DirectAccess pour quoi faire? 1. Le nomadisme en quelques mots 15 1.1 Du point de vue de l'utilisateur 15 1.2 Du point de vue de l'exploitant 17 2. Objectifs de DirectAccess 18 2.1 Du point de vue de l'utilisateur 18 2.2 Du point de vue de l'exploitant 20 3. Scénarios autour du nomadisme 20 3.1 Authentification des utilisateurs mobiles 20 3.2 Gestion du poste de travail en situation de mobilité 23 3.3 Gestion de la conformité du poste de travailen situation de mobilité 24 3.4 Contrôle d'accès et isolation logique 25 3.5 Uniformisation de la politique d'accès à Internet 27 4. La sécurité de nos réseaux d'entreprise 28 4.1 Notre réseau d'entreprise est-il sûr? 28 4.2 Redéfinir le périmètre à protéger 31 5. Dans le cadre de cet ouvrage 32 6. Synthèse 36 L'assemblage des technologies 1. Introduction 37 2. Pourquoi IPv6? 37 2.1 Faut-il avoir peur d'ipv6? 39 2.2 Pourquoi DirectAccess repose-t-il sur IPv6? 40 1/13
2.3 Dois-je commencer un projet IPv6? 42 3. DirectAccess Windows versus DirectAccess UAG 43 4. Positionnement des technologies pour DirectAccess 45 4.1 IPv4 45 4.2 IPv6 46 4.3 Pare-feu 47 4.4 IPSec 50 4.5 AuthIP 53 4.6 NRPT - Tout part du client 61 4.7 PKI 65 4.8 Network Location Server 66 5. Synthèse 67 IPv6 1. Introduction à IPv6 69 1.1 Synthèse comparative 69 1.2 Espace d'adressage et notation 70 1.3 Notion de préfixe 72 1.4 Synthèse 72 2. Les différents types d'adresses 72 2.1 Link-Local 73 2.2 Unique Local IPv6 Unicast 74 2.3 Global Unicast 74 2.4 MultiCast 75 2.5 Anycast 75 2.6 Special 76 2.7 Synthèse 76 2/13
3. Configuration 76 3.1 Configuration manuelle 77 3.2 Configuration automatique 78 3.3 Synthèse 78 4. Cohabitation IPv4 79 4.1 ISATAP 80 4.2 6to4 84 4.3 Teredo 89 4.4 IPHTTPS 95 4.5 DNS64 98 4.6 NAT64 101 5. Synthèse 103 Les choix d architectures 1. Introduction 105 2. Domain Name Server 105 2.1 Zones DNS internes 106 2.2 Serveurs DNS internes 106 2.2.1 DNSQueryBlockList 107 2.2.2 ISATAP 109 2.2.3 Binding IPv6 111 2.3 Zones DNS externes 112 2.4 Exceptions 112 3. Active Directory 114 3.1 Identification des clients nomades 114 3.2 Identification des serveurs DirectAccess 115 3/13
4. Pare-feu 115 4.1 Stratégies de pare-feu 116 4.1.1 Protocole ICMPv4 entrant 118 4.1.2 Protocole ICMPv6 entrant 119 4.1.3 Protocole ICMPv4 sortant 120 4.1.4 Protocole ICMPv6 sortant 121 4.1.5 Systèmes impliqués par cette stratégie de groupe 122 4.1.6 Positionnement de la stratégie de pare-feu 122 4.2 Cas des outils de prise en main à distance 123 5. Public Key Infrastructure 124 5.1 Architecture 124 5.2 Mise en œuvre dans la maquette 126 5.2.1 Installation du rôle ADCS 126 5.2.2 Publication de la CRL 129 5.2.3 Prise en charge de la fonctionnalité Auto-Enrôlement 137 5.2.4 Positionnement de la stratégie de groupe PKI Settings 141 5.2.5 Sécurisation du site web d'enrôlement 142 5.2.6 Synthèse 146 5.3 Les usages de la PKI dans DirectAccess 146 5.3.1 IPSec 146 5.3.2 Network Location Server 150 5.3.3 IPHTTPS 151 5.3.4 Authentification forte par carte à puce 154 5.3.5 Authentification forte One-Time Password 158 5.3.6 Conformité du poste de travail 159 5.3.7 Synthèse 168 6. Network Location Server 168 6.1 Le concept du phare 168 6.2 Comment choisir l'emplacement du NLS? 169 6.3 Mise en œuvre sur la maquette 173 6.4 Le phare doit-il être en haute disponibilité? 178 6.5 Comment assurer la haute disponibilité? 180 4/13
