70-685 Windows 7 Support in Unternehmen.pdf - Gattner

Lektion 2: Grundlagen von DirectAccess-Clientverbindungen 261
Damit Remoteclientcomputer Computer im internen Unternehmensnetzwerk über Direct-
Access erreichen können, müssen die internen Computer vollständig IPv6-kompatibel sein.
Computer in Ihrem IPv4-Netzwerk sind vollständig IPv6-kompatibel, wenn eine der folgenden
Aussagen zutrifft:
Die Computer laufen unter Windows 7, Windows Vista, Windows Server 2008 oder
Windows Server 2008 R2.
Sie haben in Ihrem Intranet ISATAP bereitgestellt, damit interne Server und Anwendungen
erreicht werden können, indem IPv6-Verkehr über Ihr reines IPv4-Intranet getunnelt
wird.
Sie verwenden ein NAT-PT-Gerät, um Verkehr zwischen Ihren DirectAccess-Clients und
Ihren Intranetcomputern umzusetzen, die nur IPv4 unterstützen.
IPSec
DirectAccess greift auf IPSec zurück, um Endpunkt-zu-Endpunkt-Sicherheit für Remoteclientcomputer
zu gewährleisten, die auf Ressourcen im internen Unternehmensnetzwerk
zugreifen. Für die Authentifizierung und Verschlüsselung aller DirectAccess-Verbindungen
werden IPsec-Richtlinien benutzt. Diese Richtlinien werden mithilfe von Gruppenrichtlinien
auf Clientcomputern konfiguriert und angewendet.
PKI
Es wird eine PKI gebraucht, um Computerzertifikate für die Client- und Serverauthentifizierung
auszustellen. Sie ist außerdem nötig, um Integritätszertifikate auszustellen, wenn
NAP bereits implementiert ist. Diese Zertifikate können von einer Zertifizierungsstelle im
internen Netzwerk ausgestellt werden; Sie brauchen dafür keine öffentliche Zertifizierungsstelle
zu beauftragen.
Sperrlisten-Verteilungspunkte
In einer DirectAccess-Infrastruktur sind Sperrlisten-Verteilungspunkte (Certificate Revocation
List Distribution Point, CDP) die Server, die Zugriff auf die Zertifikatsperrliste bieten,
die von der Zertifizierungsstelle veröffentlicht wird, die Zertifikate für DirectAccess ausstellt.
Es sollten getrennte CDPs für interne Clients im Unternehmensnetzwerk und externe Clients
im Internet bereitgestellt werden.
Ausnahmen für die Perimeterfirewall
In der Perimeterfirewall Ihres Unternehmensnetzwerks müssen folgende Ports geöffnet
werden, um DirectAccess zu unterstützen:
UDP-Port 3544 für eingehenden Teredo-Verkehr
IPv4-Protokoll 41 für eingehenden 6to4-Verkehr
TCP-Port 443 für eingehenden IP-HTTPS-Verkehr
Wenn Sie Clientcomputer unterstützen wollen, die native IPv6-Adressen haben, müssen
zusätzlich folgende Ausnahmen geöffnet werden:
ICMPv6
IPv4-Protokoll 50