自己紹介 知北直宏 ( ちきたなおひろ アイティデザイン株式会社代表取締役社長 九州発 ITPro 系コミュニティ Win.tech.q 代表 福岡で ITPro やってます Active Directory Hyper-V Exchange System

Transcription

1 Windows Server 2012 DirectAccess で実現する Work Anywhere シナリオ アイティデザイン株式会社 知北直宏 (Naohiro Chikita) Microsoft MVP - Directory Services

2 自己紹介 知北直宏 ( ちきたなおひろ アイティデザイン株式会社代表取締役社長 九州発 ITPro 系コミュニティ Win.tech.q 代表 福岡で ITPro やってます Active Directory Hyper-V Exchange System Center その他いろいろの提案 設計 構築 サポートまでなんでも 大手 地場インテグレーターさんの後方支援など Microsoft MVP(Directory Services) MCT MCSE MCITP とかいろいろ 標準テキスト Windows Server 2008 R2 構築 運用 管理パー フェクトガイド という本を書きました 御礼 2012 年 10 月に第 8 版発売 通算 部発行 2

3 アジェンダ DirectAccess ベーシック編 ~ これを聞いたら 明日から DirectAccess が使いたくなる! ~ DirectAccess アドバンス編 ~ DirectAccess を本格的に使うときに必要な知識やテクノロジーを解説 ~ まとめ 3

4 おことわり DirectAccess は Windows Server 2012 と Windows 8 を組 み合わせた構成を中心にお話しします ( クライアントが Windows 7 のときは少し事情が異なります ) 4

5 DirectAccess ベーシック 編 5

6 DirectAccess ベーシック 編 DirectAccessとは? DirectAccessの新機能 DirectAccessのセットアップ DirectAccessの利用 DirectAccessの管理 6

7 DirectAccess とは? インターネット接続を使って社内ネットワークに安全にアクセスする仕組みです IPv6 と IPsec をベースとしたテクノロジーです DirectAccess によってネットワークを社外にまで 拡張 することができます Windows Server 2008 R2 / Windows 7 で実装されました 社内にいても 社外にいても 同様に社内リソースにアクセスして仕事ができます DirectAccess クライアント DirectAccess サーバー ドメインコントローラー IPv6 + IPsec テクノロジー 各種社内サーバー 7

8 VPN との違い DirectAccess は VPN( 仮想プライベートネットワーク ) と用途や目的は似 ていますが 次のような違いがあります クライアントの設定が簡単です ( グループポリシーベースの設定 ) インターネットに接続するだけで 自動で社内ネットワークに接続します ( ログオンしていない状態でも接続できます ) さまざまな方法で接続しようとします (PPTP/L2TP のような 出張先のホテルから繋がらなかった ということがありません ) 8

9 これまでの DirectAccess は Windows Server 2008 R2 から実装された DirectAccess ですが 次の ようにいろいろと敷居が高かったです 展開が難しかった (IPv6 や PKI とか いろいろと難しいテクノロジーを理解しないと展開困難 ) パブリックな IPv4 アドレスが 2 つも必要だった (Teredo のため ) 社内の IPv4 機器にアクセスするには追加のシステムが必要だった 他にもいろいろな制約あり ( 配置に制約がある RRAS と共存できないなど いろいろな仕様的な制約 ) 9

10 DirectAccess の新機能 Windows Server 2012 の DirectAccess にはたくさんの新機能が実 装されています! 展開が容易になった! ( 難しいことを理解しなくても展開可能!PKIは必須ではなくなった!) パブリックIPv4アドレスの要件が緩和! 配置も柔軟に!! 社内のIPv4デバイスにアクセスできるようになった! 他にもいろいろな新機能あり!( 後半のアドバンス編へつづく ) 10

11 展開が容易になった! 作業の開始ウィザード を実行して ほんの少しの設定を行うだけで 簡単に DirectAccess の展開ができるようになりました DirectAccess サーバーの自己署名証明書 が多用されます グループポリシーによって自動配布されます 11

