Steg 1 Konfigurera avancerad DirectAccess-infrastruktur

Det här avsnittet beskriver hur du konfigurerar infrastrukturen som krävs för en avancerad fjärråtkomstdistribution som använder en enda DirectAccess-server i en blandad IPv4- och IPv6-miljö. Innan du påbörjar distributionsstegen kontrollerar du att du har slutfört de planeringssteg som beskrivs i Planera en avancerad DirectAccess-distribution.

1.1 Konfigurera inställningar för servernätverk

Följande inställningar för nätverksgränssnittet krävs för en enskild serverdistribution i en miljö som använder IPv4 och IPv6. Alla IP-adresser konfigureras med hjälp av Ändra adapterinställningar i Windows Nätverk och Delningscenter.

Edge-topologi

• Två på varandra följande offentliga statiska IPv4- eller IPv6-adresser som är direkt anslutna till internet

  Note

  Två offentliga adresser krävs för Teredo. Om du inte använder Teredo kan du konfigurera en enda offentlig statisk IPv4-adress.

• En enda intern statisk IPv4- eller IPv6-adress

Bakom NAT-enhet (med två nätverkskort)

• En enda internetuppkopplad statisk IPv4- eller IPv6-adress

• En enda intern nätverksansluten statisk IPv4- eller IPv6-adress

Bakom NAT-enhet (med ett nätverkskort)

• En enda intern nätverksansluten statisk IPv4- eller IPv6-adress

1.2 Konfigurera tvingad tunneltrafik

Tvångstunnelering kan konfigureras via guiden för installation av fjärråtkomst. Den visas som en kryssruta i guiden Konfigurera fjärrklienter. Den här inställningen påverkar endast DirectAccess-klienter. Om VPN är aktiverat använder VPN-klienter som standard tvingad tunneltrafik. Administratörer kan ändra inställningen för VPN-klienter från klientprofilen.

Om du markerar kryssrutan för tvingad tunneltrafik gör du följande:

• Aktiverar tvingad tunneltrafik på DirectAccess-klienter

• Lägger till en alla-post i nrpt-tabellen (Name Resolution Policy Table) för DirectAccess-klienter, vilket innebär att all DNS-trafik går till det interna nätverkets DNS-servrar

• Konfigurerar DirectAccess-klienter att alltid använda IP-HTTPS övergångsteknik

Om du vill göra Internetresurser tillgängliga för DirectAccess-klienter som använder tvingad tunneltrafik kan du använda en proxyserver som kan ta emot IPv6-baserade begäranden för Internetresurser och översätta dem till begäranden om IPv4-baserade Internetresurser. Om du vill konfigurera en proxyserver för Internetresurser måste du ändra standardposten i NRPT för att lägga till proxyservern. Du kan göra detta med hjälp av PowerShell-cmdletar för fjärråtkomst eller DNS PowerShell-cmdletar. Använd till exempel PowerShell-cmdleten för fjärråtkomst på följande sätt:

Set-DAClientDNSConfiguration "DNSSuffix "." "ProxyServer <Name of the proxy server:port>

1.3 Konfigurera routning i företagsnätverket

Konfigurera routning i företagsnätverket på följande sätt:

• När ursprunglig IPv6 distribueras i organisationen, lägger du till en rutt så att routrarna i det interna nätverket dirigerar tillbaka IPv6-trafik genom DirectAccess-servern.

• Konfigurera organisationens IPv4- och IPv6-vägar manuellt på DirectAccess-servrarna. Lägg till en publicerad väg så att all trafik med ett IPv6-prefix för organisationen (/48) vidarebefordras till det interna nätverket. För IPv4-trafik lägger du till explicita vägar så att IPv4-trafik vidarebefordras till det interna nätverket.

1.4 Konfigurera brandväggar

När du använder ytterligare brandväggar i din utrullning tillämpar du följande brandväggsundantag för fjärråtkomsttrafik mot Internet när DirectAccess-servern befinner sig på IPv4 Internet.

