当前位置:网站首页 > Windows运维 > 正文

DirectAccess

作者:jinxijing发布时间:2019-04-15分类:Windows运维浏览:306


导读:DirectAccessDirectAccess称为直接访问,它是Windows7(企业版或者更高级版本)和WindowsServer2008R2中的一项新功能...

DirectAccess

Direct Access 称为直接访问,它是Windows 7(企业版或者更高级版本)Windows Server 2008 R2中的一项新功能。凭借这个功能,外网的用户可以在不需要建立VPN连接的情况下,高速、安全的从Internet直接访问公司防火墙之后的资源。

中文名

直接访问

外文名

DirectAccess

    

克服了VPN的很多局限性

    

提高移动员工生产力

基本信息

Direct Access功能克服了VPN的很多局限性,它可以自动地在外网客户机和公司内网服务器之间连接双向的连接。Direct Access通过利用IPv6技术的一些特性做到这点。Direct Access使用IPSec进行计算机之间的验证,这也允许了IT部门在用户登录之前进行计算机的管理。

Direct Access工作时,客户机建立一个通向DirectAccess 服务器的IPv6隧道连接。这个IPv6的隧道连接,可以在普通的IPv4网络上工作,如图所示。DirectAccess 服务器承担了网关的角色,连接内网和外网之间。

带来的好处

提高移动员工生产力 通过提供内部和外部办公同样的连接体验,DirectAccess 可以提高移动工作人员生产力。为用户提供了只要有互联网连接便可以访问内部网络资源的能力,无论是他在旅行、在咖啡厅还是在家。

远程用户更易于管理 如果没有DirectAccess,只有当用户连接到VPN或进入办公室,才能对移动计算机进行管理。通过DirectAccess,只要移动计算机有互联网连接就可以进行管理,即使用户没有登录。这允许对移动计算机进行定期管理,有助于确保移动用户保持最新的安全性和系统健康策略。DirectAccess 有助于企业对漫游在企业网络外的财产进行安全监督和数据保护

改进的安全性 直接访问使用IPSec进行认证和加密。您可以选择用智能卡(Smart Card)进行用户身份验证DirectAccess集成NAP,规定DirectAccess客户端 必须符合系统健康要求才能允许连接到DirectAccess服务器。 IT管理员可以配置DirectAccess服务器,限制用户和应用程序可以访问的服务器。

访问方式

从安全的角度来考虑,DirectAccess访问的内网资源是可控制的。有两种资源访问方式:

选择性服务服务器访问(Selected Server Access

顾名思义,就是有选择性的允许访问内网特定的服务器。这样做的优点是可以在DirectAccess服务器上配置访问规则进行安全控制,但是这种模式需要 被访问的服务器版本必须是Windows Server 20082008 R2,而且这些服务器需要同时支持IPv6IPsec协议。

完全企业网络访问(Full enterprise network access)

这种模式下,DirectAccess服务器把来自用户的请求以非IPSec的方式向内网的服务器转发。这种模式对内网的服务器要求不高,而且内网情况下的网络安全也可以得到有效的控制。这类似于ExchangeRPC over Http方式。

DirectAccess的连接建立过程

1. 运行Windows 7的客户端计算机首先检测到它所连接的网络;

2. DirectAccess服务尝试连接管理员所指定的一个内网资源,如果连接成功,则DirectAccess默认计算机已经处在内网的环境中,计算机会把DirectAccess服务关闭以节省系统资源;如果访问不到,DirectAccess服务继续工作;

3.客户端计算机接下来使用IPv6IPSec连接预先指定的DirectAccess服务器。如果计算机所处的不是IPv6网络,计算机建立一个IPv6-over-IPv4的隧道(使用6to4或者Intra-Site Automatic Tunnel AddressingProtocol ISATAP)。这些都是Windows 7在后台完成的,不需要用户的登陆和干预;

4. 如果防火墙不允许连接IPv6 6to4隧道,计算机使用HTTPS协议与DirectAccess服务器进行通讯(性能会有影响)

5. Windows 7客户端和DirectAccess服务器完成互相的身份验证(采用计算机证书实现)

6. DirectAccess服务器根据客户端在AD中的身份和当前登陆用户,决定是否允许访问。为了避免可能的DDOS攻击,这里微软采用了DSCPs技术(Differentiated Services Code Points)

7. 如果计算机启用了NAP检测,DirectAcces服务器转向NAP服务器完成客户机的安全检测。这也可以有效地避免客户机从外网联接带来的安全隐患和病毒;

8. 一切都完成后,DirectAccess服务器开始担当内外网信息传递的角色。

以上这些过程都是自动完成的,不需要用户的干预。

DirectAccess的软件需求

* 一台或多台运行Windows Server 2008 R2DirectAccess服务器,这些服务器需要两块网卡,分别连接内网和外网。

* 至少一台域控制器DNS服务器运行在Windows Server 2008Windows Server 2008 R2之上。一些高级的认证协议(two-factor authentication)需要R2AD DS支持。

* Public Key Infrastructure (PKI)以提供证书。

* IPSec

* DirectAccess服务器支持:ISATAPTeredo,和 6to4