Editions ENI. DirectAccess. Mobilité et nomadisme, mise en œuvre de la solution Microsoft. Collection Expert IT. Table des matières

Transcription

1 Editions ENI DirectAccess Mobilité et nomadisme, mise en œuvre de la solution Microsoft Collection Expert IT Table des matières

2 Table des matières 1 Les éléments à télécharger sont disponibles à l'adresse suivante : Saisissez la référence ENI de l'ouvrage EIDIRA dans la zone de recherche et validez. Cliquez sur le titre du livre puis sur le bouton de téléchargement. Avant-propos Chapitre 1 DirectAccess pour quoi faire? 1. Le nomadisme en quelques mots Du point de vue de l'utilisateur Du point de vue de l'exploitant Objectifs de DirectAccess Du point de vue de l'utilisateur Du point de vue de l'exploitant Scénarios autour du nomadisme Authentification des utilisateurs mobiles Gestion du poste de travail en situation de mobilité Gestion de la conformité du poste de travail en situation de mobilité Contrôle d'accès et isolation logique Uniformisation de la politique d'accès à Internet La sécurité de nos réseaux d'entreprise Notre réseau d'entreprise est-il sûr? Redéfinir le périmètre à protéger Dans le cadre de cet ouvrage Synthèse

3 2 AccessDirect Mobilité et nomadisme, mise en œuvre de la solution Microsoft Chapitre 2 L'assemblage des technologies 1. Introduction Pourquoi IPv6? Faut-il avoir peur d'ipv6? Pourquoi DirectAccess repose-t-il sur IPv6? Dois-je commencer un projet IPv6? DirectAccess Windows versus DirectAccess UAG Positionnement des technologies pour DirectAccess IPv IPv Pare-feu IPSec AuthIP NRPT - Tout part du client PKI Network Location Server Synthèse Chapitre 3 IPv6 1. Introduction à IPv Synthèse comparative Espace d'adressage et notation Notion de préfixe Synthèse Les différents types d'adresses Link-Local Unique Local IPv6 Unicast Global Unicast MultiCast

4 Table des matières Anycast Special Synthèse Configuration Configuration manuelle Configuration automatique Synthèse Cohabitation IPv ISATAP to Teredo IPHTTPS DNS NAT Synthèse Chapitre 4 Les choix d architectures 1. Introduction Domain Name Server Zones DNS internes Serveurs DNS internes DNSQueryBlockList ISATAP Binding IPv Zones DNS externes Exceptions Active Directory Identification des clients nomades Identification des serveurs DirectAccess

5 4 AccessDirect Mobilité et nomadisme, mise en œuvre de la solution Microsoft 4. Pare-feu Stratégies de pare-feu Protocole ICMPv4 entrant Protocole ICMPv6 entrant Protocole ICMPv4 sortant Protocole ICMPv6 sortant Systèmes impliqués par cette stratégie de groupe Positionnement de la stratégie de pare-feu Cas des outils de prise en main à distance Public Key Infrastructure Architecture Mise en œuvre dans la maquette Installation du rôle ADCS Publication de la CRL Prise en charge de la fonctionnalité Auto-Enrôlement Positionnement de la stratégie de groupe PKI Settings Sécurisation du site web d'enrôlement Synthèse Les usages de la PKI dans DirectAccess IPSec Network Location Server IPHTTPS Authentification forte par carte à puce Authentification forte One-Time Password Conformité du poste de travail Synthèse Network Location Server Le concept du phare Comment choisir l'emplacement du NLS? Mise en œuvre sur la maquette Le phare doit-il être en haute disponibilité?