12 柔軟な配置が可能になった! パブリック IPv4 アドレスの要件が緩和されました ( パブリックな IPv6 なし 非 固定 IPv4 環境でも展開可能 ) DirectAccess サーバーをさまざまな構成で配置できるようになりました (NAT デバイスの背後に配置する NIC を 1 枚のみで構成する など 3 種類 ) 作業の開始ウィザード の中でどの構成かを指定します 12

13 DirectAccess サーバーの構成例 1 2 枚の NIC を持つ DirectAccess サーバーを エッジ に配置する構成です 作業の開始ウィザード では エッジ と呼びます Windows Server 2008 R2 ではこの構成しかできませんでした DirectAccess サーバー 社内サーバー NIC NIC ここにパブリック IP を設定 13

14 DirectAccess サーバーの構成例 2 2 枚のNICを持つDirectAccessサーバーをファイアウォールなどのNATデバイス ( エッジデバイス ) の背後に配置する構成です 作業の開始ウィザード では エッジデバイスの背後 ( ネットワークアダプター 2つ ) と呼びます DirectAccess サーバー 社内サーバー NIC NIC ここにパブリック IP を設定して NAT で DirectAccess サーバーを公開 14

15 DirectAccess サーバーの構成例 3 1 枚のNICを持つDirectAccessサーバーをファイアウォールなどのNATデバイス ( エッジデバイス ) の背後に配置する構成です 作業の開始ウィザード では エッジデバイスの背後 ( ネットワークアダプター 1つ ) と呼びます DirectAccess サーバー 社内サーバー NIC ここにパブリック IP を設定して NAT で DirectAccess サーバーを公開 15

16 DirectAccess のシステム要件 1 DirectAccessサーバーの要件 Active Directory に参加していること IPv6およびIPv6 移行テクノロジーが有効であること IPヘルパーサービスが起動していること Windowsファイアウォールが動作していること ネットワークが ドメイン プロファイルであること Hyper-V 仮想マシンでも大丈夫 もちろん Windows Server 2012 であること! 16

17 DirectAccess のシステム要件 2 Active Directory に関する要件 IPv6 が有効な次の OS によるドメインコントローラーであること Windows Server 2012 Windows Server 2008 R2 Windows Server 2008 ドメインの機能レベルとフォレストの機能レベルは問いません DNS サーバーに関する要件 次の OS による DNS サーバーであること Windows Server 2012 Windows Server 2008 R2 Windows Server

18 DirectAccess のシステム要件 3 DirectAccessクライアントの要件 Active Directoryに参加していること 次のいずれかのOS エディションであること Windows 8 Enterprise Windows 7 Enterprise/Ultimate Windows Server 2012 Windows Server 2008 R2 これら以外の OS エディションからも接続する必要があれば DirectAccess サーバーに RRAS もセットアップして VPN もアクセス可能にするといいでしょう Windows 7 などをサポートするには 作業の開始ウィザード だけでは展開できません 18

19 DirectAccess の簡単セットアップ システム要件を満たした環境を用意します パブリック IP アドレスを用意します DirectAccess サーバーに DNS 名でアクセスできる環境を推奨します DirectAccessおよびVPN(RAS) の役割サービスを追加します リモートアクセス管理 コンソールを起動して 作業の開始ウィザード を実行します 必要に応じて追加設定を行います 19

20 DirectAccess のセットアップ DEMO

21 DEMO の説明 すでに Active Directory ドメインに参加しているサーバーに DirectAccess サーバーをセットアップします DirectAccess サーバーの NIC は 1 枚のみです インターネットからはファイアウォールの NAT でアクセスできるようにしています インターネット上の DNS サーバーに DirectAccess サーバーのパブリック名 (DNS 名 ) を登録済みです ( デモ環境の詳細は次のスライドで ) 21

