Giới thiệu về UAG DirectAccess – Phần 1 docx

Giới thiệu về UAG DirectAccess – Phần 1
Trong bài viết này chúng tôi sẽ cung cấp một kiến thức tổng quan về những gì
DirectAccess có thể thực hiện và những giá trị mà nó cung cấp cho cả quản trị viên
lẫn người dùng.
DirectAccess là một kỹ thuật truy cập từ xa mới có trong Windows 7 và Windows Server
2008 R2, kỹ thuật này cho phép người dùng có thể kết nối với mạng công ty bất cứ thời
điểm nào. Từ quan điểm của người dùng, trải nghiệm họ có được là hoàn toàn giống nhau
mà không bị phụ thuộc vào địa điểm kết nối. Người dùng có thể di chuyển từ mạng công
ty sang mạng của một khách sạn, một quán cà phê hay trung tâm hội thảo nào đó có cung
cấp kết nối không dây. Chỉ cần được kết nối Internet, họ có thể truy cập được các tài
nguyên trong mạng nội bộ, như thể đang truy cập trực tiếp đến các tài nguyên đó thông
qua kết nối Ethernet hoặc kết nối không dây 802.11.
Khía cạnh “always-on” của DirectAccess được cho là phần quan trọng nhất của giải pháp
này. Người dùng không cần khởi tạo kết nối VPN; họ không cần nhớ URL của SSL VPN
gateway (thậm chí SSL VPN gateway là một UAG server). Họ không cần thực hiện bất
cứ thứ gì – chỉ cần kích các liên kết trong email hoặc trên desktop hay đánh vào tên máy
chủ muốn sử dụng, sau đó thực hiện kết nối. Một kết nối xuyên suốt như vậy chắc chắn
sẽ tạo năng suất cho công việc.
Mặc dù vậy, DirectAccess còn cung cấp nhiều hơn như những gì được giới thiệu ở trên.
Do kết nối DirectAccess là liên kết hai chiều, bạn – quản trị viên mạng – sẽ có khả năng
kết nối với các máy khách DirectAccess qua Internet. Bất cứ khi nào một máy khách
DirectAccess được bật, bạn đều có thể kết nối và quản lý máy khách này. Người dùng
không cần phải đăng nhập để bạn có thể kết nối với các máy khách DirectAccess từ bên
trong mạng công ty. Điều này có nghĩa rằng, cơ sở hạ tầng quản lý mà bạn sử dụng để
điều khiển và cấu hình các host trên mạng công ty lúc này sẽ luôn trong tình trạng sẵn có
(available) đối với việc quản lý các máy tính được kết nối thông qua DirecDtAccess.

DirectAccess làm việc như thế nào
Cùng với DirectAccess, người dùng Windows 7 và Windows Server 2008 R2 sẽ gặp một
số công nghệ mới của các hệ điều hành này. Một số công nghệ này có thể mới có, một số
có thể đã được biết đến từ lâu. Mặc dù vậy, dù đang làm việc với công nghệ cũ hay mới