6 Table des matières Comment assurer la haute disponibilité? Reconstruire le NLS Déplacer le NLS Haute disponibilité du DNS Réutiliser un site existant Haute disponibilité matérielle/logicielle Synthèse Positionnement du serveur DirectAccess Les fondamentaux de la DMZ Besoin de connectivité directe à Internet Flux entrants nécessaires sur le serveur Raccordement au domaine Types de tunnels IPSec Tunnel IPSec Infrastructure Tunnel IPSec Utilisateur Tunnel IPSec Application Synthèse Les scénarios de DirectAccess End to Edge Modified end to Edge End to end Le Remote Management Synthèse DirectAccess Windows versus DirectAccess UAG Le DirectAccess Windows Le DirectAccess UAG Synthèse

7 6 AccessDirect Mobilité et nomadisme, mise en œuvre de la solution Microsoft Chapitre 5 L'approche projet 1. Introduction Les interlocuteurs impliqués Le chef de projet Son rôle dans le projet Risques à prendre en considération Le responsable de la sécurité informatique Son rôle dans le projet Risques à prendre en considération Se focaliser avant tout sur l'essentiel L'équipe en charge du poste de travail Son rôle dans le projet Risques à prendre en considération L'exploitant de la plateforme Windows Son rôle dans le projet Risques à prendre en considération Le cas des hébergeurs L'exploitant réseau Son rôle dans le projet Risques à prendre en considération Support de premier niveau Rôle dans le projet Risques à prendre en considération Des utilisateurs représentatifs Rôle dans le projet Risques à prendre en considération Organisation du projet Les éventuels sous-projets Authentification forte Haute disponibilité La conformité

8 Table des matières Gestion du client nomade IPv Approche itérative IPD Guides Test Lab Guides Technet Proof of Concept Disposer de plusieurs environnements Développer par itérations La compatibilité des applications Résolution DNS Applications client-serveur Application non compatible avec IPv Synthèse Chapitre 6 Mise en œuvre de DirectAccess 1. Introduction Pré-requis communs Configuration des interfaces réseau Configuration de l'interface réseau LAN Table de routage Configuration de l'interface réseau Internet Binding order Domaine Active Directory Flux réseau nécessaires Réduire la plage de ports Read Only Domain Controller Autres ports Certificats IPSec

9 8 AccessDirect Mobilité et nomadisme, mise en œuvre de la solution Microsoft IPHTTPS System Health Authentication Avec Windows 2008 R Installation Configuration de DirectAccess Identification des clients nomades Configuration du serveur DirectAccess Configuration de l'infrastructure Configuration du mode DirectAccess Activation de la configuration Avec UAG 2010 SP Installation en autonome Installation en ferme Différents types d'adresses IP Installation du premier nœud Installation des nœuds additionnels Configuration Network Load Balancing Configuration Hardware Load Balancing Configuration DirectAccess Identification des clients nomades Configuration d'un serveur autonome pour DirectAccess Configuration de l'infrastructure Configuration du mode DirectAccess Spécificité de la haute disponibilité NLB Spécificités de la haute disponibilité HLB Activation de la configuration Synthèse

10 Table des matières 9 Chapitre 7 Aller plus loin avec DirectAccess 1. Introduction Simuler Internet sur un environnement de maquette Configuration de la machine virtuelle "Simulation Internet" Configuration des rôles ADCS et DNS Configuration du rôle DHCP Configuration du rôle Routage et accès distant Intégration de la machine virtuelle dans la maquette NCSI Synthèse Pare-feu Sur le poste client Sur le serveur UAG En amont du serveur DirectAccess/UAG En aval du serveur DirectAccess/UAG La DMZ a-t-elle un sens en IPv6? Rupture de protocole avec ISATAP Synthèse Sécurisation UAG Security Configuration Wizard Antivirus sur UAG Les correctifs et les Services Pack UAG/TMG Windows Update TMG UAG Synthèse DirectAccess Connectivity Assistant Configuration avec Forefront UAG 2010 SP Configuration avec Windows Server 2008 R Synthèse

11 10 AccessDirect Mobilité et nomadisme, mise en œuvre de la solution Microsoft 6. Network Access Protection Introduction Fonctionnement Mise en œuvre d'un Health Registration Authority Installation du rôle HRA Configuration du site web Configuration du NPS Configuration du client NAP Implémentation côté serveur Cas DirectAccess avec Windows Server 2008 R Cas DirectAccess avec Forefront UAG Synthèse Split Tunneling/Force Tunneling Split Tunneling Force Tunneling Impact du Force Tunneling Synthèse Authentification forte Carte à puce One-Time Password (OTP) Fonctionnement Mise en œuvre Synthèse Configurations additionnelles Désactivation du protocole 6to Configuration du client Teredo en mode Enterprise client state Mode Modified end to edge Fonctionnement Mise en œuvre Impacts côté serveur Impacts côté client