• Teredo-trafik: User Datagram Protocol (UDP) destinationsport 3544 inkommande och UDP ursprungsport 3544 utgående.

• 6to4-trafik för "IP Protocol 41" inkommande och utgående.

• IP-HTTPS"Transmission Control Protocol (TCP) målport 443 och TCP-källport 443 utgående. När DirectAccess-servern har ett enda nätverkskort och nätverksplatsservern finns på DirectAccess-servern, krävs även TCP-port 62000.

  Note

  Det här undantaget måste konfigureras på DirectAccess-servern, medan alla andra undantag måste konfigureras i gränsbrandväggen.

När du använder ytterligare brandväggar, tillämpa följande brandväggsundantag som är vända mot Internet för fjärråtkomsttrafik när DirectAccess-servern finns på IPv6-nätverket.

• IP-protokoll 50

• UDP-målport 500 inkommande och UDP-källport 500 utgående.

• Internet Control Message Protocol (ICMPv6) för inkommande och utgående IPv6-trafik endast för Teredo-implementeringar.

När du använder ytterligare brandväggar ska du tillämpa följande undantag för interna nätverksbrandväggar för trafik avsedd för fjärråtkomst:

• ISATAP"Protokoll 41 inkommande och utgående

• TCP/UDP för all IPv4/IPv6-trafik

• ICMP för all IPv4/IPv6-trafik

1.5 Konfigurera certifikatutfärdare och certifikat

Med fjärråtkomst i Windows Server 2012 kan du välja mellan att använda certifikat för datorautentisering eller använda en inbyggd Kerberos-proxy som autentiserar med användarnamn och lösenord. Du måste också konfigurera ett IP-HTTPS certifikat på DirectAccess-servern.

Mer information finns i Active Directory Certificate Services.

1.5.1 Konfigurera IPsec-autentisering

Ett datorcertifikat krävs på DirectAccess-servern och på alla DirectAccess-klienter för att använda IPsec-autentisering. Certifikatet måste utfärdas av en intern certifikatutfärdare (CA) och DirectAccess-servrar och DirectAccess-klienter måste lita på CA-kedjan som utfärdar rotcertifikat och mellanliggande certifikat.

Konfigurera IPsec-autentisering

1. I den interna certifikatutfärdare bestämmer du om du ska använda mallen Datorcertifikat eller om du vill skapa en ny certifikatmall enligt beskrivningen i Skapa certifikatmallar.

   Note

   Om du skapar en ny mall måste den konfigureras för klientautentisering.

2. Distribuera certifikatmallen om det behövs. Mer information finns i Distribuera certifikatmallar.

3. Konfigurera certifikatmallen för automatisk registrering om det behövs. Mer information finns i Konfigurera automatisk registrering av certifikat.

1.5.2 Konfigurera certifikatmallar

När du använder en intern certifikatutfärdare för att utfärda certifikat måste du konfigurera en certifikatmall för IP-HTTPS-certifikatet och nätverksplatsserverns webbplatscertifikat.

Så här konfigurerar du en certifikatmall

1. I den interna certifikatutfärdare skapar du en certifikatmall enligt beskrivningen i Skapa certifikatmallar.

2. Distribuera certifikatmallen enligt beskrivningen i Distribuera certifikatmallar.

1.5.3 Konfigurera IP-HTTPS-certifikatet

Fjärråtkomst kräver ett IP-HTTPS certifikat för att autentisera IP-HTTPS anslutningar till DirectAccess-servern. Det finns tre certifikatalternativ som är tillgängliga för IP-HTTPS autentisering:

Offentligt certifikat

Ett offentligt certifikat tillhandahålls av en tredje part. Om certifikatets ämnesnamn inte innehåller jokertecken, ska det vara den externt resolvbara fullständigt kvalificerade domännamnets (FQDN) URL som endast används för anslutningar till DirectAccess-servern IP-HTTPS.

