Direct Access技术之四:DA服务器的配置及客户端验证

下篇

前一篇我们构建了DA实验的基础环境,这一篇主要看下DA服务器的配置及客户端验证

DA服务器配置

首先看下CLIENT1在内网测试访问APP1服务器,结果如下:

Direct Access技术之四:DA服务器的配置及客户端验证_第1张图片

访问正常。

 

配置DA服务器

DA服务器-服务器管理器-工具-点击“远程访问”组件

运行开始向导

Direct Access技术之四:DA服务器的配置及客户端验证_第2张图片

选择“仅部署DirectAccess”

Direct Access技术之四:DA服务器的配置及客户端验证_第3张图片

网络拓扑选择“边缘”,向导自动检索远程访问服务器的公用名称,这里是“directaccess.sr.local”,下一步

Direct Access技术之四:DA服务器的配置及客户端验证_第4张图片

点击“此处”可做一些修改,这里先跳过,后续通过步骤1,2,3,4一起修改,直接完成。

Direct Access技术之四:DA服务器的配置及客户端验证_第5张图片

配置成功,但提示有警告。

Direct Access技术之四:DA服务器的配置及客户端验证_第6张图片

接下来,我们需要做一些设置

点击步骤1-编辑

Direct Access技术之四:DA服务器的配置及客户端验证_第7张图片

选择部署方案,默认,下一步

Direct Access技术之四:DA服务器的配置及客户端验证_第8张图片

选择组,这里删除默认的组“Domain Computers“,添加之前创建的安全组”da-clients”

Direct Access技术之四:DA服务器的配置及客户端验证_第9张图片

取消勾选”仅为移动计算机启用direct access“设置.下一步

Direct Access技术之四:DA服务器的配置及客户端验证_第10张图片

确认NCA资源URL及DA连接名称,完成。

Direct Access技术之四:DA服务器的配置及客户端验证_第11张图片

切换到步骤2编辑

Direct Access技术之四:DA服务器的配置及客户端验证_第12张图片

确认网络拓扑及DA对外访问名称

Direct Access技术之四:DA服务器的配置及客户端验证_第13张图片

确认网络适配器信息,并选择用于IP-HTTPS连接的证书

Direct Access技术之四:DA服务器的配置及客户端验证_第14张图片

身份验证页面,勾选“使用计算机证书“,浏览选择企业CA的根证书,完成。

Direct Access技术之四:DA服务器的配置及客户端验证_第15张图片

切换到步骤3-编辑

Direct Access技术之四:DA服务器的配置及客户端验证_第16张图片

网络位置服务器页面,设置NLS服务器的URL,并点击验证通过。这里是https://2012r2-a.sr.local,也可以在DNS设置别名nls指向2012r2-a主机记录,下一步

Direct Access技术之四:DA服务器的配置及客户端验证_第17张图片

确认DNS后缀及内部DNS服务器IPV6地址

Direct Access技术之四:DA服务器的配置及客户端验证_第18张图片

DNS后缀搜索列表,默认设置,下一步

Direct Access技术之四:DA服务器的配置及客户端验证_第19张图片

设置管理服务器IP地址,这里无。

Direct Access技术之四:DA服务器的配置及客户端验证_第20张图片

点击完成,使更改生效。

Direct Access技术之四:DA服务器的配置及客户端验证_第21张图片

成功应用配置。

Direct Access技术之四:DA服务器的配置及客户端验证_第22张图片

仪表板查看DA各组件操作状态及配置状态。

Direct Access技术之四:DA服务器的配置及客户端验证_第23张图片

域中新增2条GPO:DA服务器设置,DA客户端设置

Direct Access技术之四:DA服务器的配置及客户端验证_第24张图片

Client 1强制更新策略

查看DA连接状态,显示为ConnectedLocally.

Direct Access技术之四:DA服务器的配置及客户端验证_第25张图片

Direct Access技术之四:DA服务器的配置及客户端验证_第26张图片

将客户端CLIENT1移至Internet网络

 

查看DA连接状态,显示为ConnectedRemotely.

Direct Access技术之四:DA服务器的配置及客户端验证_第27张图片

查看客户端IP地址

Direct Access技术之四:DA服务器的配置及客户端验证_第28张图片

测试与企业内部服务器网络连通性

Direct Access技术之四:DA服务器的配置及客户端验证_第29张图片

Client1测试访问内网文件服务器和web服务器

Direct Access技术之四:DA服务器的配置及客户端验证_第30张图片

 

客户端其它诊断命令:

Get-NCSIPolicyConfiguration

Direct Access技术之四:DA服务器的配置及客户端验证_第31张图片

Get-DnsClientNrptPolicy

Direct Access技术之四:DA服务器的配置及客户端验证_第32张图片

Get-NetIphttpsConfiguration

Direct Access技术之四:DA服务器的配置及客户端验证_第33张图片

Netsh int 6to4 show state

Direct Access技术之四:DA服务器的配置及客户端验证_第34张图片

远程客户端状态

Direct Access技术之四:DA服务器的配置及客户端验证_第35张图片

DA配置的注意事项:

  • 域中计算机的Windows防火墙必须被启用,以便阻止默认配置文件中允许和阻止项, 因为禁用Windows防火墙服务也会禁用Ipsec

  • 如果你想使客户通过使用Teredo的连接,DirectAccess服务器外部物理接口上必须具有配置两个连续的公用IPv4地址,并且DA服务器不能在NAT设备后面。这是对于一个Teredo客户端NAT检测的要求;

  • 如果DirectAccess服务器位于NAT设备之后或只有一个网络接口,只能使用IP-HTTPS方式来部署用于客户端连接。

  • 验证PKI基础设施和服务器证书。企业内部有CA架构或企业使用公共CA颁发的证书,域计算机配置自动申请证书,DA服务器除自动申请的一张计算机证书外,还要单独申请一张用于IP-HTTPS连接的计算机证书(证书公用名和访问名称要一致),如果是企业CA,最好还需设置CRL证书吊销列表并对外发布

  • 检查DirectAccess客户端安全组的成员在远程访问设置向导的第1步

  • DA连接的防火墙端口例外设置Firewall exceptions


更多(排错部分在文档结尾)

你可能感兴趣的:(Access,IPSec,Direct)