Paramètres et propriétés de l’installeur MSI
Introduction
L’installeur du SN VPN Client Exclusive est au format Microsoft Installeur (MSI). Il peut être configuré grâce à des paramètres en ligne de commande et des « propriétés ».
Pour installer SN VPN Client Exclusive, il est recommandé de lancer la ligne de commande MSIEXEC depuis un shell admin avec l’option /i, l’option /q ou /quiet et les propriétés adaptées à votre déploiement.
EXEMPLE
msiexec /i [chemin_de_l_installeur] /q
Règles de syntaxe : Les options qui requièrent une valeur doivent être spécifiées sans espace entre l’option et sa valeur. Les valeurs qui contiennent des espaces (par exemple des répertoires) doivent être encadrées par des guillements.
Pour plus de détail sur le fonctionnement de msiexec et les options d’installation disponibles, consultez la documentation Microsoft : https://docs.microsoft.com/fr-fr/windows-server/administration/windows-commands/msiexec.
Paramètres MSI en ligne de commande
/i
Syntaxe : |
msiexec /i [chemin_de_l_installeur] |
Usage : |
Installe ou met à jour le logiciel SN VPN Client Exclusive |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" |
/x
Syntaxe : |
msiexec /x [chemin_de_l_installeur] |
Usage : |
Désinstalle le logiciel SN VPN Client Exclusive |
Exemple : |
msiexec /x "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" |
/q
Syntaxe : |
msiexec /q ou /quiet |
Usage : |
Configure l’installation ou la désinstallation en mode silencieux (aucune question ni alerte à l’utilisateur) |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" /q |
/L*V!
Syntaxe : |
msiexec /L*V! <chemin_fichier_logs> |
Usage : |
Active la journalisation et comprend une sortie détaillée dans le fichier journal de sortie en spécifiant l’emplacement et le nom du fichier journal de sortie. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" /L*V! "C:\install.log" |
Installation
NOTE
« C:\Program Files\Stormshield\Network VPN Client Exclusive\ » est le répertoire d’installation par défaut.
APPLICATIONROOTDIRECTORY
Syntaxe : |
APPLICATIONROOTDIRECTORY=[répertoire_installation] |
Usage : |
[répertoire_installation] est le répertoire où le logiciel Client VPN doit être installé. [répertoire_installation] nécessite d’être encadré par des guillemets si le répertoire contient des espaces. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" APPLICATIONROOTDIRECTORY="C:\mon répertoire\vpn" |
TGBCONF_ADMINPASSWORD
Syntaxe : |
TGBCONF_ADMINPASSWORD=[mot_de_passe] |
Usage : |
Mot de passe administrateur utilisé pour protéger l’accès au Panneau de Configuration dans les versions antérieures à 6.8, le cas échéant. Utilisé pour la mise à jour d’une version antérieure, dont le Panneau de Configuration était protégé par mot de passe. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" TGBCONF_ADMINPASSWORD=Tgb@dM1Npwd! |
NOAUTORUN
Syntaxe : |
NOAUTORUN=1 |
Usage : |
Cette propriété permet de ne pas lancer SN VPN Client Exclusive (quel que soit le mode : Panneau des Connexions, TrustedConnect) au démarrage de Windows. Valeur par défaut 0 (démarrage automatique). |
Configuration VPN
TGBCONF_PATH
Syntaxe : |
TGBCONF_PATH=[chemin_fichier_conf] |
Usage : |
Chemin complet vers le fichier de configuration VPN à utiliser pour cette installation. |
TGBCONF_PASSWORD
Syntaxe : |
TGBCONF_PASSWORD=[mot_de_passe] |
Usage : |
Mot de passe utilisé pour protéger la configuration VPN passée en paramètre via la propriété TGBCONF_PATH. |
Serveur d’activation TAS
Les propriétés définissent les caractéristiques du serveur d’activation TAS (« TheGreenBow Activation Server », serveur d’activation optionnellement installé sur l’infrastructure de l’utilisateur).
Ces propriétés sont : l’adresse du serveur, le port d’accès et le certificat d’authentification de l’activation.
Les valeurs de ces propriétés étant requises pour des configurations spécifiques, elles sont en général fournies par TheGreenBow.