22 1 台の Windows Server 2012 Hyper-V 上で次のようなデモ環境が動作しています Hyper-V の仮想スイッチでネットワークを分割しています 社内ネットワーク 家庭内ネットワーク InternetServer DNS サーバー Web サーバー /24 DC01 Windows Server 2012 ドメインコントローラー DNS サーバー DHCP サーバー /24, IPv6 有効 WIN8-01 Windows 8 Enterprise DHCP クライアント ドメイン名 Active Directory 社外ドメイン NAT ルーター DHCP サーバー Ext: /24 Int: /24 : contoso.local : contoso.com インターネット ファイアウォール Ext: /24 Int: /24 DirectAccess サーバーを で公開 DA01 Windows Server 2012 DirectAccess サーバー /24,IPv6 有効 デモをご覧ください vswitchhome vswitchinternet vswitchcorp 22

23 DirectAccess の利用 Active Directoryに参加しているクライアントPCは 自動的にDirectAccessクライアントの設定がされます 社外からインターネット接続すると 自動的に DirectAccessによって社内ネットワークに接続することができます 23

24 DirectAccess を介したクライアント PC の管理 管理者は ユーザーのクライアントPCが社内にあるか DirectAccessによってインターネット経由で接続しているかを意識することなく 管理を行うことができます ( ユーザーがPCにログオンしている必要もありません ) 24

25 DirectAccess クライアントの 利用と管理 DEMO

26 DEMO の説明 Active Directoryドメインに参加している Windows 8 Enterprise クライアントPCを 社外 ( 家庭内ネットワーク ) に持ち出してみます ユーザーは特別な操作をすることなく 社外からDirectAccessで社内ネットワークにアクセスできることをご覧いただきます 管理者は ユーザーが社外にいることを意識することなく クライアントPCの管理操作ができることをご覧いただきます デモをご覧ください 26

27 DirectAccessサーバーの管理 DirectAccessサーバーの管 理は リモートアクセス管理 コ ンソールを使って行います 構成の変更や 接続状況の確 認や レポートの生成が可能で す 27

28 DirectAccess のコンポーネント 次の 4 つのコンポーネントによって 構成されています リモートクライアント リモートアクセスサーバー インフラストラクチャサーバー アプリケーションサーバー 28

29 DirectAccess の構成の変更 リモートアクセス管理 コンソールを使って DirectAccessの構成の変更が可能です 構成情報はグループポリシーに保存されます つまり クライアントPCへの反映には時間を要します ( 既定では ドメインコントローラー間で5 分 クライアントへは90 分 ) 急ぐときは gpupdate /force で 29

30 DirectAccess サーバーの管理 DEMO

31 DEMO の説明 リモートアクセス管理 コンソールの基本的な操作をご覧いただきます レポートを生成するために アカウンティングの構成 を行います DirectAccessの構成を変更してみます デモをご覧ください 31

32 DirectAccess アドバンス 編 32

33 DirectAccess アドバンス 編 作業の開始ウィザード でなにが起こっている? IPv6 移行テクノロジーとは 名前解決ポリシーテーブル (NRPT) とは ネットワークロケーションサーバー (NLS) とは ネットワーク接続状態インジケーター (NCSI) とは HTTPSベースのKerberosプロキシーとは オフラインドメイン参加との併用 DirectAccessの新機能のつづき 33

34 作業の開始ウィザード でなにが起こっている? 作業の開始ウィザード を実行すると DirectAccess のコンポーネントのセッ トアップや DNS へのレコード登録や 次の 2 つの GPO( グループポリシーオブ ジェクト ) の Active Directory への登録などが行われています DirectAccess サーバーの設定 DirectAccess クライアントの設定 34

35 DirectAccess サーバーの設定 GPO DirectAccess サーバーの Windows ファイアウォール設定などが定義されています ドメインにリンクされますが DirectAccess サーバーのみに適用されるような セキュリティフィルター処理 が自動設定されます 35