6.5.1 Reconstruire le NLS 180 6.5.2 Déplacer le NLS 180 6.5.3 Haute disponibilité du DNS 181 6.5.4 Réutiliser un site existant 182 6.5.5 Haute disponibilité matérielle/logicielle 182 6.6 Synthèse 183 7. Positionnement du serveur DirectAccess 183 7.1 Les fondamentaux de la DMZ 183 7.2 Besoin de connectivité directe à Internet 184 7.3 Flux entrants nécessaires sur le serveur 185 7.4 Raccordement au domaine 186 7.5 Types de tunnels IPSec 188 7.5.1 Tunnel IPSec Infrastructure 188 7.5.2 Tunnel IPSec Utilisateur 189 7.5.3 Tunnel IPSec Application 189 7.6 Synthèse 189 8. Les scénarios de DirectAccess 190 8.1 End to Edge 190 8.2 Modified end to Edge 191 8.3 End to end 192 8.4 Le Remote Management 193 8.5 Synthèse 193 9. DirectAccess Windows versus DirectAccess UAG 194 9.1 Le DirectAccess Windows 194 9.2 Le DirectAccess UAG 195 9.3 Synthèse 196 L'approche projet 1. Introduction 197 5/13
2. Les interlocuteurs impliqués 197 2.1 Le chef de projet 198 2.1.1 Son rôle dans le projet 198 2.1.2 Risques à prendre en considération 199 2.2 Le responsable de la sécurité informatique 199 2.2.1 Son rôle dans le projet 200 2.2.2 Risques à prendre en considération 200 2.2.3 Se focaliser avant tout sur l'essentiel 202 2.3 L'équipe en charge du poste de travail 202 2.3.1 Son rôle dans le projet 202 2.3.2 Risques à prendre en considération 202 2.4 L'exploitant de la plateforme Windows 204 2.4.1 Son rôle dans le projet 205 2.4.2 Risques à prendre en considération 205 2.4.3 Le cas des hébergeurs 207 2.5 L'exploitant réseau 209 2.5.1 Son rôle dans le projet 209 2.5.2 Risques à prendre en considération 209 2.6 Support de premier niveau 211 2.6.1 Rôle dans le projet 211 2.6.2 Risques à prendre en considération 211 2.7 Des utilisateurs représentatifs 212 2.7.1 Rôle dans le projet 213 2.7.2 Risques à prendre en considération 213 3. Organisation du projet 214 3.1 Les éventuels sous-projets 215 3.1.1 Authentification forte 215 3.1.2 Haute disponibilité 216 3.1.3 La conformité 219 3.1.4 Gestion du client nomade 221 3.1.5 IPv6 222 3.2 Approche itérative 225 3.2.1 IPD Guides 225 6/13
3.2.2 Test Lab Guides 226 3.2.3 Technet 227 3.2.4 Proof of Concept 227 3.2.5 Disposer de plusieurs environnements 228 3.2.6 Développer par itérations 229 4. La compatibilité des applications 230 4.1 Résolution DNS 231 4.2 Applications client-serveur 231 4.3 Application non compatible avec IPv6 232 5. Synthèse 233 Mise en œuvre de DirectAccess 1. Introduction 235 2. Pré-requis communs 235 2.1 Configuration des interfaces réseau 235 2.1.1 Configuration de l'interface réseau LAN 236 2.1.2 Table de routage 240 2.1.3 Configuration de l'interface réseau Internet 241 2.1.4 Binding order 246 2.2 Domaine Active Directory 247 2.2.1 Flux réseau nécessaires 247 2.2.2 Réduire la plage de ports 249 2.2.3 Read Only Domain Controller 249 2.2.4 Autres ports 250 2.3 Certificats 250 2.3.1 IPSec 250 2.3.2 IPHTTPS 251 2.3.3 System Health Authentication 253 7/13
