Document 5026883

DirectAccess - безопасный
прозрачный доступ к
корпоративной сети
Бешков Андрей
Шаповал Александр
Синицын Артем
Microsoft Платформа 2010
http://msplatforma.ru
DirectAccess
При подключении удаленного пользователя к сети
Интернет
Пользователь подключается к корпоративной сети
Получает доступ к необходимым внутренним ресурсам
Компьютер пользователя доступен из корпоративной сети
Возможно управление, применение обновлений и пр.
От пользователя не требуются никакие
дополнительные шаги
При традиционном VPN необходимо вручную установить
соединение
Пользователь по-прежнему работает с локальными
ресурсами
Доступ к корпоративной сети и локальным или Интернетресурсам осуществляется по разным маршрутам
Возможна маршрутизация всего трафика через DirectAccess
Microsoft Платформа 2010
http://msplatforma.ru
Потоки данных
Интранет
Интернет
Клиент
DirectAccess
Сервер
DirectAccess
Корпоративные
ресурсы
Внутренний трафик
Интернет
сервера
Microsoft Платформа 2010
Интернет трафик
http://msplatforma.ru
Преимущества DirectAccess
Постоянный доступ к корпоративной сети
Прозрачный доступ к корпоративной сети
Двустороннее взаимодействие
Повышенная безопасность
Интегрированное решение
Microsoft Платформа 2010
http://msplatforma.ru
Технологический фундамент
Разрешение имен:
DNS и NRPT
Защита данных: IPsec
Коммуникации: IPv6
Microsoft Платформа 2010
http://msplatforma.ru
Коммуникации: IPv6
IPv6: варианты
DirectAccess требует
IPv6
Если IPv6 не доступен,
DA-клиенты используют
транзитные технологии
IPv6
В корпоративной сети
могут использоваться:
IPv6
Транзитные
технологии IPv6
NAT-PT
Наилучший вариант для
DirectAccess – применение IPv6 в
корпоративной сети
Intranet
Internet
NAT-PT
Встроенный IPv6
Транзитные технологии IPv6
IPv4
Microsoft Платформа 2010
http://msplatforma.ru
Почему IPv6?
Практически неограниченное адресное пространство
Разделяемый туннель (Split Tunnel)
Механизм, при котором компьютер подключен к одной сети
напрямую, к другой через туннель
Сложности в настройках в сетях IPv4, где часто применяются
одинаковые адреса в разных подсетях
Дополнительные усилия по обеспечению безопасности
Безопасность «точка-точка»
NAT создает препятствия для обеспечения безопасности
«точка-точка»
IPv6 не требует NAT
Microsoft Платформа 2010
http://msplatforma.ru
Защита данных: IPsec
IPsec тесно интегрирован с IPv6 и позволяет создавать
правила, определяющие, как и когда шифровать трафик
 End
to edge
 End to end
 End
to edge
 End to end
Microsoft Платформа 2010
http://msplatforma.ru
Разрешение имен: DNS и NRPT
Соединение
DirectAccess
Соединение
Internet
Клиенты DirectAccess применяют более
«интеллектуальную» маршрутизацию
При разрешении имен используется таблица
политики разрешения имен (Name Resolution
Policy Table)
DNS-сервер может быть задан для
пространства имен, не только для интерфейса
Microsoft Платформа 2010
http://msplatforma.ru
Внешние коммуникации
IP-адрес,
полученный
от ISP:
Адрес IPv6
для
DirectAccess
Private
IPv4
IPv6
Public
IPv4
6to4
Teredo
IPv6
Встроенный IPv6
Внешний IPv4-адрес
использует 6to4 для
передачи IPv6 внутри
протокола IPv4 (IP 41)
Частный IPv4-адрес
использует Teredo для
передачи IPv6 внутри
IPv4 UDP (UDP 3544)
Клиент
DirectAccess
IPv6
6to4
Teredo
IP-HTTPS
Если нет доступа к
серверу DirectAccess,
используется IP-HTTPS
(TCP 443)
Microsoft Платформа 2010
http://msplatforma.ru
Внутренние коммуникации
IPv6: варианты
Полная поддержка IPv6
На серверах любая ОС с
поддержкой IPv6
Требуется сетевая
инфраструктура IPv6
Лучший вариант в
перспективе
Наилучший вариант для
DirectAccess – применение IPv6 в
корпоративной сети
Интернет
ISATAP
Интранет
IPv6 внутри IPv4
Серверы Windows Server
2008 или 2008 R2
Не требуется замена
маршрутизаторов
NAT-PT
NAT-PT
Трансляция IPv6 в IPv4
Любая ОС на серверах
Встроен в UAG
Встроенный IPv6
Транзитные технологии IPv6
IPv4
Microsoft Платформа 2010
http://msplatforma.ru
Архитектура Forefront UAG + DA
Корпоративная сеть
Exchange
CRM
SharePoint
IIS based
IBM, SAP, Oracle
Мобильные
устройства
Интернеткиоски
Layer3 VPN
Internet
HTTPS (443)
Terminal /
Remote Desktop
Services
DirectAccess
Не-web
Бизнес-партнеры
AD, ADFS,
RADIUS, LDAP….
