DirectAccess

Introduction de la technologie DirectAccess pour un accès distant pour les postes clients Windows 7 (Ultimate ou Enterprise) ou plus. Dans cette version seuls les cœurs de réseaux d'entreprise en IPv6 natif sont supportés y compris ceux déployés au travers d'ISATAP, cependant il reste possible d'utiliser la cohabitation IPv4 et IPv6 avec 6to4, Teredo, IP-HTTPS. De plus le serveur NLS peut être mutualisé sur la passerelle DirectAccess.

Forefront UAG^[4] au fil de ces mises à jour a apporté les évolutions suivantes à DirectAccess : le support des technologies de transition avec NAT64 et DNS64 présent dès la version RTM, la mise en cluster avec la haute disponibilité et la tolérance de panne, l'implémentation simplifiée de la cohabitation IPv4 et IPv6 avec NAT64/DNS64.

Un nouveau scénario afin de gérer le parc des postes client en situation de nomadisme sans donner l'accès à l'intranet, une configuration simplifiée de la gestion des flux internet qui auparavant devait se faire par ligne de commande.

L'intégration simplifiée de l'état de santé du poste au travers du NAP, de l'authentification à plusieurs facteurs a été introduite à la suite d'un accord avec RSA pour les tokens RSA SecurID.

Et enfin l'apport d'un GUI client avec le service pack 1 permettant d'afficher l'état de la connectivité et effectuer une collecte d'information à des fin de support lorsque le poste ne peut se connecter au travers de DirectAccess, il est à noter qu'il reste possible d'utiliser ce dernier avec une passerelle uniquement sous Windows 2008 R2.

Attention cependant avec Forefront UAG il n'est pas possible de consolider le serveur NLS sur ce dernier.

Reprise des différentes fonctionnalités de Forefront UAG, de plus DirectAccess fait désormais partie du rôle serveur URA. DirectAccess est donc utilisable uniquement avec une licence serveur. Les nouvelles fonctionnalités apportées par URA sont  :

• Simplification du déploiement en 3 étapes (uniquement avec des clients Windows 8).
• Nouveaux scénarios de déploiement : la passerelle peut désormais être placée dans le réseau LAN ou derrière un équipement qui effectue du NAT sur le réseau public du serveur.
• Le serveur NLS peut être mutualisé sur la passerelle DirectAccess.
• Amélioration du suivi de l'état de santé de la plateforme au travers de l'intégration du monitoring dans la console DirectAccess.
• Possibilité de créer un "géo-cluster" : en effet un service distinct peut être déployé sur chaque site géographique.
• Possibilité d'utiliser des certificats auto-signés générés par la passerelle DirectAccess.
• Introduction de l'authentification par carte à puce virtuelle^[5] (uniquement avec Windows 8).
• Possibilité de se connecter au travers d'un proxy authentifiant (uniquement avec Windows 8).

Le client DirectAccess initialise des tunnels IPsec IPv6 vers la passerelle DirectAccess. Dans un monde encore majoritairement basé sur l'IPv4 le trafic IPv6 y est encapsulé dans différentes technologies de transition (6to4, Teredo, IP-HTTPS) vers IPv6. Ce mécanisme permet d’établir un canal de communication réseau entre le client et le système d’information. Une fois ce canal initialisé, le client DirectAccess accède aux ressources internes de la même manière que lorsqu’il est connecté au réseau LAN. Le seul changement concerne le mécanisme de résolution de noms DNS. Lorsque le client DirectAccess demande la résolution d’un nom DNS dépendant du réseau de l’entreprise, la résolution de nom est prise en charge par la NRPT (Name Resolution Policy Table) qui fournit une réponse IPv6 à la demande de résolution. Lorsque le client tente de joindre la ressource avec cette adresse IPv6, NAT64 assure la transition d’IPv6 vers IPv4.

Ces différentes briques permettent de faire cohabiter les mondes IPv4 et IPv6 afin que ces derniers puissent dialoguer entre eux. Les briques de transition d'IPV4 vers IPv6 utilisées par DirectAccess sont :

• 6to4
• Teredo
• IP-HTTPS
• ISATAP
• DNS64
• NAT64

Sur un élément d'accès au réseau d'entreprise aussi critique, des questions sur la sécurité embarquée peuvent se poser. DirectAccess embarque différents mécanismes :

Les différents tunnels réseaux initiés vers la passerelle DirectAccess sont protégés par :

• SSL dans le cas de l'utilisation d'IP-HTTPS.
• IPsec dans tous les cas (y compris dans le flux SSL).

De plus avec Forefront UAG la passerelle DirectAccess embarquait le pare-feu Forefront TMG qui assure sa protection, cependant avec l'arrivée de Windows Server 2012 ce dernier est protégé par Windows Firewall il est donc recommandé pour ce dernier de le placer dans une DMZ.

Il existe différents mécanismes d'authentification possible pour se connecter au réseau d'entreprise au travers de DirectAccess :

• Authentification de l'utilisateur
  • Compte Active Directory (Kerberos)
  • Carte à puce ou carte à puce virtuelle
  • Token de type RSA SecurID, GEMALTO, ...
• Authentification de l'ordinateur
  • Certificat
  • Certificat de santé (optionnel), ce dernier nécessitant une infrastructure NAP
  • Compte Active Directory (NTLMv2)

• Windows Server 2008 R2 avec deux cartes réseaux : une connectée directement sur Internet (avec un adressage IP publique), et une seconde connectée au réseau locale (avec un adressage IP privée).
• Sur la passerelle DirectAccess, deux adresses IPv4 publique consécutives, attribuées sur la carte réseau connectée directement sur Internet.
• Un client DirectAccess Windows 7 (Ultimate ou Enterprise) ou Windows 8 (Enterprise).
• Un serveur DNS tournant sous Windows Server 2008 SP2 ou Windows Server 2008 R2.
• Une forêt Active Directory de niveau fonctionnel 2003.
• Une Public key infrastructure (PKI) pour la gestion des certificats privés.

• Windows Server 2012 avec une ou plusieurs cartes réseaux.
• Un client DirectAccess Windows 7 (Ultimate ou Enterprise) ou Windows 8 (Enterprise).
• Un serveur DNS tournant sous Windows Server 2008 SP2 ou Windows Server 2008 R2.
• Une forêt Active Directory de niveau fonctionnel 2003.
• Une Public key infrastructure (PKI) pour la gestion des certificats privés, si la rétro-compatibilité avec les clients Windows 7 est activée.

• Windows Server 2012 Unified Remote Access Planning and Deployment Livre de Erez Ben-Ari et Bala Natarajan sur Unified Remote Access.
• DirectAccess mobilité et nomadisme : Mise en œuvre de la solution Microsoft Livre de Benoît Sautiere et Lionel Leperlier sur DirectAccess.
• Page Microsoft dédié à Remote Access
• Blog de Richard Hicks
• Blog de Benoît Sautiere
• Blog de Lionel Leperlier

•   Portail de Microsoft
•   Portail des réseaux informatiques