36 DirectAccess クライアントの設定 GPO IPSec 名前解決ポリシー IPv6 移行テクノロジーなど DirectAccess クライアントの動作に関わる各種設定が定義されています ドメインにリンクされますが ノート PC のみに適用されるような WMI フィルター処理 が自動設定されます 36

37 自動設定される WMI フィルター 37

38 作業の開始ウィザード だけではできないこと 作業の開始ウィザード を実行して ほんの少しの設定を行うだけで 簡 単に DirectAccess の展開ができるようになりましたが 次のような構成のときは追加設定 (PKI 環境構築など ) が必要です Windows 7クライアントをサポートする 強制トンネリングを行う NAPと統合する 2 要素認証を行う ( スマートカードやOTP/ ワンタイムパスワードの利用時 ) その他 38

39 IPv6 移行テクノロジーってなに? IPv6に移行するために IPv4との相互通信を行うための各種テクノロジーです DirectAccessはIPv6をベースとしたシステムであるため IPv6やIPv6 移行テクノロジーを使って通信を試みます 社内サーバー Public IPv6 IPv6 DirectAccess サーバー IPv6 Public IPv6 Public IPv4 6to4 IPv4 6to4 NAT64/ DNS64 IPv4 IPv4 Only Private IPv4 IPv4 IP-HTTPS IPv4 IP-HTTPS ISATAP IPv4 ISATAP Private IPv6 39

40 IP-HTTPS とは IP-HTTPSとは IPv6パケットをIPv4でカプセル化するテクノロジーです Windows Server 2008 R2まではプライベートIPv4からのアクセス時にTeredoというIPv6テクノロジーを使っていましたが Windows Server 2012では廃止され IP-HTTPSの利用に置き換わっています DirectAccessではIPv6をIPsecで暗号化し さらにHTTPSで暗号化しています Windows Server 2012ではパフォーマンスが向上しています 認証プロキシーにも対応した模様です 40

41 NAT64/DNS64 とは IPv4のみのデバイスにDirectAccessクライアントがアクセスするためのテクノロジーです DirectAccessサーバーで動作している NAT64 によってIPv6からIPv4 へのプロトコル変換が DNS64 によって名前解決が行われます Windows Server 2008 R2 ではUAG(Forefront Unified Access Gateway) が別途必要でした NAT64による変換は一方向 (DirectAccessクライアント => IPv4デバイス ) であるため IPv4デバイスからDirectAccessクライアントへの接続 管理などはできません 41

42 DirectAccess による DEMO IPv4 デバイスへのアクセス

43 DEMO の説明 社内ネットワークに配置した IPv4 のみのサーバーへ 社外 ( 家庭内ネットワーク ) から DirectAccess で接続してみます 家庭内ネットワーク InternetServer 社内ネットワーク DC01 Windows Server 2012 ドメインコントローラー DNS サーバー DHCP サーバー /24, IPv6 有効 WIN8-01 Windows 8 Enterprise DHCP クライアント NAT ルーター インターネット ファイアウォール DA01 Windows Server 2012 DirectAccess サーバー /24,IPv6 有効 デモをご覧ください SV01 ワークグループ構成 Web サーバー /24,IPv4 のみ 43

44 ファイアウォールで必要な設定 IPv6 や IPv6 移行テクノロジーを使うために ファイアウォールでは次のようなポートを許可する必要があります IPv6 ファイアウォール Destination: IP 50 Destination: UDP 500 Source: UDP 500 DirectAccess サーバー 6to4 Destination: IP 41 Destination: IP 41 IP-HTTPS Destination: TCP 443 Source: TCP

45 名前解決ポリシーテーブル (NRPT) とは 名前解決ポリシーテーブル (NRPT) とは DNSの名前空間ごとに使用するDNSサーバーを切り替える仕組みです Windows Server 2008 R2 / Windows 7から実装されています インターネットでの名前解決と 社内ネットワークでの名前解決を切り替えることができます DirectAccessクライアントの設定 GPOで設定されます Get-DnsClientNrptPolicy コマンドレットで設定を確認できます 45

