„DirectAccess“ sistemoje „Windows 11 Enterprise“: reikalavimai, diegimas ir geriausia praktika

Jei dirbate su įmonių komandomis ir naudojate mobiliuosius įrenginius, tikriausiai esate susipažinę su „DirectAccess“ – nuolatiniu ryšiu, kuris leidžia nešiojamiesiems kompiuteriams prisijungti prie tinklo, o vartotojui nereikia nieko daryti. „Windows 11 Enterprise“ aplinkoje jis išlieka pagrindiniu valdomos, saugios ir skaidrios nuotolinės prieigos elementu , ypač kai tradicinė alternatyva buvo VPN , kuriems reikėjo vartotojo veiksmų ir kurie paprastai buvo labiau įkyrūs.

Naudodami „DirectAccess“, prie domeno prijungti kompiuteriai automatiškai prisijungia prie vidinio tinklo, kai tik turi prieigą prie interneto, todėl galite taikyti strategijas, diegti programinę įrangą arba pasiekti išteklius niekam nespaudžiant mygtuko. Iš esmės tai saugus tunelis, naudojantis IPsec ir IPv6 adresavimą su vertimo šliuzais, valdomas iš nuotolinės prieigos vaidmens „Windows Server“ sistemoje , skirtas nuotoliniam administravimui ir produktyvumui.

Kas yra „DirectAccess“ ir kodėl ji svarbi sistemoje „Windows 11 Enterprise“

„DirectAccess“ yra „Windows Server Remote Access“ vaidmens paslauga, kuri užmezga nuolatinį ir saugų ryšį tarp kliento kompiuterių ir įmonės intraneto. Skirtingai nuo VPN , ryšį inicijuoja ne vartotojas, o pats kompiuteris, kai tik aptinka interneto ryšį , taip užtikrinant politikos tęstinumą ir administravimą dar prieš vartotojui prisijungiant.

Šis nuolatinio ryšio metodas leidžia IT specialistams lengvai valdyti nešiojamuosius kompiuterius, kad ir kur jie būtų: gaunami grupės politikos objektai (GPO), sprendžiami vidiniai pavadinimai ir pasiekiami įmonės serveriai taip, lyg įrenginys būtų biure. Saugumas pagrįstas IPsec autentifikavimui ir šifravimui, o prireikus – IPv6 su perėjimo mechanizmais , užtikrinant suderinamumą su šiuolaikiniais tinklais nesutrikdant senųjų programų.

Kita svarbi pasekmė – naudotojo patirtis: nereikia prisiminti, kaip prisijungti, bendrauti su trečiųjų šalių klientais ar grumtis su tinklais, kurie blokuoja VPN protokolus. Kol yra interneto ryšys, įrenginys palaiko „supertunelį“ su organizacija , o įmonės programos sklandžiai veikia pagal jūsų nustatytas politikas.

Saugumo požiūriu „DirectAccess“ leidžia valdyti prieigą pagal įrenginį ir vartotoją, atlikti ištisinį šifravimą ir segmentuoti, kurie ištekliai pasiekiami nuotoliniu būdu. Vartotojui gali reikėti įrenginio sertifikatų, domeno prisijungimo duomenų ir net išmaniųjų kortelių , taip padidinant kartelę nuo neteisėtos prieigos.

Suderinamumas ir prielaidos

„DirectAccess“ veikia tik su prie domeno prijungtais klientais, kurių operacinė sistema palaiko šią funkciją. Anksčiau klientai daugiausia dėmesio skyrė „Windows Enterprise“ ir lygiavertėms versijoms , o serveriuose šis vaidmuo buvo priskirtas nuotolinei prieigai.

Serverio suderinamumas, kai jis veikia kaip „DirectAccess“ serveris arba kaip bandomasis klientas laboratorijos aplinkoje: „Windows Server 2016“, „Windows Server 2012 R2“, „Windows Server 2012“ ir „Windows Server 2008 R2“ . Visos šios versijos gali atlikti šį vaidmenį, o nuo 2012 m. versijos yra gerokai supaprastintos.

Klientų suderinamumas: „Windows 10 Enterprise“ ir „Windows 10 Enterprise LTSB“, „Windows 8“ ir „8.1 Enterprise“, „Windows 7 Enterprise“ ir „Ultimate“ . Šiems klientams taikomi „DirectAccess“ grupės objektai (GPO), o aptikus internetą užmezgami IPsec tuneliai.

Tipiniai bendrieji reikalavimai: visuose naudotojų profiliuose turi būti įjungta „Windows“ užkarda, turi veikti arba būti išjungtas IPv6 ir turi būti veikiantis vidinis DNS serveris. Be to, daugeliu atvejų PKI reikalingas norint išduoti kompiuterio sertifikatus ir, jei taikoma, naudotojų sertifikatus , ypač taikant išplėstines konfigūracijas arba aplinkas su „Windows Server 2008 R2“.