Privat certifikat

Om du använder ett privat certifikat krävs följande om de inte redan finns:

• Ett webbplatscertifikat som används för IP-HTTPS autentisering. Certifikatämnet ska vara ett externt matchbart FQDN som kan nås från Internet. Certifikatet baseras på certifikatmallen som du skapade genom att följa anvisningarna i 1.5.2 Konfigurera certifikatmallar.

• En distributionspunkt för återkallelse av certifikat (CRL) som kan nås från ett offentligt lösligt FQDN.

Självsignerat certifikat

Om du använder ett självsignerat certifikat krävs följande om de inte redan finns:

• Ett webbplatscertifikat som används för IP-HTTPS autentisering. Certifikatämnet ska vara ett externt matchbart FQDN som kan nås från Internet.

• En CRL-distributionsplats som kan nås från ett offentligt lösningsbart FQDN.

Kontrollera att webbplatscertifikatet som används för IP-HTTPS autentisering uppfyller följande krav:

• Certifikatets namn ska matcha namnet på IP-HTTPS-sidan.

• I fältet Ämne anger du FQDN för IP-HTTPS URL.

• I fältet Förbättrad nyckelanvändning använder du objektidentifieraren för serverautentisering (OID).

• För fältet CRL-distributionsplatser anger du en CRL-distributionsplats som är tillgänglig för DirectAccess-klienter som är anslutna till Internet.

• Det IP-HTTPS certifikatet måste ha en privat nyckel.

• Det IP-HTTPS-certifikatet måste importeras direkt till den personliga lagringsplatsen.

• IP-HTTPS certifikaten kan ha wildcardtecken i namnen.

Så här installerar du IP-HTTPS certifikatet från en intern certifikatutfärdare

1. På DirectAccess-servern: På startskärmen skriver dummc.exeoch trycker sedan på RETUR.

2. I MMC-konsolen går du till arkivmenyn och klickar på Lägg till/ta bort snapin-modul.

3. I dialogrutan Lägg till eller ta bort snapin-moduler klickar du på Certifikat, klickar på Lägg till, klickar på Datorkonto, klickar på Nästa, klickar på Lokal dator, klickar på Slutför och sedan på OK.

4. I konsolträdet för snapin-modulen Certifikat öppnar du Certifikat (lokal dator)\Personligt\Certifikat.

5. Högerklicka på Certifikat, peka på Alla uppgifter och klicka sedan på Begär nytt certifikat.

6. Klicka på Nästa två gånger.

7. På sidan Begär certifikat markerar du kryssrutan för certifikatmallen som du skapade tidigare (mer information finns i 1.5.2 Konfigurera certifikatmallar). Om det behövs klickar du på Mer information krävs för att registrera dig för det här certifikatet.

8. I dialogrutan Certifikategenskaper går du till fliken Ämne i området Ämnesnamn i Typ och väljer Gemensamt namn.

9. I Värde anger du IPv4-adressen för det externa motkopplade kortet för DirectAccess-servern eller FQDN för IP-HTTPS-URL:en och klickar sedan på Lägg till.

10. I området Alternativ namn går du till Typ och väljer DNS.

11. I Värde anger du IPv4-adressen för det externa motkopplade kortet för DirectAccess-servern eller FQDN för IP-HTTPS-URL:en och klickar sedan på Lägg till.

12. På fliken Allmänt i Eget namn kan du ange ett namn som hjälper dig att identifiera certifikatet.

13. På fliken Tillägg klickar du på pilen bredvid Utökad nyckelanvändning och kontrollerar att Serverautentisering visas i listan Valda alternativ .

14. Klicka på OK, klicka på Registrera och klicka sedan på Slutför.

15. I informationsfönstret i snapin-modulen Certifikat kontrollerar du att det nya certifikatet har registrerats med avsedd användning av serverautentisering.

1.6 Konfigurera DNS-servern

Du måste manuellt konfigurera en DNS-post för nätverksplatstjänstens webbplats för det interna nätverket i din distribution.

Så här skapar du nätverksplatsservern

1. På det interna nätverkets DNS-server: På startskärmen skriver dudnsmgmt.msc och trycker sedan på RETUR.

2. Expandera den framåtriktade uppslagszonen för din domän i den vänstra rutan i DNS Manager-konsolen . Högerklicka på domänen och klicka på Ny värd (A eller AAAA).