3. Avec Windows 2008 R2 254 3.1 Installation 254 3.2 Configuration de DirectAccess 255 3.2.1 Identification des clients nomades 256 3.2.2 Configuration du serveur DirectAccess 257 3.2.3 Configuration de l'infrastructure 258 3.2.4 Configuration du mode DirectAccess 261 3.2.5 Activation de la configuration 263 4. Avec UAG 2010 SP1 265 4.1 Installation en autonome 266 4.2 Installation en ferme 271 4.2.1 Différents types d'adresses IP 272 4.2.2 Installation du premier nœud 274 4.2.3 Installation des nœuds additionnels 279 4.2.4 Configuration Network Load Balancing 281 4.2.5 Configuration Hardware Load Balancing 286 4.3 Configuration DirectAccess 290 4.3.1 Identification des clients nomades 291 4.3.2 Configuration d'un serveur autonomepour DirectAccess 295 4.3.3 Configuration de l'infrastructure 297 4.3.4 Configuration du mode DirectAccess 302 4.3.5 Spécificité de la haute disponibilité NLB 303 4.3.6 Spécificités de la haute disponibilité HLB 305 4.3.7 Activation de la configuration 310 5. Synthèse 314 Aller plus loin avec DirectAccess 1. Introduction 315 8/13
2. Simuler Internet sur un environnement de maquette 315 2.1 Configuration de la machine virtuelle "Simulation Internet" 316 2.1.1 Configuration des rôles ADCS et DNS 316 2.1.2 Configuration du rôle DHCP 327 2.1.3 Configuration du rôle Routage et accès distant 330 2.2 Intégration de la machine virtuelle dans la maquette 331 2.3 NCSI 332 2.4 Synthèse 334 3. Pare-feu 335 3.1 Sur le poste client 335 3.2 Sur le serveur UAG 338 3.3 En amont du serveur DirectAccess/UAG 339 3.4 En aval du serveur DirectAccess/UAG 339 3.5 La DMZ a-t-elle un sens en IPv6? 342 3.6 Rupture de protocole avec ISATAP 343 3.7 Synthèse 344 4. Sécurisation UAG 344 4.1 Security Configuration Wizard 344 4.2 Antivirus sur UAG 346 4.3 Les correctifs et les Services Pack UAG/TMG 349 4.3.1 Windows Update 349 4.3.2 TMG 351 4.3.3 UAG 351 4.4 Synthèse 352 5. DirectAccess Connectivity Assistant 352 5.1 Configuration avec Forefront UAG 2010 SP1 354 5.2 Configuration avec Windows Server 2008 R2 358 5.3 Synthèse 360 6. Network Access Protection 360 9/13
6.1 Introduction 360 6.2 Fonctionnement 361 6.3 Mise en œuvre d'un Health Registration Authority 364 6.3.1 Installation du rôle HRA 364 6.3.2 Configuration du site web 368 6.3.3 Configuration du NPS 369 6.3.4 Configuration du client NAP 371 6.4 Implémentation côté serveur 375 6.4.1 Cas DirectAccess avec Windows Server 2008 R2 376 6.4.2 Cas DirectAccess avec Forefront UAG 2010 377 6.5 Synthèse 381 7. Split Tunneling/Force Tunneling 382 7.1 Split Tunneling 382 7.2 Force Tunneling 382 7.3 Impact du Force Tunneling 