thì tất cả chúng đều không quá phức tạp. Cần tránh một số quan điểm cho rằng
DirectAccess không đáng với những gì phức tạp mà người dùng nó phải nỗ lực vượt qua.
Nhận thức này là vì trước khi UAG 2010 được phát hành, chỉ có một cách duy nhất có
thể triển khai DirectAccess là sử dụng giải pháp Windows DirectAccess đi kèm. Giải
pháp này tồn tại một số hạn chế so với giải pháp của UAG DirectAccess:
 Windows DirectAccess hỗ trợ hạn chế khả năng sẵn có cao, cơ chế thường dùng
liên quan đến việc sử dụng Hyper-V và Windows failover cluster nhằm cung cấp khả
năng stand-by tốt. Bên cạnh đó cũng không có sự hỗ trợ cho việc cân bằng tải trọng trong
mạng (Network Load Balancing).
 Windows DirectAccess không hỗ trợ các mảng DirectAccess. Nếu muốn thiết lập
nhiều máy chủ Windows DirectAccess, bạn cần cấu hình và quản lý chúng một cách
riêng biệt. Trái ngược lại, các máy chủ UAG DirectAccess lại có thể được cấu hình theo
mảng.
 Máy chủ Windows DirectAccess không hỗ trợ các máy chủ chỉ hỗ trợ IPv4 (IPv4
only). Máy khách DirectAccess trên Internet cũng không thể kết nối với các máy chủ
dạng này. Điều đó có nghĩa rằng, nếu muốn sử dụng giải pháp Windows DirectAccess,
bạn cần nâng cấp các máy chủ của mình lên Windows Server 2008 hoặc mới hơn. Ngược
lại, giải pháp UAG DirectAccess lại hỗ trợ đầy đủ các máy chủ IPv4 trong mạng công ty.
Nếu có kế hoạch triển khai DirectAccess trong mạng công ty của mình, cách tốt nhất để
thực hiện điều đó là sử dụng giải pháp UAG DirectAccess.
Kết nối máy khách DirectAccess
IPv6 chính là vẫn đề cốt lõi của giải pháp DirectAccess, đây là một trong những lý do
khiến nhiều quản trị viên có cảm giác không thể triển khai giải pháp vào thời điểm này.
IPv6 rõ ràng phức tạp hơn và với sự cắt giảm kinh phí lẫn nhân lực CNTT thì đây quả
thực là một trở ngại. Mặc dù vậy, với UAG, bạn không cần phải trở thành một chuyên gia
IPv6, giải pháp UAG DirectAccess sẽ tự động triển khai cơ sở hạ tầng IPv6 cần thiết.
Khi máy khách DirectAccess được kết nối với Internet, nó sẽ cố gắng thiết lập hai tunnel
Ipsec đến máy chủ UAG DirectAccess. Hai tunnel này sẽ sử dụng chế độ IPsec tunnel và
giao thức Encapsulating Security Payload (ESP) cùng mã hóa AES 192bit để bảo vệ sự
riêng tư.

Hai kiểu tunnel ở đây là:
 Infrastructure tunnel: Infrastructure tunnel bắt đầu khi máy tính khởi động
nhưng trước lúc người dùng đăng nhập. Máy tính DirectAccess luôn là một thành viên
miền và tài khoản của nó được sử dụng để đăng nhập thông qua chứng chỉ máy tính và
xác thực NTLMv2. Thêm vào đó, nó phải thuộc nhóm bảo mật dành riêng cho các máy
khách DirectAccess. tunnel này có kết nối hai chiều và các tác nhân quản lý trên máy
khách có thể gọi đến máy chủ quản lý trên mạng công ty. Máy chủ quản lý có thể khởi
tạo các kết nối đến máy khách DirectAccess khi tunnel Infrastructure tunnel được thiết
lập. Máy khách DirectAccess chỉ có thể kết nối thông qua tunnel này để truy cập các máy
chủ mà bạn chỉ định. tunnel này không cho phép truy cập mở đối với toàn bộ mạng nội
bộ.
 Intranet tunnel: Intranet tunnel được thiết lập sau khi người dùng đăng nhập.
tunnel này cũng được mã hóa bằng ESP và AES 192. Việc xác thực được thực hiện bằng
chứng chỉ máy tính (giống infrastructure tunnel) và xác thực Kerberos cho tài khoản
người dùng. Intranet tunnel cho phép người dùng có thể truy cập tới bất cứ tài nguyên
nào nằm trong mạng nội bộ mà họ có thẩm quyền.
Có hai kiểu truy nhập bạn có thể sử dụng khi kích hoạt các máy khách DirectAccess để
kết nối đến mạng nội bộ. Bạn có thể chọn “end to edge” hoặc “end to end” tùy ý. Chúng
ta hãy đi xem xét hai kiểu này:
 End to Edge: Khi sử dụng kiểu kết nối “end to edge”, máy khách DirectAccess sẽ
thiết lập một liên kết ở chế độ IPsec tunnel xác thực đến máy chủ UAG DirectAccess.
Sau khi hoàn thành kết nối Ipsec tại máy chủ DirectAccess, việc chuyển rời lưu lượng từ
máy chủ DirectAccess đến các máy chủ trong mạng nội bộ được xác thực hoặc được mã
hóa ở mức mạng.
 End to End: Kiểu bảo mật mạng “end to end” cho phép bảo mật các kết nối với
Ipsec một cách xuyên suốt. Kết nối giữa máy khách và máy chủ DirectAccess sẽ được mã
hóa và được xác thực bằng chế độ IPsec tunnel. Sau khi lưu lượng rời máy chủ
DirectAccess để đến máy chủ khác trong mạng nội bộ, kết nối đó sẽ được chuyển qua
mạng nội bộ bằng chế độ IPsec transport. Mặc dù vậy, thiết lập mặc định chỉ xác thực
cho điểm kết cuối; kết nối ở chế độ transport không được mã hóa để IDS mạng và các