3. I dialogrutan Ny värd går du till rutan IP-adress :

   • I rutan Namn (använder det överordnade domännamnet om det är tomt) anger du DNS-namnet för nätverksplatsserverns webbplats (det här är det namn som DirectAccess-klienterna använder för att ansluta till nätverksplatsservern).

   • Ange IPv4- eller IPv6-adressen för nätverksplatsservern och klicka sedan på Lägg till värd och klicka sedan på OK.

4. I dialogrutan Ny värd :

   • I rutan Namn (använder överordnat domännamn om det är tomt) anger du DNS-namnet för webbavsökningen (namnet på standardwebbavsökningen är directaccess-webprobehost).

   • I rutan IP-adress anger du IPv4- eller IPv6-adressen för webbavsökningen och klickar sedan på Lägg till värd.

   • Upprepa den här processen för directaccess-corpconnectivityhost och eventuella manuellt skapade anslutningsverifierare.

5. I dialogrutan DNS klickar du på OK och sedan på Klar.

Windows PowerShell-motsvarande kommandon

Följande Windows PowerShell-cmdlet eller cmdletar utför samma funktion som föregående procedur. Ange varje cmdlet på en enda rad, även om de kan visas ordomslutna över flera rader här på grund av formateringsbegränsningar.

Add-DnsServerResourceRecordA -Name <network_location_server_name> -ZoneName <DNS_zone_name> -IPv4Address <network_location_server_IPv4_address>
Add-DnsServerResourceRecordAAAA -Name <network_location_server_name> -ZoneName <DNS_zone_name> -IPv6Address <network_location_server_IPv6_address>

Du måste också konfigurera DNS-poster för följande:

• IP-HTTPS-servern

  DirectAccess-klienter måste kunna matcha DNS-namnet på DirectAccess-servern från Internet.

• CRL-kontroll för återkallade certifikat

  DirectAccess använder certifikatåterkallningskontroll för IP-HTTPS-anslutningen mellan DirectAccess-klienter och DirectAccess-servern och för den HTTPS-baserade anslutningen mellan DirectAccess-klienten och nätverksplatsservern. I båda fallen måste DirectAccess-klienter kunna lösa och komma åt platsen för CRL-distributionsplatsen.

• ISATAP

  ISATAP (Intrasite Automatic Tunnel Addressing Protocol) använder tunneltrafik för att göra det möjligt för DirectAccess-klienter att ansluta till DirectAccess-servern via IPv4 Internet och kapsla in IPv6-paket i en IPv4-rubrik. Den används av fjärråtkomst för att tillhandahålla IPv6-anslutning till ISATAP-värdar i ett intranät. I en icke-intern IPv6-nätverksmiljö konfigurerar DirectAccess-servern sig själv automatiskt som en ISATAP-router. Lösningsstöd för ISATAP-namnet krävs.

1.7 Konfigurera Active Directory

DirectAccess-servern och alla DirectAccess-klientdatorer måste vara anslutna till en Active Directory-domän. DirectAccess-klientdatorer måste vara medlemmar i någon av följande domäntyper:

• Domäner som hör hemma i samma skog som DirectAccess-servern.

• Domäner som tillhör skogar med ett ömsesidigt förtroende med DirectAccess-serverns skog.

• Domäner som har ett dubbelriktat domänförtroende mot DirectAccess-serverdomänen.

Ansluta DirectAccess-servern till en domän

1. I Serverhanteraren klickar du på Lokal server. Klicka på länken bredvid Datornamn i informationsfönstret.

2. I dialogrutan Systemegenskaper klickar du på fliken Datornamn och sedan på Ändra.

3. I Datornamn anger du namnet på datorn om du också ändrar datornamnet när du ansluter servern till domänen. Under Medlem i klickar du på Domän och skriver sedan namnet på den domän som du vill ansluta till servern (till exempel corp.contoso.com) och klickar sedan på OK.

