1 GHz aufwärts, 2 GByte RAM und 2 GByte Speicher, wobei IGEL von allem mehr empfiehlt, wenn clientseitige Multimedia-Codecs, hochauflösende Grafikausgabe oder mehrere Monitore zum Einsatz kommen sollen. Das bootfähige Installationsmedium (IGEL OS Creator, OSC) unterstützt UEFI Secure Boot, kann aber auch mit älterer Hardware umgehen, die nur im Legacy/ BIOS-Modus startet.

Bootmedium vorbereiten und installieren

Bei den Vorbereitungen für diesen Artikel installierten wir IGEL OS ohne Probleme selbst auf einem zwölf Jahre alten Notebook vom Typ Lenovo ThinkPad T400. Im Folgenden zeigen wir Ihnen, wie Sie das schlanke Betriebssystem mit wenigen Schritten ausprobieren können. Registrieren Sie sich dazu für einen kostenfreien Test und laden Sie das ZIP-Archiv des OSC sowie das Setup der UMS herunter [7]. Entpacken Sie das Archiv mit dem OSC und schreiben Sie das enthaltene ISO-Image auf einen USB-Stick. Das erledigt unter Windows das mitgelieferte Tool "preparestick.exe" oder unter Linux der Disk-Dump-Befehl (dd), dessen Verwendung IGEL in seiner Knowledge Base erläutert. Alternativ brennen Sie das ISO-Image auf eine DVD oder hängen es an eine virtuelle Maschine.

Booten Sie Ihre Hardware oder VM mit dem OSC. Die Setuproutine führt Sie durch die Installation, in deren Verlauf Sie die gewünschten Remote-Clients und Funktionen auswählen. Standardmäßig installiert OSC alle Features und belegt damit 2,7 GByte Platz auf der Festplatte. Bereits während der Installation können Sie sämtliche Einstellungen des Betriebssystems und die gewünschten Remote-Sessions konfigurieren, doch dies überspringen wir, da wir den Client später zentral per UMS verwalten wollen. Das Setup warnt noch einmal davor, dass sämtliche Daten auf dem gewählten Ziellaufwerk überschrieben werden, und installiert dann IGEL OS. Danach entfernen Sie das Bootmedium, der Client fährt anschließend herunter und bootet IGEL OS.

Der Setupassistent führt Sie durch die ersten Schritte der Konfiguration. Wählen Sie Sprache, Tastaturbelegung, Zeitzone, Zeit und Datum. Soweit vorhanden, verbinden Sie daraufhin einen drahtlosen Netzwerkadapter mit Ihrem WLAN, legen optional ein Passwort für die lokale Anmeldung fest und gelangen schließlich zum Setup des Agenten für das ICG. Diesen Schritt könnten Sie natürlich überspringen und den Client komplett lokal konfigurieren oder direkt an eine UMS im selben Netzwerk anbinden. Doch wir wollen den Client mobil einsetzen. Bevor es lokal weitergeht, benötigen wir daher UMS und ICG.

UMS installieren und Clients integrieren

IGEL bietet Installationspakete der UMS für Windows und Linux an. Im Folgenden gehen wir exemplarisch von einer Installation unter Windows aus und verwenden eine virtuelle Instanz des Win-dows Server 2022. Für erste Gehversuche eignet sich eine Installation der UMS mit der Auswahl "Standard UMS with embedded database". Die Setuproutine installiert dann die grafische Benutzeroberfläche mitsamt Datenbank auf dem lokalen Server.

Alternativ dazu könnten Sie auch nur die GUI aufspielen und eine Datenbank auf einem separaten SQL-Server anbinden. Weiterhin unterstützt die UMS auch eine Installation als hochverfügbarer Cluster mit Loadbalancing, doch wir starten mit dem Standardumfang. Dazu gehört neben der Oberfläche für Windows auch ein Webfrontend mit integriertem Webserver. Diese UMS-Web-App deklariert IGEL allerdings noch als "early feature set". Die App bildet also noch nicht alle Funktionen des klassischen GUI ab.