46 名前解決ポリシーテーブル (NRPT) の編集 DirectAccess クライアントの設定 GPO の次のポリシーに設定されています コンピューターの構成 ー ポリシー - Windows の設定 - 名前解決ポリシー 編集は リモートアクセス管理 コンソールの インフラストラクチャサーバーのセットアップ で行いましょう 46

47 ローカル名の優先設定 名前解決ポリシーテーブル (NRPT) から DirectAccessに関する規則を削除することにより DirectAccessクライアントはローカル名を優先することができます リモートアクセス管理 コンソールで DirectAccessクライアントのセットアップ で設定を変更する必要があります どうなるのか DirectAccess の 切断 や 接続 ができるようになります ただし NRPTから情報が削除されるだけであり IPsecトンネルは維持したままです 47

48 ネットワークロケーションサーバー (NLS) とは ネットワークロケーションサーバー (NLS) とは DirectAccessクライアントが 社内ネットワークに接続しているのか 接続していないのかを判断するための社内サーバーです NLSにアクセスできる場合には社内ネットワークに接続していると判断 接続できない場合はDirectAccessでの接続を開始します DirectAccessサーバーをセットアップすると IISも自動セットアップされて 作業の開始ウィザード によってDirectAccessサーバー自身がNLSとなります DirectAccessクライアントの設定 GPOで設定されます 名前解決ポリシーテーブル (NRPT) に除外登録が必要です 48

49 ネットワークロケーションサーバー (NLS) の設定 DirectAccess クライアントの設定 GPO の次のポリシーで設定 コンピューターの構成 - ポリシー - 管理用テンプレート - ネットワーク - ネットワーク接続インジケーター - ドメインの場所を特定する URL の指定 編集は リモートアクセス管理 コンソールの インフラストラクチャサーバーのセットアップ で行いましょう 49

50 ネットワーク接続状態インジケーター (NCSI) とは ネットワーク接続状態インジケーター (NCSI) とは DirectAccess クラ イアントが 社内ネットワークに接続しているのか インターネットに接続して いるのかを判断するための仕組みです 例えば 次の 2 つの条件を満たした場合は インターネットに接続していると 判断します へアクセスすると Microsoft NCSI という文字列が返ってくる dns.msftncsi.com のDNS 名前解決を要求すると というIP アドレスが返ってくる 50

51 HTTPS ベースの Kerberos プロキシー機能を実装 Windows Server 2012 の DirectAccess は HTTPS ベースの Kerberos プロキシー機能を実装しました これは 作業の開始ウィザード で自動的に設定されます 1. DirectAccessクライアントは認証リクエストをDirectAccessサーバーに送信 2. Kerberosプロキシーがドメインコントローラーに認証を転送 3. 認証が完了するとドメインに参加しているサーバーとの通信が可能に DirectAccess クライアント DirectAccess サーバー Kerberos プロキシー ドメインコントローラー IPv6 テクノロジー 各種社内サーバー 51

52 DirectAccess クライアントの認証方法の指定 DirectAccess のデフォルトの認証方法は Kerberos プロキシーによる Active Directory の資格情報によるものです コンピューター証明書を用いた認証に変更する場合は リモートアクセス管理 コンソールの 構成 - リモートアクセスサーバー の 編集 を開いて設定します 52

53 オフラインドメイン参加とは オフラインドメイン参加とは ドメインコントローラーと通信できない状態のコンピューターを ドメインに参加させることができる機能です Windows Server 2008 R2 / Windows 7 から実装されました ドメインコントローラーで プロビジョニングデータファイル を作成し それを対象のコンピューターにコピーして ドメイン参加に利用します 53

54 オフラインドメイン参加と DirectAccess の併用とは Windows Server 2012 のオフラインドメイン参加では プロビジョニングデータファイルにDirectAccessに関するグループポリシー設定を含めることができるようになりました これにより 社内ネットワークにまったく接続したことがないWindows 8 Enterpriseコンピューターを オフラインでドメインに参加させ そのまま DirectAccessで社内へアクセスさせることが可能になりました 54