387 7.4 Synthèse 388 8. Authentification forte 388 8.1 Carte à puce 389 8.2 One-Time Password (OTP) 392 8.2.1 Fonctionnement 392 8.2.2 Mise en œuvre 393 8.3 Synthèse 397 9. Configurations additionnelles 398 9.1 Désactivation du protocole 6to4 398 9.2 Configuration du client Teredo en mode Enterprise client state 399 10. Mode Modified end to edge 400 10.1 Fonctionnement 400 10.2 Mise en œuvre 401 10.3 Impacts côté serveur 403 10.4 Impacts côté client 403 10.5 Limitations 405 10/13
10.6 Synthèse 406 11. Synthèse 406 Exploitation de la plateforme DirectAccess 1. Introduction 407 2. Checklist du client 408 2.1 Validation des stratégies de groupe 408 2.2 Mode de pare-feu de domaine 410 2.3 Enregistrement dans le DNS 411 2.4 Interface ISATAP 412 2.5 Présence du certificat 415 2.6 Présence du DAC 415 2.7 Synthèse 416 3. Dépannage 417 3.1 Que dit le DAC? 417 3.2 Valider la connectivité Internet 418 3.3 Valider la détection d'état DirectAccess 420 3.4 Valider le profil de pare-feu 423 3.5 Valider la présence du certificat 427 3.6 Valider le certificat IPHTTPS 428 3.7 Valider l'initialisation d'une interface IPv6 434 3.8 Valider la connectivité avec UAG en IPv6 440 3.9 Valider le routage IPv6 442 3.10 Valider la présence des Connection Security Rules 444 3.11 Valider le bon établissement des tunnels IPSec 445 3.12 Générer des traces de diagnostic 448 3.13 Capture de traces réseau 450 3.14 Désactiver DirectAccess 452 3.15 Certificats client et serveur 452 3.16 Synthèse 454 11/13
4. Dépannage du serveur 455 4.1 UAG Activation Monitor 455 4.2 UAG Best Practice Analyzer 456 4.3 UAG Web Monitor 457 4.4 DirectAccess Management Console 458 4.5 Suivi des tunnels IPSec 459 4.6 Synthèse 459 5. Cas pratiques d'applications à problème 460 5.1 La console Hyper-V 460 5.2 Le client Citrix 463 5.3 Synthèse 464 6. Exploitation UAG 465 6.1 Suivi du processus d'activation UAG 465 6.2 Array Management Server 467 6.3 Export de la configuration 468 6.4 Importation de la configuration 469 6.5 Mises à jour de sécurité 470 6.5.1 Windows Update 470 6.5.2 Paramétrage du client Windows Update 470 6.5.3 Incompatibilités 470 6.6 Stratégies de groupe 471 7. Suivi des accès 471 7.1 Monitoring UAG Web Monitor 471 7.2 Le Snap-In PowerShell 473 7.3 Suivi des tunnels IPSec 475 7.4 Suivi des sessions dans TMG 476 7.5 Monitoring Network Access Protection 477 7.6 SCOM 489 8. Synthèse 490 12/13
Aller plus loin avec UAG 1. Introduction 491 2. Création d'un portail UAG 492 2.1 Web Monitor 502 2.1.1 Création de la publication du Web Monitor 502 2.1.2 Section DirectAccess du Web Monitor 505 2.2 Fonctionnalités limitées du client Lync 507 2.3 Publication des services Lync 510 2.3.1 Création de l'écouteur Web 510 2.3.2 Mise en œuvre de la publication 515 2.3.3 Tests basiques de vérifications 525 3. Bonnes pratiques 527 3.1 Environnement de test 527 3.1.1 Connectivité Internet 527 3.1.2 Test d'accès 528 3.2 Performances 528 3.3 Sécurité 528 4. Conclusion 529 Index 531 13/13