Das Setup verlangt im weiteren Verlauf nach einem initialen Admin-Benutzer, der nur innerhalb der Anwendung und ihrer Datenbank existiert. Zudem bietet das Setup an, Ausnahmen für alle notwendigen Ports in der Windows-Firewall des Servers zu konfigurieren. Damit ist die Installation auch schon erledigt. Sie starten die Applikation über das Desktop-Icon "UMS Console" und können den zuvor konfigurierten Admin anmelden.

Für den Betrieb im internen Netz sind damit bereits alle Voraussetzungen erfüllt. Thin Clients mit direkter Konnektivität zum Server können Sie ohne Weiteres in die UMS integrieren. IGEL unterstützt hierzu gleich mehrere Methoden [8]. Einzelne Clients tragen Sie manuell in UMS ein oder indem Sie die Registrierung lokal vom Client aus initiieren und dort den Namen des UMS-Servers manuell eintragen. Für eine größere Anzahl an Clients können Sie aus der UMS heraus ganze IP-Bereiche scannen und alle erreichbaren Geräte registrieren oder eine CSV-Datei einlesen. Letzteres setzt allerdings voraus, dass Sie bereits genau wissen, welche Geräte zu registrieren sind. Alternativ sorgen Sie mittels eines DHCP-Tags oder des DNS-Aliases "igelrmserver" dafür, dass neue Clients automatisch den Weg zu UMS finden.

Zur Integration mobiler Clients bringen uns diese herkömmlichen Methoden allerdings nicht ans Ziel und wir benötigen stattdessen das ICG, das Clients ohne eine direkte Verbindung zur UMS den Weg ebnet.

Cloudgateway installieren

Das ICG läuft typischerweise in der DMZ Ihres Unternehmensnetzes oder in der Public Cloud [9]. In letzterem Fall bietet IGEL eine vorgefertigte Appliance im Azure Marketplace an. Alternativ dazu installieren Sie das ICG mit wenig Aufwand auf einem selbst bereitgestellten Linux-Server. Wir verwenden exemplarisch eine minimale Installation von Ubuntu 18.04 LTS und zu deren Absicherung Zertifikate der kostenfrei verwendbaren Zertifizierungsstelle von Let's Encrypt. Bringen Sie dazu den Server auf aktuellen Stand und installieren Sie die notwendigen Voraussetzungen:

Der Server muss auf den TCP-Ports 80 und 443 aus dem Internet erreichbar sein und ist damit bereit, Zertifikate von Let's Encrypt zu beziehen. Sie starten den Vorgang mittels sudo certbot certonly. Wählen Sie im Assistenten die erste Option "Spin up temporary webserver (standalone)". Für den produktiven Einsatz zu empfehlen: Hinterlegen Sie eine optionale E-Mail-Adresse für dringende Nachrichten, falls Zertifikate abzulaufen drohen.

Daraufhin akzeptieren Sie die Nutzungsbedingungen und wählen, ob Sie Neuigkeiten der Electronic Frontier Foundation (EFF) erhalten möchten. Nun geben Sie den FQDN an, unter dem der Server extern erreichbar ist, und der Assistent bezieht ein Zertifikat. Sie finden das Zertifikat mitsamt privatem Schlüssel sowie zwei Varianten der zugehörigen Zertifikatskette im Pfad "/etc/letsencrypt/live/<FQDN>/".

Kopieren Sie alle vier PEM-Dateien auf den UMS-Server. Wir benötigen sie dort, um aus der UMS heraus die Installation des ICG anzustoßen. Dazu muss der UMS-Server die Linux-Maschine in der DMZ oder Cloud mindestens auf den TCP-Ports 22 und 8443 erreichen können. Der Port 8443 dient dabei der ICG-Kommunikation, Sie können optional auch den wohlbekannten Port 443 verwenden.