OSAURL
Syntaxe : |
OSAURL=[URL_TAS] |
Usage : |
Cette propriété permet de définir l’URL du serveur d’activation TAS. Elle doit être définie en association avec la propriété OSAPORT et, le cas échéant, avec la propriété OSACERT. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" OSAUrl=192.168.217.102/osace_activation.php |
OSAPORT
Syntaxe : |
OSAPORT=[port_TAS] |
Usage : |
Cette propriété permet de définir le port du serveur d’activation TAS en association avec la propriété OSAURL. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" OSAPort=80 |
OSACERT
Syntaxe : |
OSACERT=[contenu_du_certificat] |
Usage : |
Cette propriété est requise lorsque le serveur d’activation TAS est utilisé. Elle permet de déchiffrer la clef d’activation reçue du serveur TAS. Son contenu est disponible sur le site TheGreenBow dans l’Espace privé partenaires sous la rubrique Clef publique (certificat). |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" OSACert="MIICGjCCAYOgAwIBAgIBADANBg [........] muHf58kMO0jvhkyq24GryqptSaSJqVIA=" |
Activation de la licence
ACTIVMAIL
Syntaxe : |
ACTIVMAIL=[email_d_activation] |
Usage : |
Cette propriété permet de configurer l’adresse email utilisée pour l’activation du logiciel. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" ACTIVMAIL=salesgroup@company.com |
AUTOACTIV
Syntaxe : |
AUTOACTIV=1 |
Usage : |
Cette propriété permet de configurer le logiciel pour qu’il s’active automatiquement. Lorsque la valeur est à 1, SN VPN Client Exclusive va tenter de s’activer automatiquement à chaque :
|
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" AUTOACTIV=1 |
LICENSE
Syntaxe : |
LICENSE=[numéro_licence] |
Usage : |
Cette propriété permet de configurer le numéro de licence utilisé pour l’activation du logiciel. |
Exemple : |
msiexec /i "[répertoire_téléchargement]\NetworkVpnClientExclusive_Setup.msi" LICENSE=1234567890ABCDEF12345678 |
NOACTIVWIN
Syntaxe : |
NOACTIVWIN=1 |
Usage : |
Cette propriété permet d’empêcher l’affichage de la fenêtre d’activation. Associée à la propriété AUTOACTIV=1, elle permet de déployer le logiciel non activé sur les postes utilisateurs, et d’automatiser l’activation depuis ces postes, de façon totalement invisible pour les utilisateurs. À noter toutefois que la fenêtre d’activation finira par être affichée à l’utilisateur à l’expiration de la période d’évaluation si aucune activation n’a été réalisée avant cette échéance. Dans ce cas, il est néanmoins possible de monter un tunnel en vue de procéder à l’activation. |
Panneau TrustedConnect
Les propriétés liées au Panneau TrustedConnect sont décrites ci‑après.
USEDIALERBYDEFAULT
Syntaxe : |
USEDIALERBYDEFAULT=1 |
Usage : |
Le Panneau TrustedConnect est utilisé comme interface utilisateur lorsque cette propriété a pour valeur 1. Le Panneau TrustedConnect se lancera automatiquement au démarrage de la session utilisateur Windows, sauf si la propriété NOAUTORUN est mise à la valeur 1 (voir ci-dessous). |
DIALERMINIMIZE
Syntaxe : |
DIALERMINIMIZE=5000 |
Usage : |
Cette propriété permet de configurer le délai avant que le Panneau TrustedConnect ne soit minimisé, lorsque le poste a été détecté comme étant connecté au réseau de confiance (soit physiquement, soit au travers du tunnel VPN). Ce délai est configurable en millisecondes. Si la valeur est 0, la fonctionnalité est désactivée : le Panneau TrustedConnect ne se minimise plus automatiquement. Si ce délai n’est pas configuré, le délai par défaut est de 2000 ms (2 secondes). |
DIALERDEFS
Syntaxe : |
DIALERDEFS=01000000 |
Usage : |
Cette propriété permet de configurer le type de minimisation lorsque le délai de minimisation est configuré : le Panneau TrustedConnect peut être minimisé en barre des tâches ou dans la zone de notification (systray). Pour que le Panneau TrustedConnect soit minimisé en barre des tâches, entrez la valeur 01000000. Si la propriété n’est pas précisée, le Panneau TrustedConnect est minimisé par défaut dans la zone de notification (systray). Rappel : Délai et type de minimisation ne sont applicables qu’à la minimisation automatique du Panneau TrustedConnect, sur détection de connexion au réseau de confiance. |
VPNLOGPURGE
Syntaxe : |
VPNLOGPURGE=3 |
Usage : |
Cette propriété permet de configurer le nombre de jours pendant lequel conserver les fichiers de logs. La valeur s’exprime en nombre de jours. La valeur par défaut est de 10 jours. Si la valeur indiquée est à 0, la purge des fichiers de logs est désactivée. |
TOKENOUTHANDLE
Syntaxe : |
TOKENOUTHANDLE=30 |
Usage : |
Cette propriété permet de configurer le comportement du Client VPN lorsque le token est extrait, ou lorsque la carte à puce est extraite du lecteur, alors qu’un tunnel VPN est ouvert. Trois modes sont disponibles sur cet évènement :
Par défaut, sans paramétrage, le mode A est actif.