12 Table des matières Limitations Synthèse Synthèse Chapitre 8 Exploitation de la plateforme DirectAccess 1. Introduction Checklist du client Validation des stratégies de groupe Mode de pare-feu de domaine Enregistrement dans le DNS Interface ISATAP Présence du certificat Présence du DAC Synthèse Dépannage Que dit le DAC? Valider la connectivité Internet Valider la détection d'état DirectAccess Valider le profil de pare-feu Valider la présence du certificat Valider le certificat IPHTTPS Valider l'initialisation d'une interface IPv Valider la connectivité avec UAG en IPv Valider le routage IPv Valider la présence des Connection Security Rules Valider le bon établissement des tunnels IPSec Générer des traces de diagnostic Capture de traces réseau Désactiver DirectAccess Certificats client et serveur

13 12 AccessDirect Mobilité et nomadisme, mise en œuvre de la solution Microsoft 3.16 Synthèse Dépannage du serveur UAG Activation Monitor UAG Best Practice Analyzer UAG Web Monitor DirectAccess Management Console Suivi des tunnels IPSec Synthèse Cas pratiques d'applications à problème La console Hyper-V Le client Citrix Synthèse Exploitation UAG Suivi du processus d'activation UAG Array Management Server Export de la configuration Importation de la configuration Mises à jour de sécurité Windows Update Paramétrage du client Windows Update Incompatibilités Stratégies de groupe Suivi des accès Monitoring UAG Web Monitor Le Snap-In PowerShell Suivi des tunnels IPSec Suivi des sessions dans TMG Monitoring Network Access Protection SCOM Synthèse

14 Table des matières 13 Annexe Aller plus loin avec UAG 1. Introduction Création d'un portail UAG Web Monitor Création de la publication du Web Monitor Section DirectAccess du Web Monitor Fonctionnalités limitées du client Lync Publication des services Lync Création de l'écouteur Web Mise en œuvre de la publication Tests basiques de vérifications Bonnes pratiques Environnement de test Connectivité Internet Test d'accès Performances Sécurité Conclusion Index

15 Editions ENI Windows Server 2008 R2 Administration avancée (2 ième édition) Collection Expert IT Table des matières

16 Les éléments à télécharger sont disponibles à l adresse suivante : Saisissez la référence ENI de l ouvrage EI208R2WINS dans la zone de recherche et validez. Cliquez sur le titre du livre puis sur le lien de téléchargement. Avant-propos Chapitre 1 Introduction 1. Introduction Les différentes éditions de Windows Server 2008 R Les grands axes de Windows Server 2008 R Un meilleur contrôle de l information Une meilleure protection du système d information Une plate-forme évolutive Chapitre 2 Domaine Active Directory 1. Introduction Présentation du service d annuaire Microsoft : Active Directory Domain Services Définition d un domaine Active Directory Fonctionnalités de l Active Directory sous Windows Server 2008 R Installation d un annuaire Active Directory Présentation de l audit lié au service d annuaire Contrôleur de domaine en lecture seule Stratégies de mot de passe et de verrouillage de compte granulaire Active Directory en tant que service Windows Cliché instantané de l Active Directory Les comptes de service géré La corbeille Active Directory Autres spécificités de Windows Server 2008 R Les stratégies de groupe Détection des liens lents Le format ADMX...74