Zertifikate in UMS einbinden

Wählen Sie nun innerhalb der UMS im Navigationsmenü links den Punkt "UMS Administration" und darunter den Bereich "Global Configuration / Certificate Management / Cloud Gateway". Weiter geht es mit der Aktion "Import root certificate" rechts oben im Hauptbereich des Fensters. Hiermit importieren Sie die Datei "chain.pem", die das Wurzelzertifikat von Let's Encrypt enthält. Anschließend erreichen Sie per Rechtsklick auf das Zertifikat die Aktion "Import signed certificate" und lesen die Datei "cert. pem" mit dem Zertifikat Ihres Linux-Servers ein. Per Rechtsklick auf dieses Zertifikat wählen Sie aus dem Kontextmenü die Option "Import decrypted private key" und lesen zu guter Letzt auch die Datei "privkey.pem" ein.

Laden Sie nun den ICG-Remote-Installer aus dem Funktionsumfang des EMP herunter, in unserem Beispiel die Datei "installer-2.05.100.bin" [10]. Navigieren Sie dann in der UMS-Administration zum Bereich "UMS Network / IGEL Cloud Gateway". In der Icon-Leiste oben rechts im Hauptfenster finden Sie die Aktion "Install new IGEL Cloud Gateway". Wählen Sie jetzt das Zertifikat "cert.pem".

Im nächsten Schritt fragt die Setuproutine nach dem FQDN Ihres Gateways, dem SSH-Port und einem SSH-Benutzer nebst Passwort. Der Benutzer muss auf dem Ziel über sudo-Rechte verfügen. Belassen Sie den ICG-Port beim Standardwert 8443 und geben Sie den lokalen Pfad zum ICG-Remote-Installer an. Das Setup richtet daraufhin in Sekundenschnelle das ICG auf dem Linux-Server ein. Abschließend definieren Sie einen externen Hostnamen und externen Port. Im einfachsten Fall sind diese Werte identisch mit den zuvor verwendeten. Optional können Sie einen Proxyserver in die Verbindung integrieren. Anschließend sollte das ICG in der UMS mit dem Status "Gateway is fully connected" erscheinen (Bild 1).

Die letzte Amtshandlung führt uns in den Bereich "Global Configuration / Cloud Gateway Options". Hier fügen Sie über das Plus-Zeichen in der Icon-Leiste des Hauptfensters Schlüssel zur Integration neuer Clients hinzu. Dabei haben Sie die Wahl zwischen einmalig verwendbaren Schlüsseln für beliebige Geräte, einmalig verwendbaren Schlüsseln, die fest bestimmten Clients zugeordnet sind, und mehrfach verwendbaren Schlüsseln für einen Massenrollout.

Wir wählen die Option "Create new mass-deployment key". Der Schlüssel besteht aus einem 64-stelligen Hex-Fingerabdruck und einer Ziffernfolge. Sie können den Schlüssel in Textform in die Zwischenablage kopieren oder wahlweise in den Formaten XML, HTML oder CSV exportieren. Damit sind wir nun gerüstet, um unseren IGEL OS Client in die zentrale UMS-Verwaltung aufzunehmen.

Clients mit Profilen verwalten

Zurück auf dem Client geben Sie im Schritt "ICG Agent Setup" den FQDN Ihres Gateway-Servers an, gefolgt vom gerade erstellten Schlüssel. Der Client nimmt daraufhin Verbindung mit dem ICG auf und registriert sich automatisch in der UMS, wo er im Bereich "IGEL Universal Management Suite 6 / Devices" zunächst mit einer zufälligen ID erscheint. Sie können das Gerät per Rechtsklick umbenennen und diverse Administrationsaufgaben ausführen, etwa einen Neustart veranlassen oder eine Nachricht an das Gerät senden.

Sie verwalten Clients, indem Sie im Bereich "Profiles" Konfigurationsprofile anlegen und einzelnen Clients oder Ordnern mit mehreren Clients darin zuweisen. Das funktioniert ähnlich den Gruppenrichtlinien in einem Active Directory mit Vererbung über Hierarchien von Ordnern hinweg. Mithilfe der Profile steuern Sie sämtliche Optionen der Geräte, konfigurieren Netzwerkschnittstellen, das Integrieren von USB-Geräten und die lokale Sicherheit. Weiterhin aktivieren Sie etwa die in IGEL OS integrierten Browser Chromium sowie Mozilla Firefox und legen Voreinstellungen der Browsersitzungen, wie die Startseite, Privatsphäre und Sicherheit oder auch die Integration von Smartcards, fest. Sobald Sie dem Client ein solches Profil zuweisen, werden die Einstellungen unmittelbar oder spätestens nach einem Neustart aktiv (Bild 2).