4. När du uppmanas att ange ett användarnamn och lösenord anger du användarnamnet och lösenordet för en användare med behörighet att ansluta datorer till domänen och klickar sedan på OK.

5. När du ser en dialogruta som välkomnar dig till domänen klickar du på OK.

6. När du uppmanas att starta om datorn klickar du på OK.

7. I dialogrutan Systemegenskaper klickar du på Stäng.

8. När du uppmanas att starta om datorn klickar du på Starta om nu.

Ansluta klientdatorer till domänen

1. På startskärmen skriver duexplorer.exeoch trycker sedan på RETUR.

2. Högerklicka på datorikonen och klicka sedan på Egenskaper.

3. På sidan System klickar du på Avancerade systeminställningar.

4. Klicka på Ändra på fliken Datornamn i dialogrutan Systemegenskaper.

5. I Datornamn skriver du namnet på datorn om du också ändrar datornamnet när du ansluter servern till domänen. Under Medlem i klickar du på Domän och skriver sedan namnet på den domän som du vill ansluta till servern (till exempel corp.contoso.com) och klickar sedan på OK.

6. När du uppmanas att ange ett användarnamn och lösenord anger du användarnamnet och lösenordet för en användare med behörighet att ansluta datorer till domänen och klickar sedan på OK.

7. När du ser en dialogruta som välkomnar dig till domänen klickar du på OK.

8. När du uppmanas att starta om datorn klickar du på OK.

9. I dialogrutan Systemegenskaper klickar du på Stäng.

10. När du uppmanas att starta om datorn klickar du på Starta om nu.

Windows PowerShell-motsvarande kommandon

Följande Windows PowerShell-cmdlet eller cmdletar utför samma funktion som föregående procedur. Ange varje cmdlet på en enda rad, även om de kan visas ordomslutna över flera rader här på grund av formateringsbegränsningar.

Add-Computer -DomainName <domain_name>
Restart-Computer

1.8 Konfigurera grupprincipobjekt

Minst två grupprincipobjekt krävs för att distribuera fjärråtkomst:

• En innehåller inställningar för DirectAccess-servern

• En innehåller inställningar för DirectAccess-klientdatorer

När du konfigurerar fjärråtkomst skapar guiden automatiskt de grupprincipobjekt som krävs. Men om din organisation tillämpar en namngivningskonvention kan du skriva ett namn i GPO-dialogrutan i konsolen för hantering av fjärråtkomst. Mer information finns i 2.7. Konfigurationssammanfattning och alternativa grupprincipobjekt. Om du har skapat behörigheter kommer gruppolicyobjektet att skapas. Om du inte har de behörigheter som krävs för att skapa GPO:n måste de skapas innan du konfigurerar fjärråtkomst.

Information om hur du skapar grupprincipobjekt finns i Skapa och redigera ett grupprincipobjekt.

1.8.1 Konfigurera GPO (grupprincipobjekt) för fjärråtkomst med begränsade behörigheter

Vid en utrullning som omfattar förberedande och produktions-GPO:n bör domänadministratören göra följande:

1. Hämta listan över obligatoriska Grupppolicyobjekt för fjärråtkomstimplementeringen från fjärråtkomstadministratören. Mer information finns i 1.8 Planera grupprincipobjekt.

2. För varje grupprincipobjekt som begärs av fjärråtkomstadministratören skapar du ett par grupprincipobjekt med olika namn. Den första används som mellanlagrings-GPO och den andra som GPO för produktion.

   Information om hur du skapar grupprincipobjekt finns i Skapa och redigera ett grupprincipobjekt.

3. För att länka produktions-GPO:er, se Länka ett grupprincipobjekt.

4. Ge fjärråtkomstadministratören behörighet att redigera inställningar, ta bort och ändra säkerhetsbehörigheter för alla staging-GPO:er. Mer information finns i Delegera behörigheter för en grupp eller användare i ett grupprincipobjekt.