Kalbant apie nuotolinės prieigos serverio tinklo aparatinę įrangą , tipinei topologijai reikalingos dvi sąsajos: viena su intranetu ir viena su internetu arba perimetru. „Windows Server 2008 R2“ reikėjo dviejų gretimų viešųjų IP adresų; naudojant „Windows Server 2012 R2“ reikia tik vieno viešojo IP adreso , todėl procesas gerokai supaprastėja.

Diegimo scenarijai ir galimi vedliai

Nuotolinės prieigos vaidmuo apima vedlius, kurie pagreitina sąranką. Yra du įprasti keliai: vienas serveris su darbo pradžios vedliu ir vienas serveris su išplėstine konfigūracija . Kiekvienas kelias įjungia arba apriboja parinktis, kad būtų supaprastinta patirtis arba būtų galima naudoti sudėtingesnius scenarijus.

Naudojant vieno serverio sąrankos vedlį, sąlygos aiškios: visuose profiliuose aktyvi „Windows“ ugniasienė, klientai palaikomi „Windows 10“, „8“ ir „8.1 Enterprise“, nereikia PKI , autentifikavimas naudojant domeno kredencialus ir nėra priverstinio tuneliavimo (interneto srautas nėra nukreipiamas per serverį).

Šis vedlys automatiškai diegia „DirectAccess“ mobiliuosiuose įrenginiuose dabartiniame domene, naudodamas patį serverį kaip tinklo vietos serverį (NLS) – zondo klientus, naudojamus savo vietai nustatyti. NAP nepalaikomas, taip pat negalima keisti politikų už „DirectAccess“ konsolės ar „PowerShell“ cmdlet ribų , o dviejų veiksnių autentifikavimas šiame pagrindiniame režime nepalaikomas.

Esamoms ar būsimoms kelių svetainių aplinkoms arba kai reikia taikyti konkrečias politikas, rekomenduojama naudoti išplėstinį konfigūravimo vedlį. Tokiu atveju sertifikatams reikalingas PKI, aktyvios užkardos reikalavimas išlieka ir įjungiamos daugiau suderinamumo matricų , įskaitant tokius serverius kaip 2016, 2012 R2, 2012 ir 2008 R2 kaip pagrindą.

Taip pat verta žinoti apie išplėstinius nustatymus, kuriuose yra techninių apribojimų: priverstinis tuneliavimas su „KerbProxy“ nepalaikomas, politikos pakeitimai už konsolės ar „PowerShell“ ribų neleidžiami, o NAT64/DNS64 ir IP-HTTPS vaidmenų atskyrimas atskirame serveryje neleidžiamas . Šie apribojimai padeda išvengti netikėtumų auditų ar atnaujinimų metu.

Architektūra ir saugumas: IPv6, IPsec ir dvigubas tuneliavimas

„DirectAccess“ veikia naudodama IPv6 ir IPsec. Net jei jūsų intranetas yra IPv4, nuotolinės prieigos serveris prireikus vertimui naudoja NAT64/DNS64, užtikrindamas, kad programos vis tiek galėtų pasiekti serverius, kurie nenaudoja IPv6. Tai leidžia sklandžiai pereiti nepertvarkant tinklo , tuo pačiu išlaikant IPsec saugos modelį kliento ir vidinių išteklių ryšiui.

Klientas sukuria du atskirus IPsec tunelius. Pirmasis, mašinos tunelis, sukuriamas naudojant mašinos sertifikatą ir pasiekia vidinius domeno valdiklius bei DNS serverius. Šis tunelis leidžia atsisiųsti grupės politikos objektus (GPO) ir autentifikuoti vartotoją, net kai vartotojas yra ne biure.

Antrasis tunelis, vartotojo tunelis, sujungia kompiuterio sertifikatą su vartotojo kredencialais ir suteikia prieigą prie įgaliotų vidinių programų ir duomenų serverių. Šis tunelis turi būti aktyvus, kad tokios programos kaip „Outlook“ galėtų pasiekti įmonės el. paštą ar kitas jūsų įgaliotas paslaugas.

Kalbant apie šifravimą, IPsec palaiko patikimus algoritmus, tokius kaip AES arba 3DES; galite koreguoti paketus, kad subalansuotumėte saugumą ir našumą. Pasirinktinai, vartotojo autentifikavimui gali prireikti išmaniosios kortelės, taip padidinant nuotolinės prieigos saugumo lygį nereikalaujant diegti trečiosios šalies programinės įrangos kliento kompiuteryje.

