Direct Access. Hva er det, og hvor langt har NVH kommet i innføringen? av Gjermund Holden IT-sjef, NVH

Transkript

1 Direct Access Hva er det, og hvor langt har NVH kommet i innføringen? av Gjermund Holden IT-sjef, NVH

2 Agenda Bakgrunn for valg Hva er Direct Access? Hvordan virker Direct Access?

3 Bakgrunn NVH har en liten IT-avdeling. Få ansatte (1/67 snitt i UH-sektoren er 1/35) Økonomi ikke noe å skryte av.. Ingen tilbud om fjernkontor, folk har etterspurt dette i flere år.

4 Bakgrunn (2) Løsningskrav: 100% kompatibelt med windowsmiljøet vårt. Så lav brukerterskel som mulig. Helst ingen tredjeparts-komponenter.

5 Valg: Direct Access. Oppfyller kravene. Vi har enheter som støtter IPv6. God windowskompetanse i avdelingen. Spennende løsning!

6 Ressurser Økonomi har da råd til noen servere Personell: 1 fra avdelingen (meg) + nødvendig bistand fra serveransvarlige. Serverne er kjøpt inn og står klare. Ekstern bistand: Kvern.no (Erfaring + høy kompetanse) Superbrukere er inviterte og vil teste løsningen.

7 Hva er Direct Access? Avansert VPN for miljøer der man anvender Windows 7 og Windows 2008 i sitt miljø. Gir bl.a. administratorer full mulighet for fjernadministrasjon av klienter. Windows 7 Direct Access-klientene er praktisk talt i LAN så lenge de er koblet til internett. Særdeles lav brukerterskel.

8 Forklart på en annen måte: Direct Access kan forklares enkelt som en sømløs VPN-forbindelse. Fra brukerens ståsted vil det oppleves som alltid være tilkoblet institusjonens nettverk og dermed ha tilgang på interne ressurser, så sant maskinen er på nett, selvsagt. For IT-avdelingen: Maskinen er alltid på nettverket. Man fjerner behovet for lokale adminkontoer. Maskinene kan vedlikeholdes på samme måte som andre PCer. Antivirus Windowspatching Patching av andre programmer (Adobefamilien, Winrar, Skype, m.fl.) Den største forskjellen kontra vanlige VPN-løsninger, er at man virkelig alltid er tilkoblet og at brukeren selv ikke gjør noe mer enn å logge seg på maskinen sin.

9 Sikkerhet i DA Autentisering av enhet Domenesertifikat. + GPO. Autentisering av bruker Pålogging med eller uten smartkort. Kryptering basert på IPsec. Adgangskontroll hvilke systemer som skal være tilgjengelige for brukeren. (IPv6).

10

11 DA-servere bare i Oslo. DFS sørger for synkronisering av hjemmeog fellesområder i hhv. Tromsø og Sandnes til/fra Oslo. Dermed vil ansatte i Tromsø og Sandnes nå sine filområder og andre fellesområder når de anvender DA.

12

13 Hva krever løsningen? Windows 2008 R2 server som GW TMG = Threat Management GW (tidl. ISA) UAG = Unified Access Gateway Fungerende PKI (sertifikatserver) DNS-server som støtter IPv6. NVH har nå fått tildelt IPv6-adresser: 2001:700:2A00::/48 Uninett bistår med oppsett og rådgiving. Windows 7 Enterprise eller - Ultimate

14 Utfordringer rundt IPv6 NVH har ikke implementert IPv6 i sitt nett. Fått adresser fra Uninett. Alle routere og interne switcher støtter IPv6. Windows 2008-servere støtter IPv6 (std. protokoll) (Windows 2003 gjør det også, men det avhenger av tjenestene..) Windows 7 og Windows Vista støtter IPv6. (Windows XP har også IPv6-støtte, men de fleste innebygde tjenestene støtter ikke IPv6 som transportvei).

15 Direct Access og IPv6 DA krever som nevnt IPv6. (UAG kan ordne kommunikasjon mot IPv4) Direct Access-serveren vil konfigurere seg selv som en ISATAP-router. (ISATAP = Intra-Site Automatic Tunnel Addressing Protocol) ISATAP s oppgaver er: Kringkaste informasjon i nettet om at den er en ISATAP-router. Videresende pakker mellom ISATAP-klienter og IPv6-klienter. Default GW for alle ISATAP-klienter.

16 Direct Access hvordan virker dette? DA er basert på IPv6 som transportprotokoll. Alle interne ressurser som skal nåes må være IPv6- kompatible. Sertifikatserver(e) (Bør ha to stk.) Domenekontrollere. Filservere. Intranettserver Osv.

17 Direct Access hvordan virker dette? (forts.) Internett er ennå ikke helt IPv6-basert.. Dette krever en tunneleringsmetode (sende IPv6-pakke i en IPv4-pakke). Flere metoder (Tunnelering): 6to4 Teredo IP-HTTPS

18 Tilkobling: 6to4 Tilbyr IPv6-forbindelse over et IPv4- nettverk Krever offentlige IPv4-adresser 6to4 host Global adresse 2002::/16 Automatisk konfigurering. 6to4 router Ruter IPv6-trafikk i et IPv4 backbone. 6to4 relay Pakker ut IPv6-trafikken

19 Tilkobling via Teredo Tilbyr IPv6-forbindelser over et IPv4-nettverk. Støtter NAT IPv4 UDP-port nr Routere i IPv4-nettet trenger ikke å ha noen kunnskap om IPv6. Teredo Relay Pakker IPv6-trafikken og sender denne videre.

20 Tilkobling via IP-HTTPS Kan sammenlignes med vanlig SSL-basert VPN. IPv6 pakkes inn i https på port 443 => SSL. Utviklet av Microsoft, delt offentlig i år. NVH skal anvende denne varianten.

21 Brukersupport Vi har da naturligvis ingen erfaring med å supportere brukeren på denne løsningen ennå. Fordelen med Windows 7, er blant annet at det finnes det bra diagnoseverktøy i OS et. Feilsøkeren i Windows 7 heter Direct Access Connectivity Assistant. (Finnes bl.a. i Windows Optimized Desktop Tools 2010 (WODT) )

22 Mer informasjon? Hør gjerne med oss på nyåret. Masser av informasjon på Microsoft Technet.