服务器 频道

告别VPN:带你进入内网世界(一)

  【IT168 专稿】Direct Access是Windos 7和Windows Server 2008 R2中的一项新功能。凭借这个功能,外网的用户可以在不需要建立VPN连接的情况下,高速、安全的从Internet直接访问公司防火墙之后的资源!

  一. Direct Access功能概述

  仅仅这一句话的描述,是否已经足够以让你热血沸腾?是的,不需要VPN了,不需要Token了,不需要SmartCard了,不需要漫长的VPN拨号等待了!内网外网之间的穿越变得如此之简单!Bill Gates说什么来着,information at your finger tip。

  这是一个大家企盼了很久的功能,这是一个让移动办公者手舞足蹈的功能。微软这个月公布了Direct Access的技术白皮书,让我们先睹为快,看看Direct Access到底是何方神圣,我们从中是否能够获得实实在在的好处。

  详解Direct Access连接

  Direct Access功能克服了VPN的很多局限性,它可以自动地在外网客户机和公司内网服务器之间连接双向的连接。Direct Access通过利用IP v6技术中的一些先进特性做到了这一点。Direct Access使用IPsec进行计算机之间的验证,这也允许了IT部门在用户登录之前进行计算机的管理。

  Direct Access工作时,客户机建立一个通向DirectAccess Server的IP v6隧道连接。这个IP v6的隧道连接,可以在普通的IP v4网络上工作,如下图所示。DirectAccess Server承担了网关的角色,连接内网和外网之间。(图1)
 

  更多详细功能概述请见:http://www.ixpub.net/viewthread.php?tid=1032668

  二. 环境描述

  在这个实验中,Direct Access部署需要以下条件:

  软件配置:

  " DC1:安装Windows server 2008 R2的域控制器,同时是DNS、DHCP、企业根角色。

  " DA1:安装有Windows server 2008 R2的成员服务器,同时是Direct Access服务器,并且具备两块网卡。

  " APP1:安装有Windows server 2008 R2的成员服务器,同时是应用程序服务器和网络本地服务器。

  " INET1:安装有Windows server 2008 R2的独立服务器,作为Internet DNS、web和DHCP服务器。

  " Client1:安装有Windows 7旗舰版,加入域,作为Direct Access客户端。

  网络配置:

  " DC1:10.0.0.1/24(CIDR表示法,同255.255.255.0)

  " DA1:Intranet网卡10.0.0.2/24   DNS后缀:contoso.com

  Internet网卡 131.107.0.2/24和131.107.0.3/24(DA服务器需要两个公网IP地址) DNS后缀:isp.example.com

  DNS记录中添加别名记录:crl.contoso.com

  注意:这里的DNS后缀必须设置,因为这是DA服务器配置的必须条件

  " APP1:10.0.0.3/24    DNS记录中添加别名记录:nls.contoso.com

  " INET1:131.107.0.1/24

  " Client1:131.107.0.10/24

  Direct Access 软件需求:

  " DA客户端:Windows 7企业版或旗舰版,Windows server 2008 R2或者更高。

  " DA 服务器:Windows server 2008 R2 或者更高,至少拥有两块网卡连接公网和内网。

  " Active Directory:至少有基于Windows server 2008或者Windows server 2008 R2 的DC,并为GC角色,启用IPv6.Windows server 2008 R2的域或林功能级别不是必须的。(图2)
 

  注意:此环境中所有服务器均使用Windows server 2008 R2企业版,客户端使用Windows 7旗舰版。

  三. 前期准备:服务器配置

  DC1配置

  1. 安装ADDS服务,使用DCPROMO命令创建域:contoso.com,并且林功能级Windows server 2008 R2。(图3)
 

  2. 设置DHCP中IPv4作用域范围:10.0.0.100/24---10.0.0.150/24  DNS指定10.0.0.1。

  3. 安装一个企业根证书颁发机构,配置选项默认即可。

  4. 为Direct Access Client电脑创建一个全局安全组,组名:DA_Clients(图4)
 

  5. 使用证书模板为web服务器定制证书。

  打开MMC控制台,在【添加删除管理单元】中添加【证书模板】(图5)
 

  选中【web服务器】,右击选择【复制模板】(图6)
 

  选择模板支持的版本(图7)
 

  定义新的证书名称为【Web Server 2008】(图8)
 

