WinR2之DA实战Word下载.docx
- 文档编号:16348143
- 上传时间:2022-11-23
- 格式:DOCX
- 页数:34
- 大小:2.90MB
WinR2之DA实战Word下载.docx
《WinR2之DA实战Word下载.docx》由会员分享,可在线阅读,更多相关《WinR2之DA实战Word下载.docx(34页珍藏版)》请在冰豆网上搜索。
二.环境描述
在这个实验中,DirectAccess部署需要以下条件:
软件配置:
"
DC1:
安装Windowsserver2008R2的域控制器,同时是DNS、DHCP、企业根角色。
DA1:
安装有Windowsserver2008R2的成员服务器,同时是DirectAccess服务器,并且具备两块网卡。
APP1:
安装有Windowsserver2008R2的成员服务器,同时是应用程序服务器和网络本地服务器。
INET1:
安装有Windowsserver2008R2的独立服务器,作为InternetDNS、web和DHCP服务器。
Client1:
安装有Windows7旗舰版,加入域,作为DirectAccess客户端。
网络配置:
10.0.0.1/24(CIDR表示法,同255.255.255.0)
Intranet网卡10.0.0.2/24DNS后缀:
Internet网卡131.107.0.2/24和131.107.0.3/24(DA服务器需要两个公网IP地址)DNS后缀:
DNS记录中添加别名记录:
注意:
这里的DNS后缀必须设置,因为这是DA服务器配置的必须条件
10.0.0.3/24DNS记录中添加别名记录:
131.107.0.1/24
131.107.0.10/24
DirectAccess软件需求:
DA客户端:
Windows7企业版或旗舰版,Windowsserver2008R2或者更高。
DA服务器:
Windowsserver2008R2或者更高,至少拥有两块网卡连接公网和内网。
ActiveDirectory:
至少有基于Windowsserver2008或者Windowsserver2008R2的DC,并为GC角色,启用IPv6.Windowsserver2008R2的域或林功能级别不是必须的。
此环境中所有服务器均使用Windowsserver2008R2企业版,客户端使用Windows7旗舰版。
(图2)
三.前期准备:
服务器配置
DC1配置
1.安装ADDS服务,使用DCPROMO命令创建域:
,并且林功能级Windowsserver2008R2。
(图3)
2.设置DHCP中IPv4作用域范围:
10.0.0.100/24---10.0.0.150/24DNS指定10.0.0.1。
3.安装一个企业根证书颁发机构,配置选项默认即可。
4.为DirectAccessClient电脑创建一个全局安全组,组名:
DA_Clients。
(图4)
5.使用证书模板为web服务器定制证书。
打开MMC控制台,在【添加删除管理单元】中添加【证书模板】
(图5)
选中【web服务器】,右击选择【复制模板】
(图6)
选择模板支持的版本(图7)
定义新的证书名称为【WebServer2008】
(图8)
在【安全】选项卡中,将【AuthenticatedUsers】的权限设置为完全控制,并且添加域计算机组,同样设置成完全控制。
(图9)
在【请求处理】选项卡中,选中【允许导出私钥】
(图10)
确定后,打开证书颁发机构,在【contoso-DC1-CA】中,点击【证书模板】,新建一个证书模板,添加刚创建的【WebServer2008】
(图11)
6.在防火墙中启用ICMPv4和ICMPv6
接下来需要启用高级安全的Windows防火墙中ICMPv4和ICMPv6的入站和出站的回显信息。
这些信息被基于Teredo-basedDirectAccess客户端收发使用。
打开组策略管理器,新建一个名为【DAPolicy】的GPO,编辑它,依次展开【计算机配置】-【策略】-【Windows设置】-【安全设置】-【高级安全Windows防火墙】-【入站规则】。
点击【新建规则】,选择【自定义】
(图12、13)
规则程序默认即可,在协议类型中,选择【ICMPv4】,点击【自定义】,选择【回显请求】
(图14)
确定后,【作用域、操作、配置】默认设置即可,输入规则名称:
InboundICMPv4EchoRequests,完成规则。
ICMPv6入站规则设置同ICMPv4一致,唯一要注意的是协议类型处要选择【ICMPv6】。
入站规则创建完成后,两种协议出站规则也与入站规则大同小异,需要注意的是【操作】设置中,出站规则默认是【阻止连接】状态,要改为【允许连接】状态。
(图15)
出站规则效果图(图16)
7.将ISATAP从DNS默认阻止列表中移除
以管理员权限打开命令行,输入:
dnscmd/config/globalqueryblocklistwpad即可。
(图17)
小贴士:
ISATAP和6to4都是目前比较流行的自动建立隧道的过渡技术,都可以连接被IPv4隔绝的IPv6孤岛,都是通过将IPv4地址嵌入到IPv6地址当中,并将IPv6封包封装在IPv4中传送,在主机相互通信中抽出IPv4地址建立tunnel。
8.配置CRL(CertificateRevocationList)发布设置
打开【证书颁发机构】,点击【contoso-DC1-DA】服务器属性,在【扩展】选项卡中【CRL分发点(CDP)】,添加新的分发点,位置输入【
选中刚创建好的分发点,勾选【包括在CRL中。
客户端用它来寻找增量CRL的位置】和【包含在颁发的证书的CDP扩展中】。
(图19)
再次点击【添加】,用来说明CRL的列表位置。
【位置】输入【\\da1\crldist$\】此处为DA1中的隐藏共享文件夹,变量名依然勾选【<
CAName>
】【<
CRLNameSuffix>
DeltaCRLAllowed>
】,结尾处添加【.crl】。
(图20)
确定后,针对当前分发点勾选【发布CRL到此为止】和【发布增量CRL到此位置】
(图21)
此时,CRL扩展设定完成,确定后将会重启AD证书服务。
关于为什么要设置CRL分发点。
DirectAccess服务器为通过IP-HTTPS的连接使用的证书。
由于DirectAccess客户端对DirectAccess服务器提交的HTTPS证书执行证书吊销检查,因此必须确保可通过Internet访问在此证书中配置的证书吊销列表(CRL)分发点。
如果DirectAccess客户端无法访问这些CRL分发点,则基于IP-HTTPS的DirectAccess连接的身份验证会失败。
有关为ActiveDirectory证书服务(ADCS)配置CRL分发点的信息,请参阅"
指定CRL分发点"
(
9.启用自动注册计算机证书
再次打开组策略编辑器,编辑【DAPolicy】,依次展开【计算机配置】-【策略】-【Windows设置】-【安全设置】-【公钥策略】-【自动证书申请设置】-右击【新建】-【自动证书申请】,证书模板选择【计算机】即可。
(图22)
至此,DC环境准备已经完成,下一篇,将继续介绍DA、网络位置服务器及客户端的环境准备。
服务器环境准备篇
在上篇文章中(点击),我们完成了DC环境准备的准备工作,本文将继续介绍DA、网络位置服务器及客户端的环境准备。
一、DA及其他服务器环境准备
DA1配置
1.安装IIS角色,作为一个简单的WEB服务器,设置默认即可。
2.为DA服务器申请一个web服务器证书。
在MMC中打开【证书】,证书管理选择【计算机帐户】-【本地计算机】-【证书】-【个人】-【申请新证书】,证书注册策略选择默认即可(图1)
在【请求证书】处,勾选【WebServer2008】并点击链接进行配置(图2)
在【使用者名称】-【类型】中选择【公用名】,值输入【】,点击添加。
在常规选项卡中可以输入一个友好名称:
IP-HTTPSCertificarte,确定即可,然后点击【注册】
证书注册成功后,可看到刚注册的证书类型属于【服务器身份验证】
3.创建CRL列表分发点
在IIS的默认网站中,创建一个名为【CRLD】的虚拟目录,物理路径指向本地硬盘的【CRLDist】目录(没有可自行创建)。
创建好虚拟目录,在右侧【管理】中找到【配置编辑器】,双击进入。
在【节】中依次选择【system.webServer\security\authentication\requestFiltering】,更改【allowDoubleEscaping】的值为【Ture】
(图7)
4.配置CRL分发点文件夹权限
打开本地硬盘中【CRLDist】文件夹属性,选择【共享】,点击【高级共享】,共享名改为【CRLDist$】,权限设置将DC1设置为完全控制。
5.发布CRL分发点
回到DC1的证书颁发机构中,选中【吊销的证书】,右击【所有任务】,选择【发布】,选择【新的CRL】确定即可。
如果之前设置不正确,此处会弹出相关错误提示。
APP1配置
1.安装IIS角色,默认设置即可。
2.申请一个web服务器证书,设置可参考DA1申请证书过程,有一点需要注意,证书申请时,使用者名称选择【公用名】,输入【】,备用名称选择【DNS】,输入【】.(图10)
3.启用IIS中的HTTPS安全绑定。
打开IIS管理器,选择【defaultwebsite】,在右侧【编辑网站】处,点选【绑定】
注释:
nls为APP1主机别名,在DNS中添加即可。
这里指NetworkLoactionServer,属于DA客户端访问的Intranet资源。
网站绑定类型为:
【HTTPS】,证书选择刚申请到的【】
(图12)
IP-HTTPS是Windows7和WindowsServer2008R2的一项新协议,该协议允许位于Web代理服务器或防火墙后面的主机通过在基于IPv4的安全超文本传输协议(HTTPS)会话内隧道传送IPv6数据包来建立连接。
通常,只有在客户端无法使用其他IPv6连接方法连接到DirectAccess服务器时才使用IP-HTTPS。
4.设置一个共享文件夹,放置一个测试文本,用来测试DirectAccessClient访问情况。
INIT1配置