5. Neka fjärråtkomstadministratören administratörsbehörighet att länka GPO:er i alla domäner (eller kontrollera att fjärråtkomstadministratören inte har sådana behörigheter). Mer information finns i Delegera behörigheter för att länka grupprincipobjekt.

När fjärråtkomstadministratörer konfigurerar fjärråtkomst bör de alltid endast ange staging-GPO:er (inte produkt-GPO:er). Detta gäller i den inledande konfigurationen av fjärråtkomst och när du utför ytterligare konfigurationsåtgärder där ytterligare grupprincipobjekt krävs. Till exempel när du lägger till startpunkter i en distribution på flera platser eller aktiverar klientdatorer i ytterligare domäner.

När fjärråtkomstadministratören har slutfört alla ändringar i konfigurationen för fjärråtkomst bör domänadministratören granska inställningarna i mellanlagrings-GRUP:er och använda följande procedur för att kopiera inställningarna till produktions-GRUP:er.

Kopiera inställningar till produktions-GPO:er

1. Kontrollera att alla staging-grupppolicyobjekt i fjärråtkomstdistributionen har replikerats till alla domänkontrollanter i domänen. Detta krävs för att säkerställa att den mest aktuella up-to-konfigurationen importeras till produktions-GPO:er. För mer information, se Kontrollera infrastrukturstatus för grupppolicy.

2. Exportera inställningarna genom att säkerhetskopiera alla staging-GPO:er i fjärråtkomstdistribution. Mer information finns i Säkerhetskopiera ett gruppolicyobjekt.

3. Ändra säkerhetsfiltren för varje produktionsgrupprincipobjekt så att de överensstämmer med säkerhetsfiltren för motsvarande mellanlagringsgrupprincipobjekt. Mer information finns i Filtrera med säkerhetsgrupper.

   Note

   Detta krävs eftersom importinställningarna inte kopierar säkerhetsfiltret för käll-grupprincipobjektet.

4. För varje produktions-GPO, importera inställningarna från säkerhetskopian av motsvarande mellanlagrings-GPO enligt följande:

   1. I konsolen Grupprinciphantering (GPMC) expanderar du noden Grupprincipobjekt i skogen och domänen som innehåller det grupprincipobjekt för produktion som inställningarna ska importeras till.

   2. Högerklicka på grupprincipobjektet och klicka på Importera inställningar.

   3. Klicka på Nästa på sidan Välkommen i guiden Importera inställningar.

   4. På sidan Säkerhetskopiering av grupprincipobjekt klickar du på Säkerhetskopiering.

   5. I dialogrutan Säkerhetskopiera grupprincipobjekt går du till rutan Plats och anger sökvägen till den plats där du vill lagra grupprincipobjektets säkerhetskopior eller klickar på Bläddra för att hitta mappen.

   6. I rutan Beskrivning skriver du en beskrivning för produktions-grupprincipobjektet och klickar sedan på Säkerhetskopiera.

   7. När säkerhetskopieringen är klar klickar du på OK och klickar sedan på Nästa på sidan Säkerhetskopierings-grupprincipobjekt.

   8. På sidan Säkerhetskopieringsplats i rutan Säkerhetskopieringsmapp anger du sökvägen till den plats där säkerhetskopieringen av motsvarande mellanlagrings-grupprincipobjekt lagrades i steg 2, eller klickar på Bläddra för att hitta mappen och klickar sedan på Nästa.

   9. På sidan Käll-grupprincipobjekt markerar du kryssrutan Visa endast den senaste versionen av varje grupprincipobjekt för att dölja äldre säkerhetskopior och väljer motsvarande mellanlagrings-grupprincipobjekt. Klicka på Visa inställningar för att granska inställningarna för fjärråtkomst innan du tillämpar dem på produktionsgrupprincipobjektet och klicka sedan på Nästa.

   10. På sidan Genomsökningssäkerhetskopiering klickar du på Nästa och sedan på Slutför.

Windows PowerShell-motsvarande kommandon

Följande Windows PowerShell-cmdlet eller cmdletar utför samma funktion som föregående procedur. Ange varje cmdlet på en enda rad, även om de kan visas ordomslutna över flera rader här på grund av formateringsbegränsningar.

