DirectAccess Mobilité et nomadisme, mise en oeuvre de la solution Microsoft

Transcription

1 DirectAccess pour quoi faire? 1. Le nomadisme en quelques mots Du point de vue de l'utilisateur Du point de vue de l'exploitant Objectifs de DirectAccess Du point de vue de l'utilisateur Du point de vue de l'exploitant Scénarios autour du nomadisme Authentification des utilisateurs mobiles Gestion du poste de travail en situation de mobilité Gestion de la conformité du poste de travailen situation de mobilité Contrôle d'accès et isolation logique Uniformisation de la politique d'accès à Internet La sécurité de nos réseaux d'entreprise Notre réseau d'entreprise est-il sûr? Redéfinir le périmètre à protéger Dans le cadre de cet ouvrage Synthèse 36 L'assemblage des technologies 1. Introduction Pourquoi IPv6? Faut-il avoir peur d'ipv6? Pourquoi DirectAccess repose-t-il sur IPv6? 40 1/13

2 2.3 Dois-je commencer un projet IPv6? DirectAccess Windows versus DirectAccess UAG Positionnement des technologies pour DirectAccess IPv IPv Pare-feu IPSec AuthIP NRPT - Tout part du client PKI Network Location Server Synthèse 67 IPv6 1. Introduction à IPv Synthèse comparative Espace d'adressage et notation Notion de préfixe Synthèse Les différents types d'adresses Link-Local Unique Local IPv6 Unicast Global Unicast MultiCast Anycast Special Synthèse 76 2/13

3 3. Configuration Configuration manuelle Configuration automatique Synthèse Cohabitation IPv ISATAP to Teredo IPHTTPS DNS NAT Synthèse 103 Les choix d architectures 1. Introduction Domain Name Server Zones DNS internes Serveurs DNS internes DNSQueryBlockList ISATAP Binding IPv Zones DNS externes Exceptions Active Directory Identification des clients nomades Identification des serveurs DirectAccess 115 3/13

4 4. Pare-feu Stratégies de pare-feu Protocole ICMPv4 entrant Protocole ICMPv6 entrant Protocole ICMPv4 sortant Protocole ICMPv6 sortant Systèmes impliqués par cette stratégie de groupe Positionnement de la stratégie de pare-feu Cas des outils de prise en main à distance Public Key Infrastructure Architecture Mise en œuvre dans la maquette Installation du rôle ADCS Publication de la CRL Prise en charge de la fonctionnalité Auto-Enrôlement Positionnement de la stratégie de groupe PKI Settings Sécurisation du site web d'enrôlement Synthèse Les usages de la PKI dans DirectAccess IPSec Network Location Server IPHTTPS Authentification forte par carte à puce Authentification forte One-Time Password Conformité du poste de travail Synthèse Network Location Server Le concept du phare Comment choisir l'emplacement du NLS? Mise en œuvre sur la maquette Le phare doit-il être en haute disponibilité? Comment assurer la haute disponibilité? 180 4/13

5 6.5.1 Reconstruire le NLS Déplacer le NLS Haute disponibilité du DNS Réutiliser un site existant Haute disponibilité matérielle/logicielle Synthèse Positionnement du serveur DirectAccess Les fondamentaux de la DMZ Besoin de connectivité directe à Internet Flux entrants nécessaires sur le serveur Raccordement au domaine Types de tunnels IPSec Tunnel IPSec Infrastructure Tunnel IPSec Utilisateur Tunnel IPSec Application Synthèse Les scénarios de DirectAccess End to Edge Modified end to Edge End to end Le Remote Management Synthèse DirectAccess Windows versus DirectAccess UAG Le DirectAccess Windows Le DirectAccess UAG Synthèse 196 L'approche projet 1. Introduction 197 5/13

6 2. Les interlocuteurs impliqués Le chef de projet Son rôle dans le projet Risques à prendre en considération Le responsable de la sécurité informatique Son rôle dans le projet Risques à prendre en considération Se focaliser avant tout sur l'essentiel L'équipe en charge du poste de travail Son rôle dans le projet Risques à prendre en considération L'exploitant de la plateforme Windows Son rôle dans le projet Risques à prendre en considération Le cas des hébergeurs L'exploitant réseau Son rôle dans le projet Risques à prendre en considération Support de premier niveau Rôle dans le projet Risques à prendre en considération Des utilisateurs représentatifs Rôle dans le projet Risques à prendre en considération Organisation du projet Les éventuels sous-projets Authentification forte Haute disponibilité La conformité Gestion du client nomade IPv Approche itérative IPD Guides 225 6/13