Prieigos kontrolė gali būti „nuo galo iki galo“ arba „nuo galo iki perimetro“. „Nuo galo iki galo“ prieigos atveju klientas užmezga IPsec sesijas tiesiogiai su programų serveriais, taip pasiekdamas maksimalią izoliaciją ir kontrolę. Šiam scenarijui reikia, kad programų serveriai naudotų „Windows Server 2008“ arba „2008 R2“ ir palaikytų IPv6 bei IPsec , todėl ji paprastai skirta organizacijoms, turinčioms homogeninę technologinę aplinką.

Jei negalite įdiegti IPsec savo intranete, ištisinis režimas leidžia nutraukti IPsec „DirectAccess“ serveryje arba IPsec šliuze, kuris tada persiunčia neužšifruotą srautą į jūsų vidinius serverius. Tai labiau panašu į tradicinį VPN ir yra lengviau įgyvendinama aplinkose su nevienalytėmis programomis.

Laboratorijų topologijos ir infrastruktūros reikalavimai

Norint išbandyti ir patobulinti sprendimą, rekomenduojama sukurti realistišką laboratorinę aplinką. Įprastą sąranką sudaro domeno valdiklis, narių serveris, veikiantis kaip NLS ir aptarnaujantis bandymo išteklius, nuotolinės prieigos serveris su interneto ryšiu ir prie domeno prijungtas klientas. Norėdami imituoti internetą, galite pridėti išorinį IPT tipo DNS serverį ir įrenginį su NAT arba maršrutizatoriumi , kuris imituotų viešąjį ryšį.

„Windows Server 2008 R2“ reikalavimai buvo griežtesni: aiškus IPv6 ryšys, PKI ir du gretimi IPv4 adresai perimetre. Nuo „Windows Server 2012“ situacija pasikeitė: dabar pakanka neišjungti IPv6 tinkle ir naudoti vieną viešąjį IP adresą , o tai supaprastina ir sumažina diegimo išlaidas mažoms ir vidutinėms įmonėms.

Rekomenduojama, kad nuotolinės prieigos serveris turėtų dvi tinklo sąsajas: vieną LAN ir vieną internetui arba demilitarizuotai zonai (DMZ). Jei naudojate „Windows Server 2008 R2“, jums reikės dviejų viešųjų IP adresų; naudojant „Windows Server 2012 R2“ pakanka vieno. „Windows“ užkarda turi būti įjungta visuose vartotojų profiliuose – tiek serverio, tiek kliento , nes nuo jos priklauso vedlio politikos ir taisyklės.

Klientams geriausi kandidatai yra kompiuteriai su „Windows Enterprise“ (8, 8.1, 10 ir lygiaverčiais leidimais), prijungti prie domeno ir įgalinti IPv6. „Windows 7 Enterprise“ arba „Ultimate“ reikalauja PKI kompiuterių sertifikatams – tai reikėtų apsvarstyti, jei turite mišrų kompiuterių parką.

Sertifikatų infrastruktūra (PKI) yra neprivaloma pradiniame „Windows Server 2012 R2“ režime, tačiau būtina išplėstinėse konfigūracijose arba su „Windows Server 2008 R2“. Suplanuokite savo CA hierarchiją, sertifikatų šablonus ir automatinį platinimą naudodami grupės politikos objektus (GPO), kad išvengtumėte palaikymo kliūčių ir užtikrintumėte savalaikį atnaujinimą.

„DirectAccess“ ir tradicinis VPN: kada naudoti kiekvieną

VPN yra gerai žinomas standartas, skirtas retkarčiais vykdomai nuotolinei prieigai, turintis daugybę protokolų ir MFA palaikymą. Pagrindinis jo trūkumas yra priklausomybė nuo vartotojo ir vietos, iš kurios jungiamasi, suderinamumo , o jo valdymas tampa sudėtingesnis didėjant lygiagrečių jungčių skaičiui.

„DirectAccess“ teikia pirmenybę nuolatiniam ryšiui ir įrenginių valdymui dar prieš vartotojui prisijungiant. Tai pagerina saugumo lygį ir palaikymo patirtį , tuo pačiu sumažindama vartotojų trintį ir pašalindama papildomų klientų poreikį.

Sudėtingoje aplinkoje daugelis organizacijų derina abi technologijas: „DirectAccess“ – prie domeno prijungtiems valdomiems įrenginiams ir VPN – trečiųjų šalių arba neatitinkančioms reikalavimų sistemoms. Debesyje galite netgi panaudoti taško-svetainės arba svetainės-svetainės šliuzus , geriau integruodami abu metodus, nereikalaudami naudoti vieno kelio.