• Så här säkerhetskopierar du stagingklientens GPO "DirectAccess Client Settings - Staging" i domänen "corp.contoso.com" till säkerhetskopieringsmappen "C:\Backups":

  $backup = Backup-GPO "Name 'DirectAccess Client Settings - Staging' "Domain 'corp.contoso.com' "Path 'C:\Backups\'
  

• Om du vill se säkerhetsfiltreringen för stagingklientens GPO "DirectAccess-klientinställningar – mellanlagring" i domänen "corp.contoso.com":

  Get-GPPermission "Name 'DirectAccess Client Settings - Staging' "Domain 'corp.contoso.com' "All | ?{ $_.Permission "eq 'GpoApply'}
  

• Så här lägger du till säkerhetsgruppen "corp.contoso.com\DirectAccess-klienter" i säkerhetsfiltret för produktionsklientens grupprincipobjekt "DirectAccess Client Settings " Production" i domänen "corp.contoso.com":

  Set-GPPermission "Name 'DirectAccess Client Settings - Production' "Domain 'corp.contoso.com' "PermissionLevel GpoApply "TargetName 'corp.contoso.com\DirectAccess clients' "TargetType Group
  

• För att importera inställningar från säkerhetskopian till produktionsklientens GPO "DirectAccess Client Settings Production" i domänen "corp.contoso.com":

  Import-GPO "BackupId $backup.Id "Path $backup.BackupDirectory "TargetName 'DirectAccess Client Settings - Production' "Domain 'corp.contoso.com'
  

1.9 Konfigurera säkerhetsgrupper

DirectAccess-inställningarna som finns i klientdatorns grupprincipobjekt tillämpas endast på datorer som är medlemmar i de säkerhetsgrupper som du anger när du konfigurerar fjärråtkomst. Om du använder säkerhetsgrupper för att hantera dina programservrar skapar du dessutom en säkerhetsgrupp för dessa servrar.

Skapa en säkerhetsgrupp för DirectAccess-klienter

1. På startskärmen skriver dudsa.msc och trycker sedan på RETUR. I den vänstra rutan i Active Directory-konsolen Användare och datorer expanderar du domänen som ska innehålla säkerhetsgruppen, högerklickar på Användare, pekar på Ny och klickar sedan på Grupp.

2. I dialogrutan Nytt objekt – grupp under Gruppnamn anger du namnet på säkerhetsgruppen.

3. Under Gruppomfång klickar du på Global och under Grupptyp klickar du på Säkerhet och sedan på OK.

4. Dubbelklicka på säkerhetsgruppen DirectAccess-klientdatorer och klicka på fliken Medlemmar i dialogrutan Egenskaper.

5. På fliken Medlemmar klickar du på Lägg till.

6. I dialogrutan Välj användare, Kontakter, Datorer eller Tjänstkonton väljer du de klientdatorer som du vill aktivera för DirectAccess och klickar sedan på OK.

Windows PowerShell-motsvarande kommandon

Följande Windows PowerShell-cmdlet eller cmdletar utför samma funktion som föregående procedur. Ange varje cmdlet på en enda rad, även om de kan visas ordomslutna över flera rader här på grund av formateringsbegränsningar.

New-ADGroup -GroupScope global -Name <DirectAccess_clients_group_name>
Add-ADGroupMember -Identity DirectAccess_clients_group_name -Members <computer_name>

1.10 Konfigurera nätverksplatsservern

Nätverksplatsservern ska vara en server med hög tillgänglighet och den bör ha ett giltigt SSL-certifikat som är betrott av DirectAccess-klienterna. Det finns två certifikatalternativ för nätverksplatsservercertifikatet:

• Privat certifikat

  Det här certifikatet baseras på certifikatmallen som du skapade genom att följa anvisningarna i 1.5.2 Konfigurera certifikatmallar.