Citrix-Sitzungen konfigurieren

Sollten Sie noch keine virtuellen Desktops und Applikationen außerhalb Ihres internen Netzes anbieten, konfigurieren wir nun exemplarisch die Verbindung zu Citrix Virtual Apps und Desktops. Deren Hersteller bietet kostenfrei den Zugriff auf eine für 72 Stunden laufende Demo-Umgebung an [11]. Registrieren Sie sich für einen solchen Zugang. Sie erhalten daraufhin die Zugangsdaten per E-Mail. Melden Sie sich damit zunächst im Browser an der Webseite "demo.cloud.com" an und setzen Sie ein neues Passwort.

Nun legen Sie in der UMS ein neues Profil an und öffnen es zur Bearbeitung. Der Zugriff auf die Citrix-Umgebung bedarf nur weniger Einstellungen. Im Bereich der "Sessions" in der vertikalen Navigation zur Linken expandieren Sie den Pfad "Citrix / Citrix StoreFront / Server". Im Hauptbereich des Fensters fügen Sie über das Plus-Icon einen neuen Serverstandort hinzu. Verwenden Sie als Protokoll "https://" und als Adresse "demo.cloud. com:443". Der Pfad zum Store ist bereits mit dem passenden Wert "Citrix/Store" vorbelegt. Als Store-Namen tragen Sie ein "#" ein (Bild 3).

Weiter geht es unter dem Punkt "Login". Stellen Sie hier sicher, dass zur Anmeldung die "Password authentication" aktiv ist. Unter dem Punkt "Desktop Integration" legen Sie fest, dass die Citrix-Sitzungen im Startmenü, Application-Launcher, auf dem Desktop und in der Startleiste von IGEL OS erscheinen sollen. Speichern Sie das Profil und weisen Sie es Ihrem Client zu, sodass die Einstellungen sofort aktiv werden.

Der Client meldet daraufhin, dass er eine Änderung seiner Konfiguration empfangen hat. Nach einer kurzen Wartezeit finden Sie das Icon der Citrix Workspace App auf dem Desktop und in der Startleiste wieder. Melden Sie sich an der App an, die daraufhin alle verfügbaren virtuellen Apps und Desktops lädt, deren Icons nun den Desktop füllen.

Verbinden Sie einen Desktop, der standardmäßig im Vollbild-Modus startet. Über das Konfigurationsprofil aktivieren Sie optional die Funktionsleiste des Citrix-Clients, sodass Sie Sitzungen auch in Fenstern anzeigen können (Bild 4). Analog dazu konfigurieren Sie über die Profile sämtliche Grundeinstellungen von IGEL OS und weitere Remote-Sitzungen.

Fazit

Im Rennen um möglichst geringen Aufwand beim Clientmanagement liegt IGEL OS im Vergleich mit herkömmlichen Clients vorne – zumindest, solange eine stabile Onlineverbindung besteht. Dann spielen Thin Clients ihre Vorteile aus und Installation und Updates lokaler Anwendungen entfallen in solchen Umgebungen. Die Werkzeuge ICG und UMS kümmern sich um die zentrale Verwaltung, und dies unabhängig davon, wo sich der Client befindet. Und mit IGEL OS 12, das bis zum Redaktionsschluss noch nicht öffentlich verfügbar war, hat der Hersteller bereits die nächste Stufe der Entwicklung seines Betriebssystems in Vorbereitung.

Mit der kommenden Version möchte IGEL das Betriebssystem um einen App Store erweitern, der auch die Produkte von Drittanbietern integrieren wird. Weiterhin arbeitet das Unternehmen daran, das Setup weiter zu vereinfachen, sodass auch Endanwender selbst neue Geräte in wenigen Minuten in Betrieb nehmen und mit den Ressourcen des Unternehmens verbinden können.

IGEL OS 11 einrichten