17 2 Windows Server 2008 R2 Administration avancée 3.3 Journaux d'évènements Des stratégies de groupe très utiles La console Gestion des stratégies de groupe Les objets GPO Starter Les autres composants Active Directory Active Directory Lightweight Directory Services (ou AD LDS) Active Directory Federation Services (ou AD FS) Active Directory Rights Management Services (ou AD RMS) Active Directory Certificate Services (ou AD CS) Chapitre 3 Architecture distribuée d'accès aux ressources 1. Introduction Description de DFS L installation Le module d espace de noms Le module de réplication La console d administration Le cas des contrôleurs de domaine La cohabitation avec DFS La procédure d installation graphique La configuration Les différents types de racines distribuées Les racines autonomes Les racines de noms de domaine La création des liaisons DFS et cibles DFS La réplication Les filtres de réplication La mise en place graphique de la réplication La topologie de réplication La configuration avancée Les méthodes de classement La configuration au niveau des racines DFS La configuration au niveau des liaisons DFS La configuration au niveau des cibles DFS La délégation d administration...134

18 Table des matières 3 6. Les apports de Windows 2008 R Les outils DFSCMD DFSRADMIN DFSRDIAG DFSUTIL DFSRMIG L utilisation de DFS et les bons usages Les améliorations de DFS avec Windows Server 2008 R Le mode ABE Le mode «lecture uniquement» de la réplication DFS sur Windows 2008 R Des compteurs de performances spécifiques pour DFS sur Windows 2008 R Les performances améliorées pour les grosses infrastructures DFS De nouvelles options pour DFSFRDIAG Les éléments ajoutés à la gestion des imprimantes sur Windows 2008 R L amélioration de l assistant de migration L isolement des pilotes d impression Location-aware printing (impression dépendante du site) Le serveur de numérisation distribuée L installation du service de rôle Serveur de numérisation distribuée La définition d un processus de numérisation Le BranchCache L installation La configuration des partages La configuration des clients Chapitre 4 Haute disponibilité 1. Introduction Les choix d architecture Les différentes architectures La haute disponibilité, nirvana de votre infrastructure?

19 4 Windows Server 2008 R2 Administration avancée 3. La répartition de charge (Cluster NLB) Créer une ferme NLB Configurer la ferme Exemple : ferme Web IIS Le cluster à basculement Migration de Windows Server 2003 à 2008 R Validation de votre cluster Mise en œuvre du cluster Chapitre 5 Mise en place des services réseaux d'entreprise 1. Introduction L implémentation d'un système d'adressage IP Le choix de l'architecture réseaux La zone DNS La classe réseau L installation d un serveur DHCP Définition L installation La configuration Les réservations La mise en place des systèmes de résolutions de nom La résolution DNS Définition L installation Les différents types de zones Les différents types de réplications Les zones de recherche inversée Les tests et vérifications Les différents types d enregistrement Les bons usages DNSSEC La résolution WINS Définition L installation...226

20 Table des matières La configuration La réplication entre serveurs WINS Quand et pourquoi utiliser WINS? La mise en place de la quarantaine réseau La préparation de l environnement commun aux différents types de quarantaine La mise en place de NAP via DHCP La mise en place de NAP via IPSec Installation du service Autorité HRA Configuration du système de validation (HRA) Définition des règles de sécurité de connexion La mise en place de NAP sur 802.1x Conclusion Chapitre 6 Déploiement des serveurs et postes de travail 1. Introduction Préparer son déploiement en choisissant bien sa stratégie Définir le périmètre Gestion des licences Choix de l édition et du type d installation Créer et déployer Microsoft Deployment Toolkit (MDT 2010) Lite Touch WDS Aller plus loin Microsoft Application Compatibility Toolkit Environnement à la demande ImageX DISM (Deployment Image Servicing and Management) Zero touch avec SCCM 2007 SP Joindre le domaine sans réseau En cas de problème...283

21 6 Windows Server 2008 R2 Administration avancée Chapitre 7 Bureau à distance (Terminal Services) 1. Introduction Mise en œuvre des Services Bureau à distance Administration à distance Le rôle Hôte de session Installation Configuration Configuration de l accès Web Configuration de la passerelle Bureau à distance Configuration du RemoteApp Configuration du gestionnaire de licences Bureau à distance Installer un logiciel sur un serveur RDS Configurations avancées Configuration du Session Broker Gestion des impressions Optimiser la bande passante Maintenances Améliorations avec Windows Server 2008 R Remote Desktop Client Gérer les profils itinérants Intégration VDI/Hyper-V RemoteFX RemoteFX pour un hôte de virtualisation des services Bureau à distance RemoteFX pour un hôte de session bureau à distance RemoteFX utilisé pour la redirection USB Chapitre 8 Accès distant 1. Introduction Principe de l accès distant Accès par téléphone Généralités sur les connexions Dial-Up Avantages et inconvénients des connexions Dial-Up...328

