实验拓扑

 

 

部署概览

域控制器

主机名:WIN2K8-2 IP地址:192.168.0.62/24 网关:192.168.0.1

安装域服务角色--IIS角色--证书服务器角色

配置CRL(Certificate Revocation List证书吊销列表)--新建NLS服务器A记录--配置域策略--新建证书模板--建立DA客户端安全组

APP服务器

主机名:WIN2K8-3 IP地址:192.168.0.63/24 网关:192.168.0.1

安装IIS--勾选“IP和域限制”

DA服务器

主机名:WIN2K12-5 IP地址:LAN 192.168.0.75/24 网关:192.168.0.1 WAN 172.16.1.1/16 网关:172.16.1.254

刷新策略--安装DirectAccess角色--申请DA服务器证书--运行设置向导配置服务器

客户端

刷新策略--新建Hosts记录--移到外网测试

 

配置APP服务器

在APP服务器WIN2K8-3上打开服务器管理控制台,安装IIS角色,并选上“IP和域限制”功能(该功能是提供NLS服务的功能 我们这个环境中,是用APP这一台作为NLS服务器)

在运行中,输入mmc打开控制台管理器,在文件菜单中选“添加/删除管理单元”双击“证书”选择“计算机账户”,然后下一步 完成 确定~~~

点“注册此证书需要详细信息。。”设置 公用名及DNS名同为nls.corp.com,然后点添加  确定

点注册,等待注册成功后点完成即可

点添加 将证书nls.corp.com绑定到所有本机IP的443端口   确定。

到这里 APP服务器+NLS服务器就配置好了,接下来配置DA服务器。如果生产环境中NLS服务器在其他的服务器上,则按你的需要申请和绑定相应的证书即可。

 

 

配置DA服务器

在DA服务器WIN2K12-5上打开服务器管理器添加DirectAccess角色

勾选远程访问角色,点添加功能 下一步

保持默认,然后下一步

角色添加完之后,我们为DA申请证书,用来建立隧道时通信加密

在运行中,输入mmc打开控制台管理器,在文件菜单中选“添加/删除管理单元”双击“证书”选择计算机账户,然后下一步  完成  确定~~~

点进去配置证书属性

配置公用名、DNS名同为da.examole.com 然后点添加

然后点注册,等待注册成功即可

检查刚才申请到的证书,发现CRL已经可以看到了

有了证书后,就把证书绑定到IIS网站上

万事具备,打开DirectAccess控制台运行配置向导

×××就不配了 DA就是用来取代它的

这里总共有四步,一步步来就可以了,点步骤1的配置

按默认的点下一步,选择这一项可以支持更多的功能,比如NAP。

将之前我们新建的安全组加入进来,作为DA客户端组,此时我们还没在组中加入任何计算机

这里我改了DirectAccess连接名称

点步骤2的配置,这里默认服务器会选上“位于边缘设备之后”。公用名称填刚才申请的证书公用名da.example.com,这个地址是需要在外网能解析的,并且是和我们申请的证书是同样的名字。

这里默认就可以了  下一步

这里选择我们CA服务器的根证书作为中间证书,来验证通信加密证书,这里要记得勾上“使Windows 7客户端计算机能够通过DirectAccess进行连接”,否则Windows 7 则无法正常通过DA服务器访问内网!

现在进入第三步的配置(注:这里要注册的是这个URL必须是https开头,并且NLS服务器上的证书公用名要和这里是一样的不能错)   然后下一步

这里保持默认即可,但是如果公网的域名和内网的域名一样,都是用的corp.com,那么就要把DA服务器的FQDN添加到这里。意思是说这个FQDN不用内网的DNS服务器解析,因为DA的客户端策略中会告诉客户端内网的域名是什么,例如NLS服务器是不应该能让外网的客户端访问的,不然会导致客户端判断网络失误从而连接不上DA服务器。我这里把它DA也加到列表了,不然会在后面应用配置的时候有个警告。  下一步

这里实现一个功能,允许外网客户端通过短名称也就是主机名来访问内网服务器。并且还支持多个域! 只要把相应的DNS后缀添加进来即可!  “管理”  让它默认不配置   下一步    完成

第四步配置是访问控制以及是否加密的配置,这里就不动它算了   默认可以访问所有内网资源并且不加密  点完成

点左下角的“完成”按钮生成配置汇总

点应用开始应用配置~~   很顺利~   一次就过~警告都没~

打开远程访问管理控制台,看到这里状态不可用,这个没关系,它还没来的及刷新状态。服务器活动状态的刷新间隔为300秒,客户端活动状态刷新间隔是60秒。。  这么时间确实是很烦人。。

等了老半天之后 终于全绿了~  胜利在望!

今天先到这里吧~  时候不早了,明天再测试客户端吧!