|
BTNBEHAVIORTC
Syntaxe : |
BTNBEHAVIORTC=1 |
Usage : |
Cette propriété permet de désactiver le bouton de déconnexion lorsque la connexion est en cours (contrôle TND, ouverture du tunnel, etc.) pour empêcher l’utilisateur d’actionner ce bouton dès que le tunnel est monté :
|
MENUITEMTC
Syntaxe : |
MENUITEMTC=[0..3F] |
Usage : |
Cette propriété permet de définir les options du menu en barre des tâches. La valeur de la propriété MENUITEMTC est un champ de bits, chaque bit représente une option du menu en barre des tâches :
Par défaut, toutes les options de menu sont affichées : valeur = 63 (0x3F hexa). EXEMPLE
|
DIALERBEHAVIOR
Syntaxe : |
DIALERBEHAVIOR=010000 |
Usage : |
Cette propriété permet d’ajouter les trois options suivantes au Panneau TrustedConnect :
Il est possible d’activer une, deux ou les trois options en même temps :
|
RESTARTGUITC
Syntaxe : |
RESTARTGUITC=1 |
Usage : |
Cette propriété permet de redémarrer automatiquement le Panneau TrustedConnect lorsqu’il est quitté ou en cas d’arrêt fatal :
|
Tokens et cartes à puces
SMARTCARDROAMING
Syntaxe : |
SMARTCARDROAMING=1 |
Usage : |
Cette propriété caractérise le lecteur de cartes à puce ou le token à utiliser :
|
PKCS11ONLY
Syntaxe : |
PKCS11ONLY=1 |
Usage : |
Cette propriété caractérise le mode d’accès à la carte à puce ou au token :
|
KEYUSAGE
IMPORTANT
Il recommandé de ne plus utiliser cette propriété MSI et de privilégier à la place le paramètre dynamique user_cert_keyusage. Sa fonction est identique à celle de la propriété MSI, mais sa granularité est plus fine étant donné qu’il s’applique à un tunnel spécifique plutôt qu’à l’ensemble des tunnels. Voir le « Guide de l’administrateur » de SN VPN Client Exclusive pour plus de détails.
Syntaxe : |
KEYUSAGE=1 |
Usage : |
Cette propriété permet de sélectionner un certificat en fonction de son champ « key usage » :
|
NOTE
Lorsque la valeur de la propriété KEYUSAGE est définie sur 2, la case à cocher Utiliser seulement les certificats de type authentification de l’onglet Options PKI est grisée, cf. « Guide de l’administrateur » du SN VPN Client Exclusive.
NOCACERTREQ
Syntaxe : |
NOCACERTREQ=1 |
Usage : |
Cette propriété configure le Client VPN pour gérer des autorités de certification (CA) client/passerelle différentes. Elle est à renseigner (elle peut aussi être configurée par l’interface du logiciel) dès que les certificats client et passerelle sont issus de CA différentes. |
PKICHECK
Syntaxe : |
PKICHECK=1 |
Usage : |
Cette propriété est utilisée pour caractériser la vérification du certificat de la passerelle VPN :
|
X509DIRECTORYSTRING
Syntaxe : |
X509DIRECTORYSTRING=14 |
Usage : |
Cette propriété caractérise l’identifiant attendu pour le Remote ID :
|
NOTE
Depuis la version 6.8 du logiciel, les caractères « 0x » ne doivent plus précéder la valeur de la propriété X509DirectoryString.
DNPATTERN
IMPORTANT
Il recommandé de ne plus utiliser cette propriété MSI et de privilégier à la place le paramètre dynamique user_cert_dnpattern
. Sa fonction est identique à celle de la propriété MSI, mais sa granularité est plus fine étant donné qu’il s’applique à un tunnel spécifique plutôt qu’à l’ensemble des tunnels. Voir le « Guide de l’administrateur » pour plus de détails.