1.安装IIS和DNS角色,设置默认即可。
2.在DNS中添加一个主要区域:
【】,将INET1主机添加进区域中。
(图13)
3.在DNS中再添加一个主要区域:
【】,设置为【允许安全和非安全的动态更新】,将DA1主机添加进区域当中。
4.安装DHCP角色,配置作用域【Internet】,范围:
131.107.0.100/24-131.107.0.150/24DNS为131.107.0.1,禁用Wins和DHCPv6服务。
Client1配置
1.将Client1加入域。
2.将Client1加入DA_Clients安全组中。
3.确认Client1已经正常自动注册计算机证书(图16)
4.使用Client1访问内网资源,测试连通性。
到现在为止,已经完成了对DA部署前的环境准备,下一篇中,我将描述关于DA服务器的相关设置。
服务器部署篇
继上一篇环境准备后(链接),本文开始来配置DA服务器,真正实现内网外网来去自如。
一、DirectAccess服务器设置
1.安装DirectAccess服务器功能
在【服务器管理器】工具中,添加功能,选择【DirectAccess管理控制台】,点击安装即可,同时被安装的还有【组策略管理】功能。
2.配置DirectAccess服务器
DA功能安装好后,打开【DirectAccess管理控制台】,点击【安装】,会在右侧出现安装程序向导(图1)
点击【配置】按钮,此处加入【DA_Clients】安全组,作为DA客户端访问组。
完成后来到步骤2,点击【配置】,在【DirectAccess连接性】中,只要前面的配置步骤没有问题,这里直接点击【下一步】即可。
要满足此处策略要求,需要几点:
①DA服务器需要有两个公网IP地址②DA服务器需要设置DNS后缀③DA服务器的Internet网卡不能和Intranet网卡同属一个区域网络,例如不能属于AD的网络。
在证书组件【远程客户端必须连接的根证书】中,选择域中的企业根【contoso-DC1-DA】
在【将用于HTTPS保护远程客户端连接的证书】中,选择先前申请的【IP-HTTPSCertificate】证书,选择完点击【完成】。
开始设定【步骤3】,这里开始要填写高可用度的网络位置服务器URL,输入【】并点击【验证】,来验证此URL的有效性。
在【DNS和域控制器】处,会自动生成DNS服务器相关信息,并且生成的IPv6地址【2002:
836b:
2:
1:
0:
5efe:
10.0.0.1】是由6to4网络前缀【2002:
:
/64】和ISATAP-based接口标识符【:
10.0.0.1】组成。
下一步的【管理】地址可空缺不填。
点击【完成】,即可完成步骤3的设置。
在接下来的【步骤4】中,只需要默认设置即可。
此时,已经完成对DA服务器本身的设定,可以点击【保存】并【完成】,DA服务器就开始应用此前的设置了。
应用过程中可以看到DA服务器更改了组策略对象。
3.更新成员服务器的IPv6设置
强制【APP1】【DC1】和【Client1】更新本机IPv6设置,以支持ISATAP。
在CMD输入【netstopiphlpsvc】和【netstartiphlpsvc】重启IPHLPSVC服务。
并且【Client1】需要强制刷新组策略,使用命令【GPupdate】
测试主机是否已经支持ISATAP,可先用命令【IPCONFIG/FLUSHDNS】清除DNS缓存,然后使用PING命令,输入【ping】,正常情况下,返回地址为【2002:
10.0.0.1】既是已经支持ISATAP。
二、DA客户端测试访问
1.更改【Client1】网络地址,将其网络转移到公网,模拟公网访问环境。
当给【Client1】配置了公网IP【131.107.0.10】之后,我们查看【Client1】的网络信息发现,在6to4隧道中,有这样一个IPv6地址信息【2002:
】这段地址对应的IPv4地址中的【131.107】,而6to4的默认网关地址【2002:
2】则对应的是【131.107.0.2】。
【Client1】就是使用6to4这个IPv6隧道与【DA1】进行通信的。
2.进行Internet和Intranet网络WEB访问测试
先打开【Client1】的IE浏览器,输入URL【】,如果可以正常打开,则Internet网络通信正常。
在打开一个新的IE浏览器,输入URL【】,来测试访问内网WEB服务器,如果也可以正常打开,这就说明我们的DirectAccess部署基本完成了。
3.Intranet共享文件夹访问测试
在【Client1】中直接访问【\\APP1\ShareForDAClient】。
至此,已经彻底完成了DirectAccess这项新特性的部署及测试,但这对于一些安全级别较高的企业来说是不够的,下篇,我将介绍如何使用NAP来加固企业环境,达成安全的DirectAccess访问。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- WinR2 DA 实战
![提示](https://static.bdocx.com/images/bang_tan.gif)