22 Table des matières Accès via Internet Généralités sur les VPN Les différents types de VPN proposés sous Windows Server 2008 R Avantages et inconvénients du VPN Direct Access, le "VPN-Killer" Mettre en place un accès sécurisé à travers Internet Mise en place d'une liaison VPN Installation du rôle Services de stratégie et d accès réseau Configuration des fonctionnalités VPN Gestion de la sécurité des accès Gestion de l'authentification (IAS/RADIUS) Implémentation de Direct Access Chapitre 9 Application Internet 1. Mettre en place un serveur Intranet/Internet Présentation d IIS Présentation générale Nouvelle architecture Nouvelle administration Nouveautés incluses avec IIS 7.5 dans Windows Server 2008 R Installation du rôle Serveur Web (IIS) en mode console Installation par défaut Installation complète Installation du rôle Serveur Web (IIS) en mode graphique Monter un site Web Création et configuration d un site Mise à jour du domaine DNS Mise en place d une DMZ Monter un site FTP avec isolation des utilisateurs Monter un site Intranet...395

23 8 Windows Server 2008 R2 Administration avancée Chapitre 10 Limiter les possibilités d'attaque avec Server Core 1. Introduction Principes du serveur Core Restrictions liées à une installation Core Installation minimale Configurer localement un Serveur Core Sconfig Configurer le temps Paramètres régionaux Résolution de l écran Économiseur d écran Nom du serveur Gestion des pilotes Configuration réseau Activation de Windows Gestion du rapport d erreurs Configurer le PageFile Joindre un domaine Gérer les journaux d évènements Gestion à distance Activation du bureau à distance Activation de WinRM Sécuriser le Serveur Core Gestion du pare-feu Gestion automatique des mises à jour Sauvegarder le serveur Sécurisation du stockage avec BitLocker Mise en place d'un serveur Core et des applications associées Installation des rôles et des fonctionnalités Les rôles réseaux Le rôle serveur de fichiers Le rôle serveur d impression Service d'annuaire (AD) Exécuter des applications 32 bits

24 Table des matières 9 Chapitre 11 Consolider vos serveurs 1. Introduction Pourquoi consolider? Virtuel versus Physique Optimisation des coûts Les limites de la virtualisation De nouvelles problématiques Environnement mutualisé Sauvegarde Préparer son déploiement Pré-requis Méthodologie Déterminer les serveurs et les applications propices à la virtualisation Respect des meilleures pratiques Déployer Hyper-V Installation Configuration du rôle Configuration du stockage Configuration de la gestion de la mémoire dynamique SCVMM 2008 R Mises à jour Windows Live migration Chapitre 12 Sécuriser votre architecture 1. Introduction Principe de moindre privilège Les différents types de compte Le contrôle d accès utilisateur Gérer vos groupes à l aide des groupes restreints Applocker ou le contrôle de l'application...471

25 10 Windows Server 2008 R2 Administration avancée 3. Délégation d administration Approche de la délégation d administration Délégation de comptes utilisateur Sécurisation du réseau Network Access Protection Le pare-feu Windows Le chiffrement IPSec Chapitre 13 Cycle de vie de votre infrastructure 1. Introduction Gestion des sauvegardes Windows Server Backup Installation de Windows Server Backup Création de la sauvegarde planifiée d un dossier Outils associés à WSB et sauvegardes uniques Restauration de données Restauration des fichiers et/ou de dossiers Restauration de l état du système Grappe RAID Gestion des mises à jour Présentation de WSUS Installation de WSUS Installation sur Windows Server 2008 R Utilisation de WSUS Chapitre 14 Se préparer pour le futur 1. Après Windows Server 2008 R2 et Windows Le calendrier attendu Index...533