7 3.2.2 Test Lab Guides Technet Proof of Concept Disposer de plusieurs environnements Développer par itérations La compatibilité des applications Résolution DNS Applications client-serveur Application non compatible avec IPv Synthèse 233 Mise en œuvre de DirectAccess 1. Introduction Pré-requis communs Configuration des interfaces réseau Configuration de l'interface réseau LAN Table de routage Configuration de l'interface réseau Internet Binding order Domaine Active Directory Flux réseau nécessaires Réduire la plage de ports Read Only Domain Controller Autres ports Certificats IPSec IPHTTPS System Health Authentication 253 7/13

8 3. Avec Windows 2008 R Installation Configuration de DirectAccess Identification des clients nomades Configuration du serveur DirectAccess Configuration de l'infrastructure Configuration du mode DirectAccess Activation de la configuration Avec UAG 2010 SP Installation en autonome Installation en ferme Différents types d'adresses IP Installation du premier nœud Installation des nœuds additionnels Configuration Network Load Balancing Configuration Hardware Load Balancing Configuration DirectAccess Identification des clients nomades Configuration d'un serveur autonomepour DirectAccess Configuration de l'infrastructure Configuration du mode DirectAccess Spécificité de la haute disponibilité NLB Spécificités de la haute disponibilité HLB Activation de la configuration Synthèse 314 Aller plus loin avec DirectAccess 1. Introduction 315 8/13

9 2. Simuler Internet sur un environnement de maquette Configuration de la machine virtuelle "Simulation Internet" Configuration des rôles ADCS et DNS Configuration du rôle DHCP Configuration du rôle Routage et accès distant Intégration de la machine virtuelle dans la maquette NCSI Synthèse Pare-feu Sur le poste client Sur le serveur UAG En amont du serveur DirectAccess/UAG En aval du serveur DirectAccess/UAG La DMZ a-t-elle un sens en IPv6? Rupture de protocole avec ISATAP Synthèse Sécurisation UAG Security Configuration Wizard Antivirus sur UAG Les correctifs et les Services Pack UAG/TMG Windows Update TMG UAG Synthèse DirectAccess Connectivity Assistant Configuration avec Forefront UAG 2010 SP Configuration avec Windows Server 2008 R Synthèse Network Access Protection 360 9/13

10 6.1 Introduction Fonctionnement Mise en œuvre d'un Health Registration Authority Installation du rôle HRA Configuration du site web Configuration du NPS Configuration du client NAP Implémentation côté serveur Cas DirectAccess avec Windows Server 2008 R Cas DirectAccess avec Forefront UAG Synthèse Split Tunneling/Force Tunneling Split Tunneling Force Tunneling Impact du Force Tunneling Synthèse Authentification forte Carte à puce One-Time Password (OTP) Fonctionnement Mise en œuvre Synthèse Configurations additionnelles Désactivation du protocole 6to Configuration du client Teredo en mode Enterprise client state Mode Modified end to edge Fonctionnement Mise en œuvre Impacts côté serveur Impacts côté client Limitations /13

11 10.6 Synthèse Synthèse 406 Exploitation de la plateforme DirectAccess 1. Introduction Checklist du client Validation des stratégies de groupe Mode de pare-feu de domaine Enregistrement dans le DNS Interface ISATAP Présence du certificat Présence du DAC Synthèse Dépannage Que dit le DAC? Valider la connectivité Internet Valider la détection d'état DirectAccess Valider le profil de pare-feu Valider la présence du certificat Valider le certificat IPHTTPS Valider l'initialisation d'une interface IPv Valider la connectivité avec UAG en IPv Valider le routage IPv Valider la présence des Connection Security Rules Valider le bon établissement des tunnels IPSec Générer des traces de diagnostic Capture de traces réseau Désactiver DirectAccess Certificats client et serveur Synthèse /13

12 4. Dépannage du serveur UAG Activation Monitor UAG Best Practice Analyzer UAG Web Monitor DirectAccess Management Console Suivi des tunnels IPSec Synthèse Cas pratiques d'applications à problème La console Hyper-V Le client Citrix Synthèse Exploitation UAG Suivi du processus d'activation UAG Array Management Server Export de la configuration Importation de la configuration Mises à jour de sécurité Windows Update Paramétrage du client Windows Update Incompatibilités Stratégies de groupe Suivi des accès Monitoring UAG Web Monitor Le Snap-In PowerShell Suivi des tunnels IPSec Suivi des sessions dans TMG Monitoring Network Access Protection SCOM Synthèse /13

13 Aller plus loin avec UAG 1. Introduction Création d'un portail UAG Web Monitor Création de la publication du Web Monitor Section DirectAccess du Web Monitor Fonctionnalités limitées du client Lync Publication des services Lync Création de l'écouteur Web Mise en œuvre de la publication Tests basiques de vérifications Bonnes pratiques Environnement de test Connectivité Internet Test d'accès Performances Sécurité Conclusion 529 Index /13