【IT168 专稿】继上一篇环境准备后(点击),这篇开始来配置DA服务器,真正实现内网外网来去自如。
  一、 Direct Access服务器设置
  1. 安装Direct Access服务器功能
  在【服务器管理器】工具中,添加功能,选择【Direct Access管理控制台】,点击安装即可,同时被安装的还有【组策略管理】功能。
  2. 配置Direct Access服务器
  DA功能安装好后,打开【Direct Access管理控制台】,点击【安装】,会在右侧出现安装程序向导(图1)
 
  点击【配置】按钮,此处加入【DA_Clients】安全组,作为DA客户端访问组。(图2)
 
  完成后来到步骤2,点击【配置】,在【Direct Access连接性】中,只要前面的配置步骤没有问题,这里直接点击【下一步】即可。(图3)
 
  注意:要满足此处策略要求,需要几点:①DA服务器需要有两个公网IP地址②DA服务器需要设置DNS后缀③DA服务器的Internet网卡不能和Intranet网卡同属一个区域网络,例如不能属于AD的网络。
  在证书组件【远程客户端必须连接的根证书】中,选择域中的企业根【contoso-DC1-DA】(图4)
 
  在【将用于HTTPS保护远程客户端连接的证书】中,选择先前申请的【IP-HTTPS Certificate】证书,选择完点击【完成】。(图5)
 
  开始设定【步骤3】,这里开始要填写高可用度的网络位置服务器URL,输入【https://nls.contoso.com】并点击【验证】,来验证此URL的有效性。(图6)
 
  在【DNS和域控制器】处,会自动生成DNS服务器相关信息,并且生成的IPv6地址【2002:836b:2:1:0:5efe:10.0.0.1】是由6to4网络前缀【2002:836b:2:1::/64】和ISATAP-based接口标识符【::0:5efe:10.0.0.1】 组成。(图7)
 
  下一步的【管理】地址可空缺不填。点击【完成】,即可完成步骤3的设置。
  在接下来的【步骤4】中,只需要默认设置即可。
  此时,已经完成对DA服务器本身的设定,可以点击【保存】并【完成】,DA服务器就开始应用此前的设置了。应用过程中可以看到DA服务器更改了组策略对象。(图8)
 
  3. 更新成员服务器的IPv6设置
  强制【APP1】【DC1】和【Client1】更新本机IPv6设置 ,以支持ISATAP。
  在CMD输入【net stop iphlpsvc】和【net start iphlpsvc】重启IPHLPSVC服务。
  并且【Client1】需要强制刷新组策略,使用命令【GPupdate】
  测试主机是否已经支持ISATAP,可先用命令【IPCONFIG/FLUSHDNS】清除DNS缓存,然后使用PING命令,输入【ping dc1.contoso.com】,正常情况下,返回地址为【2002:836b:2:1::5efe:10.0.0.1】既是已经支持ISATAP。(图9)
二、 DA客户端测试访问
  1. 更改【Client 1】网络地址,将其网络转移到公网,模拟公网访问环境。
  当给【Client1】配置了公网IP【131.107.0.10】之后,我们查看【Client1】的网络信息发现,在6to4隧道中,有这样一个IPv6地址信息【2002:836b:】这段地址对应的IPv4地址中的【131.107】,而6to4的默认网关地址【2002:836b:2::836b:2】则对应的是【131.107.0.2】。【Client1】就是使用6to4这个IPv6隧道与【DA1】进行通信的。(图10)
 
  2. 进行Internet和Intranet网络WEB访问测试
  先打开【Client 1】的IE浏览器,输入URL【http://inet1.isp.example.com】,如果可以正常打开,则Internet网络通信正常。(图11)
 
  在打开一个新的IE浏览器,输入URL【http://app1.contoso.com】,如果也可以正常打开,这就说明我们的Direct Access部署基本完成了。(图12)
 
  3. Intranet共享文件夹访问测试
  在【Client 1】中直接访问【\\APP1\Share For DA Client】。(图13)
 
  至此,已经彻底完成了Direct Access这项新特性的部署及测试,但这对于一些安全级别较高的企业来说是不够的, 如果你有条件和环境可以尝试结合使用NAP和NPS功能来打造更加安全,管理更方便的Direct Access访问。