• Självsignerat certifikat

  Note

  Självsignerade certifikat kan inte användas i distributioner med flera platser.

Följande krävs för båda typerna av certifikat, om de inte redan finns:

• Ett webbplatscertifikat som används för nätverksplatsservern. Certifikatämnet ska vara URL:en för nätverksplatsservern.

• En CRL-distributionsplats som har hög tillgänglighet från det interna nätverket.

Så här installerar du nätverksplatsservercertifikatet från en intern certifikatutfärdare

1. På den server som ska vara värd för nätverksplatsserverns webbplats: På startskärmen skriver dummc.exeoch trycker sedan på RETUR.

2. I MMC-konsolen går du till arkivmenyn och klickar på Lägg till/ta bort snapin-modul.

3. I dialogrutan Lägg till eller ta bort snapin-moduler klickar du på Certifikat, klickar på Lägg till, klickar på Datorkonto, klickar på Nästa, klickar på Lokal dator, klickar på Slutför och sedan på OK.

4. I konsolträdet för snapin-modulen Certifikat öppnar du Certifikat (lokal dator)\Personligt\Certifikat.

5. Högerklicka på Certifikat, peka på Alla uppgifter och klicka sedan på Begär nytt certifikat.

6. Klicka på Nästa två gånger.

7. På sidan Begär certifikat markerar du kryssrutan för certifikatmallen som du skapade genom att följa anvisningarna i 1.5.2 Konfigurera certifikatmallar. Om det behövs klickar du på Mer information krävs för att registrera dig för det här certifikatet.

8. I dialogrutan Certifikategenskaper går du till fliken Ämne i området Ämnesnamn i Typ och väljer Gemensamt namn.

9. I Värde anger du FQDN för nätverksplatsserverns webbplats och klickar sedan på Lägg till.

10. I området Alternativ namn går du till Typ och väljer DNS.

11. I Värde anger du FQDN för nätverksplatsserverns webbplats och klickar sedan på Lägg till.

12. På fliken Allmänt i Eget namn kan du ange ett namn som hjälper dig att identifiera certifikatet.

13. Klicka på OK, klicka på Registrera och klicka sedan på Slutför.

14. I informationsfönstret i snapin-modulen Certifikat kontrollerar du att det nya certifikatet har registrerats med avsedd användning av serverautentisering.

Så här konfigurerar du nätverksplatsservern

1. Konfigurera en webbplats på en server med hög tillgänglighet. Webbplatsen kräver inget innehåll, men när du testar den kan du definiera en standardsida som ger ett meddelande när klienter ansluter.

   Note

   Det här steget krävs inte om nätverksplatsserverns webbplats finns på DirectAccess-servern.

2. Binda ett HTTPS-servercertifikat till webbplatsen. Certifikatets gemensamma namn ska matcha namnet på nätverksplatsserverplatsen. Se till att DirectAccess-klienterna litar på den utfärdande CA.

   Note

   Det här steget krävs inte om nätverksplatsserverns webbplats finns på DirectAccess-servern.

3. Konfigurera en CRL-plats som har hög tillgänglighet från det interna nätverket.

   CRL-distributionsplatser kan nås via:

   • Webbservrar med hjälp av en HTTP-baserad URL, till exempel: https://crl.corp.contoso.com/crld/corp-APP1-CA.crl

   • Filservrar som nås via en UNC-sökväg (Universal Naming Convention), till exempel \\crl.corp.contoso.com\crld\corp-APP1-CA.crl

   Om den interna CRL-distributionsplatsen endast kan nås via IPv6 måste du konfigurera en Windows-brandvägg med en säkerhetsregel för avancerad säkerhet för att undanta IPsec-skydd från IPv6-adressen för intranätet till IPv6-adresserna för crl-distributionsplatserna.

4. Kontrollera att DirectAccess-klienter i det interna nätverket kan matcha namnet på nätverksplatsservern. Kontrollera att namnet inte kan upplösas av DirectAccess-klienter på Internet.

Nästa steg

• Steg 2: Konfigurera Avancerade DirectAccess-servrar