Taip pat svarbų vaidmenį atlieka išlaidos ir sudėtingumas. Didelio masto VPN reikalauja didelio našumo licencijų ir aparatinės įrangos, kad būtų užtikrintas didžiausias naudojimas. „DirectAccess“ gali pakartotinai panaudoti esamą „Windows“ infrastruktūrą , ypač nuo „Windows Server 2012“ ir naujesnių versijų, taip sumažinant investicijas ir pagreitinant vertės gavimo laiką.

Administravimas naudojant RSAT sistemoje „Windows 11“ ir jo ryšys su „DirectAccess“

„Windows 11 Enterprise“ versijoje galite įdiegti RSAT funkcijas kaip pasirenkamas sistemos funkcijas be atskirų atsisiuntimų . RSAT apima maršruto parinkimo, „DirectAccess“ ir nuotolinės prieigos įrankių rinkinius , kurie naudingi valdant vaidmenį iš administratoriaus kompiuterio, o ne jungiantis prie serverio.

Norėdami juos įjungti grafinėje sąsajoje, atidarykite „Nustatymai“, eikite į „Programos“ ir tada į „Papildomos funkcijos“. Paieškos juostoje įveskite RSAT ir pasirinkite įrankius, kurių jums reikia jūsų operacijai. „Windows“ pridės įrankius ir jie bus pasiekiami iš serverio tvarkyklės ir meniu „Įrankiai“ , išlaikant tą patį centralizuotą požiūrį kaip visada.

Jei pageidaujate naudoti komandinę eilutę , taip pat galite naudoti DISM arba PowerShell, kad įdiegtumėte arba pašalintumėte funkcijas pagal poreikį, nors grafinis metodas yra paprasčiausias būdas pradėti. Atminkite, kad RSAT reikalingi „Business“ arba „Enterprise“ leidimai, todėl geriausia jį valdyti iš apsaugotų darbo stočių su MFA, kad būtų išvengta nereikalingų pažeidžiamumų.

Pašalinti taip pat paprasta naudojant „Pasirinktinės funkcijos“, kur taip pat matysite pakeitimų istoriją. Prieš pašalindami komponentą, patikrinkite, ar nėra priklausomybių tarp RSAT įrankių , nes pašalinus pagrindinį komponentą, žemesnio lygio komponentas gali nustoti veikti.

Politikos, limitai ir gera veiklos praktika

Įdiegimo vedlys taiko tam tikrus apribojimus paprastumo dėlei: nėra priverstinio tuneliavimo, NAP nepalaikomas ir negalima keisti politikų už konsolės ribų ar palaikomų cmdlet. Šie apribojimai padeda išvengti nenuoseklių konfigūracijų ir sumažina gedimų tikimybę , tačiau sumažina lankstumą.

Sudėtingiems scenarijams (kelios svetainės, audito reikalavimai, konkretūs sertifikatai, išplėstinis segmentavimas) rinkitės išplėstinę konfigūraciją. Nors ji prideda PKI reikalavimą, ji leis jums geriau modeliuoti saugumą ir maršrutizavimą bei pasiruošti augimui ar hibridinei aplinkai.

Kalbant apie saugumą, jame apibrėžiamos nuotolinės prieigos saugumo grupės ir taikomos daugiasluoksnės IPsec politikos. Svarstoma galimybė reikalauti daugiafaktorinio autentifikavimo vartotojams svarbiausiose programose , net jei „DirectAccess“ pagrindiniu režimu neįgalina 2FA pačiame tunelyje.

Stebėkite tunelių ir klientų būseną naudodami vaidmenų konsoles ir serverių tvarkytuvę. Telemetrija padės aptikti nesuderinamus įrenginius, DNS sprendimo problemas arba užkardos blokus , kurie yra dažniausios incidentų priežastys.

Galiausiai dokumentuokite NLS ir jo aukštą prieinamumą. Jei NLS sugenda ir klientai mano, kad jie yra už vidinio tinklo ribų, kai taip nėra, trikčių šalinimas tampa sudėtingas. Rezervinis ir stebimas NLS (2012/2016 m.) užkerta kelią klaidingiems teigiamiems rezultatams ir užtikrina tęstinumą.

„DirectAccess“ išlieka patikimu sprendimu valdomiems „Windows Enterprise“ kompiuteriams, užtikrinančiu nuolatinį ryšį, nuotolinį administravimą ir IPsec pagrįstą saugumą nereikalaujant vartotojo įsikišimo. Suplanuokite savo reikalavimus, pasirinkite tinkamą vedlį, pasinaudokite RSAT valdymui ir suderinkite savo architektūrą su savo politikomis, kad užtikrintumėte sklandžią ir saugią „Windows 11 Enterprise“ patirtį.