55 オフラインドメイン参加と DirectAccess の併用の流れ 次のような流れで オフラインドメイン参加と DirectAccess を併用します 1. ドメインコントローラーでプロビジョニング用のコマンドを実行します 例 ) Djoin /provision /domain contoso.local /machine WIN8-02 /policynames DirectAccess クライアントの設定 /rootcacerts /savefile c: files provision.txt /reuse 2. ( 必要であれば )DirectAccess 用のグループに該当コンピューターをメンバー登録します 3. 上記コマンドで作成したプロビジョニングデータファイルを 該当コンピューターにコピーします 4. 該当コンピューターで次のコマンドを実行します 例 ) Djoin /requestodj /loadfile C: provision provision.txt /windowspath %windir% /localos 5. 該当コンピューターを再起動します オフラインドメイン参加機能が成功しており DirectAccess によって ドメインのユーザーアカウントでログオンできるようになっています 55

56 オフラインドメイン参加と DirectAccess の併用 DEMO

57 DEMO の説明 社外にあるドメイン未参加の Windows 8 Enterprise クライアント PC を オフラインドメイン参加させて DirectAccess で社内アクセスもさせます 家庭内ネットワーク InternetServer 社内ネットワーク DC01 Windows Server 2012 ドメインコントローラー DNS サーバー DHCP サーバー /24, IPv6 有効 NAT ルーター インターネット ファイアウォール DA01 Windows Server 2012 DirectAccess サーバー /24,IPv6 有効 WIN8-02 Windows 8 Enterprise DHCP クライアントワークグループ構成 Active Directory ドメイン参加 + DirectAccess クライアン化 デモをご覧ください 57

58 DirectAccess の新機能のつづき 負荷分散をサポート (NLBなど) 複数のドメインをサポート マルチサイトをサポート 強制トンネリングの自動サポート 外部管理をサポート (Manage-Out) NAP(IPsec 強制 ) と統合 Server Coreのサポート Windows PowerShellのサポート などなど 58

59 強制トンネリングの自動サポート DirectAccess クライアントからのインターネットアクセスも DirectAccess サーバーを介して社内ネットワーク経由に強制することができます リモートアクセス管理 コンソールの DirectAccess クライアントのセットアップ で設定します 分割トンネリング 社外ネットワーク インターネット インターネット上のサーバー サービス 社内ネットワーク 59

60 外部管理をサポート (Manage-Out) DirectAccess クライアントから社内ネットワークへのアクセスは禁止して 管理者が DirectAccess クライアントの管理操作だけを行うことができるようにする展開シナリオです インターネット ユーザーからの社内アクセスは禁止 管理アクセス ( リモートアクセス グループポリシー適用 更新プログラム配信など ) は許可 リモートアクセス管理 コンソールの DirectAccess クライアントのセットアップ で設定します 60

61 Windows 7 を DirectAccess クライアントにする際の補足 リモートアクセス管理 コンソールで リモートアクセスサーバーのセットアップ を開いて Windows 7 サポートを有効化 Windows 7 クライアント PC に DirectAccess 接続アシスタント 2.0 をセットアップする a 61

62 まとめ 62

63 まとめ DirectAccessは敷居が一気に下がって 展開が本当に簡単になりました 要件を満たす環境であれば 使わないと損だと思います DirectAccessクライアントとなっているコンピューターの盗難 紛失対策として ぜひBitLockerで暗号化するなどの対処を! 63

64 ぜひ評価しましょう! Windows Server 2012 と Windows 8 Enterprise のライセンスやサブスクリプションを持っていればぜひ評価 検証しましょう! 持ってない方は まずは評価版をダウンロード! Windows Server 2012 評価版ダウンロードサイト Windows 8 Enterprise 評価版ダウンロードサイト 評価のお供に 64

65 Q & A 65

66 Thank You! ご清聴ありがとうございました! 知北直宏 66