NPS, ILM
Мобильные сотрудники
Microsoft Платформа 2010
http://msplatforma.ru
Forefront UAG и DirectAccess
Доступ к серверам с поддержкой только IPv4
Доступ для старых версий и не-Windows платформ
Масштабируемость и утравляемость
Простота внедрения и администрирования
Надежная защита периметра
Всегда включен
IPv6
IPv6
IPv4
IPv6
или
IPv4
Microsoft Платформа 2010
http://msplatforma.ru
Внешний IPsec
IP-HTTPS
Шифрование IPsec+ESP
Microsoft Платформа 2010
http://msplatforma.ru
Внутренний IPsec
Без IPsec
Аутентификация
IPsec
Шифрование
IPsec
Microsoft Платформа 2010
http://msplatforma.ru
Установка туннеля
Туннель1: инфраструктурный
Аутентификация: сертификат
компьютера
Доступ: AD/DNS/Управление
Туннель 2: прикладной
Аутентификация: сертификат
компьютера + пользователь (Kerberos
или сертификат)
Доступ: все
Microsoft Платформа 2010
http://msplatforma.ru
Модели доступа
Полный доступ к интранет (end-to-edge)
Шифрованный трафик от DA-клиента до DA-сервера, во
внутренней сети IPsec не используется
На внутренних серверах приложений может использоваться
любая ОС
Доступ к определенным серверам (modified end-toedge)
Шифрованный трафик от DA-клиента до DA-сервера, во
внутренней сети используется аутентификация (ESP+NULL
или AH) на выбранных серверах
Клиент может быть уверен, что подключается именно к
выбранному серверу
Сквозной (end-to-end)
Туннель IPsec устанавливается от DA-клиента через DAсервер до сервера приложений
Microsoft Платформа 2010
http://msplatforma.ru
NRPT
Поддерживается в Windows 7 и Windows
Server 2008 R2
Задает DNS-серверы для пространства имен
Позволяет разделить внутренний и внешний
трафики
Если DA-клиент определяет, что находится за
пределами интранета, он использует NRPT
Exemption Policy
Содержит имена, которые всегда должны
разрешаться через внешние DNS-серверы
При обработке таких имен DA-клиент игнорирует
внутренние DNS-серверы
Microsoft Платформа 2010
http://msplatforma.ru
Настройка NRPT
Настраивается через групповую политику
Computer Configuration | Policies | Windows
Settings |Name Resolution Policy
Можно просмотреть с помощью Netsh
Netsh name show policy
Microsoft Платформа 2010
http://msplatforma.ru
Определение местоположения
Для определения местоположения DA-клиента
(в Интернете или в корпоративной сети) при
настройке DirectAccess необходимо задать
несколько параметров:
Имя DNS для интранет-ресурсов
IP-адрес, в который должно разрешаться это имя
IPv6-префикс для интранет-сети
HTTPS-URL для некоторого веб-сервера
Microsoft Платформа 2010
http://msplatforma.ru
Определение местоположения
При подключении к сети для определения
местоположения DA-клиент:
Выполняет инициирующий DNS-тест
Пытается разрешить пробное имя и сравнить с заданным
пробным адресом
Использует Site Prefix List
Пытается подключиться к веб-серверу по
заданному HTTPS-URL
Microsoft Платформа 2010
http://msplatforma.ru
Требования к инфраструктуре
Сервер DirectAccess
Windows Server 2008 R2
Член домена Active Directory
Как минимум два физических сетевых адаптера
Как минимум два публичных адреса IPv4
Возможно развертывание нескольких серверов для
обеспечения масштабируемости
Клиент DirectAccess
Windows 7 Ultimate или Enterprise
Член домена Active Directory
Microsoft Платформа 2010
http://msplatforma.ru
Требования к инфраструктуре
Active Directory
Как минимум один домен
Group Policy
Для централизованного управления
Контроллер домена
Как минимум один DC с Windows Server 2008 или выше
Public key infrastructure (PKI)
Для выдачи компьютерных сертификатов
CRL должен быть доступен извне
Политики IPsec
Часть Windows Firewall with Advanced Security
Транзитные технологии IPv6
ISATAP, Teredo, 6to4
Microsoft Платформа 2010
http://msplatforma.ru
Исключения Firewall
Внешний интерфейс
Name
Teredo
6to4
IP-HTTPS
Native IPv6
UDP 3544
X
N/A
N/A
N/A
Protocol 41
N/A
X
N/A
N/A
TCP 443
N/A
N/A
X
N/A
ICMPv6
N/A
N/A
N/A
X
Protocol 50
N/A
N/A
N/A
X
UDP 500
IKE/AuthIP
X
X
N/A
X
Microsoft Платформа 2010
http://msplatforma.ru
Исключения Firewall
Интранет
Name
Native IPv6
IPv4 + NAT-PT
TCP
X
X
UDP
X
X
ICMPV6
X
All IPv6 connectivity
X
UDP 500 IKE/AuthIP
X
Protocol 41
ISATAP
X
Microsoft Платформа 2010
X
http://msplatforma.ru
Настройка DirectAccess
Демонстрация
Бешков Андрей
Эксперт
Microsoft
Microsoft Платформа 2010
http://msplatforma.ru
Итоги
DirectAccess обеспечивает прозрачный
доступ к корпоративным ресурсам вне
зависимости от местонахождения клиента
DirectAccess позволяет управлять
удаленными клиентами вне зависимости от
их расположения
DirectAccess повышает уровень
безопасности удаленных клиентов
Microsoft Платформа 2010
http://msplatforma.ru
Ресурсы
Мой блог:
http://blogs.technet.com/abeshkov
Раздел TechNet, посвященный
DirectAccess:
http://www.directaccess.com
Русскоязычный раздел сайта Microsoft по
Windows Server:
http://www.microsoft.com/rus/windowsserve
r
Портал TechDays:
http://www.techdays.ru
Microsoft Платформа 2010
http://msplatforma.ru