Syntaxe : |
DNPATTERN=[texte] |
Usage : |
Cette propriété permet de caractériser le certificat à utiliser : lorsqu’elle est renseignée, SN VPN Client Exclusive recherche, sur token, carte à puce et dans le magasin de certificats Windows, le certificat dont le sujet contient Quand cette propriété n’est pas définie, le Client VPN recherche le premier certificat conforme aux autres caractéristiques configurées. |
NOPINCODE
Syntaxe : |
NOPINCODE=1 |
Usage : |
Cette propriété permet de ne pas demander de code PIN pour les tokens qui n’en n’ont pas besoin. Par exemple, c’est le cas de la microSD d’Ercom. |
Paramètres généraux
MENUITEM
Syntaxe : |
MENUITEM=[0..1F] |
Usage : |
Cette propriété permet de définir les options du menu en barre des tâches. La valeur de la propriété MENUITEM est un champ de bits, chaque bit représente une option du menu en barre des tâches :
Par défaut, toutes les options de menu sont affichées : valeur = 31 (1F hexa). EXEMPLE
|
RESTRICTCONFADMIN
Syntaxe : |
RESTRICTCONFADMIN=0 |
Usage : |
Cette propriété permet de restreindre l’accès au Panneau de Configuration aux administrateurs uniquement. Par défaut, le Panneau de Configuration n’est accessible qu’en tant qu’administrateur. |
NOSPLITTUNNELING
Syntaxe : |
NOSPLITTUNNELING=1 |
Usage : |
Cette propriété provoque la désactivation de la route par défaut de l’interface physique quand le tunnel est monté. N’agit que sur les tunnels dont la configuration est « Tout le trafic dans le tunnel ». |
NOSPLITDNS
Syntaxe : |
NOSPLITDNS=1 |
Usage : |
Cette propriété fait en sorte que les DNS de l’interface virtuelle soient aussi appliqués à l’interface physique, quand le tunnel est monté. N’agit que sur les tunnels dont la configuration est « Tout le trafic dans le tunnel ». |
ROUTINGMODE
Syntaxe : |
ROUTINGMODE=1 |
Usage : |
Cette propriété permet de ne pas faire passer le trafic local de l’interface physique dans le tunnel. Seuls les flux qui viennent de l’interface virtuelle sont pris en compte. |
FORCELOCALTRAFICTOTUNNEL
Syntaxe : |
FORCELOCALTRAFICTOTUNNEL=1 |
Usage : |
En mode « tout dans le tunnel », cette propriété permet de router le trafic local de l’interface physique dans le tunnel. Si cette propriété n’est pas présente (par défaut), le mode n’est pas activé.
|
IKESTART
Syntaxe : |
IKESTART=1 |
Usage : |
Cette propriété permet de démarrer le service IKE indépendamment de l’interface du logiciel. Si cette propriété n’est pas présente (par défaut), ce mode n’est pas activé.
|
SIGNFILE
Syntaxe : |
SIGNFILE=1 |
Usage : |
Cette propriété permet de forcer la vérification du hash d’intégrité du fichier de configuration VPN. La valeur par défaut est 0 (désactivé). |
GINABEHAVES
Syntaxe : |
GINABEHAVES=1 |
Usage : |
Dans son comportement par défaut, le mode GINA affiche un panneau sur l’écran d’ouverture de session Windows permettant d’ouvrir un ou plusieurs tunnels avant d’ouvrir une session Windows. En revanche, ce panneau ne s’affiche pas sur l’écran de verrouillage lorsque l’utilisateur a verrouillé la session. Cette propriété permet de rendre visible le panneau du mode GINA sur l’écran de verrouillage. La valeur par défaut est 0. |
NESTEDTUNNEL
Syntaxe : |
NESTEDTUNNEL=1 |
Usage : |
Cette propriété permet d'imbriquer deux tunnels. À utiliser lorsqu’on souhaite qu’un second tunnel se serve de la connexion offerte par un premier tunnel. La passerelle du second tunnel est alors uniquement accessible sur le réseau distant du premier tunnel. La valeur par défaut est 0 (désactivé). |
Logs
SYSTEMLOGOUTPUT
Syntaxe : |
SYSTEMLOGOUTPUT=7 |
Usage : |
Cette propriété permet de sélectionner la sortie des logs administrateur. Les sorties peuvent être combinées, par exemple pour combiner les 3 sorties, utiliser la valeur 7.
|
SYSTEMLOGSYSLOGSERVER
Syntaxe : |
SYSTEMLOSERVER=syslogserver.company.com |
Usage : |
Cette propriété permet de préciser l’adresse IP ou nom de la machine à destination des syslog. |
SYSTEMLOGSYSLOGPORT
Syntaxe : |
SYSTEMLOGSYSLOGPORT=5514 |
Usage : |
Cette propriété permet de préciser le port de la machine à destination des syslog. Le port par défaut est 514. |