  在【安全】选项卡中,将【Authenticated Users】的权限设置为完全控制,并且添加域计算机组,同样设置成完全控制。(图9)
 

  在【请求处理】选项卡中,选中【允许导出私钥】(图10)
 

  确定后,打开证书颁发机构,在【contoso-DC1-CA】中,点击【证书模板】,新建一个证书模板,添加刚创建的【Web Server 2008】(图11)

 

  6. 在防火墙中启用ICMPv4和ICMPv6

  接下来需要启用高级安全的Windows防火墙中ICMPv4和ICMPv6的入站和出站的回显信息。这些信息被基于Teredo-based DirectAccess客户端收发使用。

  打开组策略管理器,新建一个名为【DA Policy】的GPO,编辑它,依次展开【计算机配置】-【策略】-【Windows 设置】-【安全设置】-【高级安全Windows防火墙】-【入站规则】。点击【新建规则】,选择【自定义】(图12、13)
 


  规则程序默认即可,在协议类型中,选择【ICMPv4】,点击【自定义】,选择【回显请求】(图14)
 

  确定后,【作用域、操作、配置】默认设置即可,输入规则名称:Inbound ICMPv4 Echo Requests,完成规则。

  ICMPv6入站规则设置同ICMPv4一致,唯一要注意的是协议类型处要选择【ICMPv6】。

  入站规则创建完成后,两种协议出站规则也与入站规则大同小异,需要注意的是【操作】设置中,出站规则默认是【阻止连接】状态,要改为【允许连接】状态。(图15)
 

  出站规则效果图(图16)
 

  7. 将ISATAP从DNS默认阻止列表中移除

  以管理员权限打开命令行,输入:dnscmd /config /globalqueryblocklist wpad 即可。(图17)
 

  小贴士:ISATAP和6to4都是目前比较流行的自动建立隧道的过渡技术,都可以连接被IPv4隔绝的IPv6孤岛,都是通过将IPv4地址嵌入到IPv6地址当中,并将IPv6封包封装在IPv4中传送,在主机相互通信中抽出IPv4地址建立tunnel。

 

  8. 配置CRL(Certificate Revocation List)发布设置

  打开【证书颁发机构】,点击【contoso-DC1-DA】服务器属性,在【扩展】选项卡中【CRL分发点(CDP)】,添加新的分发点,位置输入【http://crl.contoso.com/crld/】,变量分别添加【<CAName>】【<CRLNameSuffix>】【<DeltaCRLAllowed>】,结尾处添加【.crl】,确定即可。(图18)
 

  选中刚创建好的分发点,勾选【包括在CRL中。客户端用它来寻找增量CRL的位置】和【包含在颁发的证书的CDP扩展中】。(图19)
 

  再次点击【添加】,用来说明CRL的列表位置。【位置】输入【\\da1\crldist$\】此处为DA1中的隐藏共享文件夹,变量名依然勾选【<CAName>】【<CRLNameSuffix>】【<DeltaCRLAllowed>】,结尾处添加【.crl】。(图20)
 

  确定后,针对当前分发点勾选【发布CRL到此为止】和【发布增量CRL到此位置】(图21)
 

  此时,CRL扩展设定完成,确定后将会重启AD证书服务。

  小贴士:关于为什么要设置CRL分发点。

  DirectAccess 服务器为通过 IP-HTTPS 的连接使用的证书。由于 DirectAccess 客户端对 DirectAccess 服务器提交的 HTTPS 证书执行证书吊销检查,因此必须确保可通过 Internet 访问在此证书中配置的证书吊销列表 (CRL) 分发点。如果 DirectAccess 客户端无法访问这些 CRL 分发点,则基于 IP-HTTPS 的 DirectAccess 连接的身份验证会失败。有关为 Active Directory 证书服务 (AD CS) 配置 CRL 分发点的信息,请参阅"指定 CRL 分发点"(http://go.microsoft.com/fwlink/?LinkId=145848)。

  9. 启用自动注册计算机证书

  再次打开组策略编辑器,编辑【DA Policy】,依次展开【计算机配置】-【策略】-【Windows 设置】-【安全设置】-【公钥策略】-【自动证书申请设置】-右击【新建】-【自动证书申请】,证书模板选择【计算机】即可。(图22)
 

  至此,DC环境准备已经完成,下一篇,将继续介绍DA、网络位置服务器及客户端的环境准备,敬请关注。

 

0
相关文章