thiết bị bảo mật khác có thể đánh giá chúng trên mạng. Điều này sẽ làm giảm một số xử
lý không đáng có (overhead) liên quan đến kết nối Ipsec.
Ngoài chứng chỉ máy tính, tài khoản máy tính (NTLMv2) và xác thực tài khoản người
dùng được sử dụng trong quá trình tạo các tunnel DirectAccess, bạn cũng có tùy chọn
buộc người dùng phải sử dụng xác thực Smart Card để thiết lập intranet tunnel, nâng cao
khả năng bảo mật cho giải pháp. Nếu xác thực bằng thẻ thông minh không đủ an toàn so
với yêu cầu, bạn có thể thực thi một số chính sách trên máy khách DirectAccess bằng
NAP, lúc này máy khách không đủ điều kiện sẽ bị cách ly trước khi cho phép thiết lập
các tunnel infrastructure tunnel và intranet tunnel.
Một điều quan trọng cần lưu ý ở đây là kết nối End to Edge hỗ trợ tất cả các mạng, điều
này không bắt buộc bạn phải có các host hỗ trợ IPv6 trong mạng nội bộ. Mặc dù vậy, nếu
muốn triển khai bảo mật “end to end” với chế độ IPsec tunnel và IPsec transport thì bạn
cần phải có các máy chủ Windows Server 2008 phía sau máy chủ DirectAccess. Ngoài
ra, bạn có thể sử dụng lẫn các kiểu kết nối End to Edge và End to End; chúng không loại
trừ lẫn nhau.
Tất cả lưu lượng di chuyển giữa máy khách và máy chủ DirectAccess đều là lưu lượng
IPv6. Ngụ ý ở đây là rằng, dù các máy chủ phía sau UAG DirectAccess không nhận biết
IPv6 (IPv6 aware) thì các ứng dụng máy khách phải hỗ trợ giao thức này. Để đáp ứng
điều đó, bạn cần đảm bảo các ứng dụng máy khách tương thích IPv6 trước khi triển khai
DirectAccess.
Lưu ý:
Chúng ta cần làm rõ các thuật ngữ như “IPv6 aware”, “IPv6 capable”, “IPv6 only” và
“native IPv6”. Khi nói đến các mạng “native IPv6”, chúng ta cần hiểu rằng tất cả cơ sở hạ
tầng mạng ở đây (routers, DNS, DHCP,…) cũng như các máy khách và máy chủ hỗ trợ
IPv6 một cách hoàn chỉnh. Ngược lại, thuật ngữ “IPv6 aware” nói đến việc không sử
dụng IPv6 một cách xuyên suốt, chỉ có các ứng dụng máy khách và máy chủ có thể lợi
dụng ưu điểm của các kỹ thuật chuyển tiếp IPv6 để có thể làm việc trên các mạng IPv4.
Trong khi đó các mạng “IPv6 capable” có các host hỗ trợ the Intra-Site Automatic Tunnel
Addressing Protocol (ISATAP) để các tin nhắn IPv6 có thể được gửi qua mạng IPv6. Khi
cài đặt UAG làm máy chủ DirectAccess, nó sẽ tự cấu hình một ISATAP router để các tin

nhắn IPv6 được chuyển đi bên trong một header Ipv4 qua mạng IPv4, chính vì vậy không
cần nâng cấp router và switch DNS cũng như DHCP server để làm việc với kết nối IPv6.
Kết luận
Trong phần một của loạt bài này, chúng tôi đã cung cấp cho các bạn kiến thức tổng quan
về những gì DirectAccess có thể thực hiện, những giá trị nó có thể cung cấp cho cả bạn
và người dùng. Chúng ta đã thấy cách DirectAccess thiết lập hai tunnel, intranet tunnel và
infrastructure tunnel. Thêm vào đó là hai chế độ triển khai: end to edge và end to end.
Trong phần tiếp theo của loạt bài, chúng tôi sẽ giới thiệu một số thông tin chi tiết về kỹ
thuật chuyển tiếp IPv6 được sử dụng bởi UAG DirectAccess.