Direct Access este o tehnologie de remote access proprietara Microsoft implementata prima oara in Windows Server 2008R2, insa nu este utilizata des datorita dificultatii de configurare in 2008R2, fiind necesar ca serverul de DirectAccess sa fie edge device si sa aiba doua ip-uri publice consecutive si IPv6 implementat in reteaua locala.

In Windows Server 2012 s-a modificat modul de implementare, si anume: trei tipologii de configurare, trei protocoale de conectare si posbilitatea de a configura DirectAccess fara a avea neaparat IPv6 in reteaua locala, desi conexiunea va functiona tot pe IPv6 prin protocoale de tranzitionare NAT64 si DNS64.

1 – Serverul DirectAccess este configurat ca si edge device cu doua interfete de retea (una externa si cealalta interna) si poate folosi toate cele trei protocoale de conectare:

– Teredo si 6to4, atunci cand serverul are pe interfata externa doua IP-uri publice consecutive. Pentru ca Teredo sa functioneze este necesar sa existe cele doua ip-uri consecutive iar in Windows Firewall sa se creeze o regula de Allow ICMP Echo Request pe toate echipamentele cu care se doreste ca clientii sa comunice (necesar neaparat pe interfata externa a serverului si pe Domain Controller).

Teredo se va folosi atunci cand clientul se afla in spatele unui router care foloseste NAT, iar 6to4 atunci cand clientul este direct conectat la internet avand ip public.

2 – Serverul DirectAccess este configurat in spatele unui device care foloseste NAT si are doua interfete, una aflandu-se in DMZ si una in reteaua interna, in cazul acesta se foloseste protocolul IP-HTTPS si trebuie forwardat portul 443 catre server.

3 – Serverul DirectAccess este configurat in spatele unui device care foloseste NAT si are o singura interfata de retea, si trebuie de asemenea forwardat portul 443 catre server si va folosi IP-HTTPS. Acesta este si demo-ul pe care il voi prezenta.

Pentru a beneficia de aceasta tehnologie clientii care se conecteaza trebuie sa aibe ca OS versiunea Enterprise de Windows 7, 8.1 sau 10 iar in reteaua interna trebuie sa existe un Domain Controller pentru ca la configurare se vor aplica GPO-uri pe client si pe server.

Lab-ul prezentat este configurat in VMware Workstation iar ca si client se va folosi Windows 10 Enterprise pe care il vom conecta fie la reteaua interna, fie la cea externa.

Mai jos se afla o diagrama a retelei configurate.

[mai mult...]