Archiv der Kategorie: Active Directory

Active Directory, AD DS, Verzeichnisdienst, Windows Domäne

Teil 27: Vorbereitung von DirectAccess

Veröffentlicht am von
Antworten

Vorbereitung von DirectAccess: Systeme und Protokolle

Für die Vorbereitung von DirectAccess ist es wichtig, einige wenige Begriffe zu kennen. Im folgenden Abschnitt möchte ich die Konfiguration der Systeme und Protokolle für mein einfaches Netzwerk so kurz wie möglich beschreiben. Nachdem ich alle notwendigen Informationen zusammengetragen habe, werde ich DirectAccess installieren und konfigurieren.

Als Referenz für die Vorbereitung von DirectAccess verwende ich DirectAccess in Windows Server. Für die Kapazitätsplanung hilft DirectAccess Capacity Planning.

IPv6 / IPv4 Übergangstechnologien

  • 6to4: Wird verwendet, wenn der DirectAccess-Client eine öffentliche IPv4-Adresse bezieht. Der Client darf sich nicht hinter einem NAT-Gerät befinden. Das dabei verwendete Protokoll 41 ist häufig durch die Internet Provider blockiert. Ich werde 6to4 nicht verwenden und mittels Gruppenrichtlinie deaktivieren.
  • Teredo: Funktioniert 6to4 nicht, wird der Verbindungsaufbau mittels Teredo versucht. Teredo überprüft zuerst hinter welchem NAT-Gerät sich der DirectAccess-Client befindet, verpackt dann den IPv6-Verkehr und startet die Kommunikation. Teredo verwendet den UDP-Port 3544.
    • Vorteil: Ermöglicht DirectAccess hinter einem NAT-Gerät (Router)
    • Nachteil: zwei öffentliche IP-Adressen am externen Netzwerk-Adapter des DirectAccess-Servers notwendig
  • IP-HTTPS: IPv6-Pakete werden in HTTPS eingekapselt. IP-HTTPS verwendet den TCP-Port 443. Weil der Port 443 (jede https-Webseite) eigentlich überall erlaubt ist, funktioniert IP-HTTPS in den meisten Fällen. Wird das Häkchen bei „Use force tunneling“ aktiviert, wird ausschließlich IP-HTTPS verwendet. In diesem Fall kann 6to4 und Teredo deaktiviert werden.
    • Vorteil: Funktioniert (fast) immer
    • Nachteil: IPsec und HTTPS-Verschlüsselt (nur bei Windows 7) und dadurch etwas langsamer als Teredo, weil die Pakete doppelt ver- und entschlüsselt werden müssen; Verwaltung von Zertifikaten
  • ISATAP: Um aus dem IPv4-Intranet DirectAccess-Clients verwalten zu können, ist ISATAP notwendig. Dafür wird am internen Computer ein ISATAP-Adapter mit einer auf der IPv4-Adresse basierenden IPv6-Adresse erstellt (mehr Informationen später).
    • Vorteil: Zugriff auf die DirectAccess-Clients (z.B. durch den Helpdesk)
    • Nachteil: Konfigurationsaufwand; von Microsoft nicht empfohlen
  • DNS64: DNS64 wird am DirectAccess-Server ausgeführt und löst für die DirectAccess-Clients interne Namen in IPv4-Adressen auf. Dafür verwendet er seine eigene DNS-Konfiguration. Es ist keine Konfiguration notwendig.
  • NAT64: NAT64 übersetzt den Verkehr von öffentlichen IP-Adressen zu privaten und zurück. NAT64 übersetzt den Verkehr von IPv6 zu IPv4 und zurück. Es ist auch für NAT64 keine Konfiguration notwendig.

Verwendete Systeme:

  • Active Directory Domain Services: Es können nur Domänen-Computer DirectAccess-Clients sein. Für die Konfiguration der Clients werden ausschließlich Gruppenrichtlinien verwendet. Für die Zielgruppenfilterung werde ich Sicherheitsgruppen für Server und Clients erstellen. Der DirectAccess-Server kommt in eine eigene OU, damit dieser Server keine anderen Gruppenrichtlinien erhält.
  • Active Directory Certificate Services: Für die Kommunikation mittels IP-HTTPS und für die Webseite des NLS (Network Location Server) sind Zertifikate notwendig. Weil für IP-HTTPS die CRL extern erreichbar und hochverfügbar sein muss, empfiehlt sich ein Zertifikat von einem Drittanbieter, um dessen bestehende Infrastruktur nutzen zu können. Ich werde meine PKI für den NLS und IP-HTTPS verwenden, weil ich keinen „echten“ Internetzugang in der Laborumgebung habe. (Siehe Hosting the Windows Server 2012 Base Configuration Test Lab with Windows Server 2012 Hyper-V)
    Weiterlesen →

Teil 7b: Ordner erstellen und Berechtigungen vergeben

Veröffentlicht am von
Antworten

Inhaltsverzeichnis

In diesem Teil werde ich die für die Betriebssystemverteilung mit MDT notwendigen Ordner erstellen und Berechtigungen vergeben.

Den Ordner Logs erstellen und freigeben

  1. Als Administrator an MDT1 anmelden
  2. Mit Hilfe des Datei-Explorers den Ordner E:\Logs erstellen
  3. Den Ordner E:\Logs freigeben (Advanced Sharing…)
    MDT_ORDNER-002

    1. Freigabename: Logs$
    2. Freigabeberechtigungen: Jeder > Ändern
    3. NTFS-Berechtigungen: OSD_Build > Ändern
      MDT_ORDNER-001

Den Ordner MigData erstellen und freigeben

  1. Mit Hilfe des Datei-Explorers den Ordner E:\MigData erstellen
  2. Den Ordner E:\MigData freigeben (Advanced Sharing…)
    1. Freigabename: MigData$
    2. Freigabeberechtigungen: Jeder > Ändern
    3. NTFS-Berechtigungen: OSD_Build > Ändern

Den Ordner Backup erstellen und freigeben

  1. Mit Hilfe des Datei-Explorers den Ordner E:\Backup erstellen
  2. Den Ordner E:\Backup freigeben (Advanced Sharing…)
    1. Freigabename: Backup$
    2. Freigabeberechtigungen: Jeder > Ändern
    3. NTFS-Berechtigungen: OSD_Build > Ändern

Den Ordner ExtraDirectory erstellen

  1. Mit Hilfe des Datei-Explorers den Ordner E:\ExtraDirectroy erstellen

Die Ordnerstruktur für die Standard-Software erstellen

  1. Mit Hilfe des Datei-Explorers folgende Ordnerstruktur erstellen
    1. E:\Sourcen
    2. E:\Sourcen\Software
    3. E:\Sourcen\Software\Microsoft
    4. E:\Sourcen\Software\Microsoft\Microsoft Office 2013 Pro Plus x86
    5. E:\Sourcen\Software\Microsoft\Microsoft RSAT for Windows 10 x64
    6. E:\Sourcen\Software\Microsoft\Microsoft Silverlight 5.1 x64
    7. E:\Sourcen\Software\Microsoft\Microsoft Visual C++ 2005 SP1 x86 x64
    8. E:\Sourcen\Software\Microsoft\Microsoft Visual C++ 2008 SP1 x86 x64
    9. E:\Sourcen\Software\Microsoft\Microsoft Visual C++ 2010 SP1 x86 x64
    10. E:\Sourcen\Software\Microsoft\Microsoft Visual C++ 2012 x86 x64
    11. E:\Sourcen\Software\Microsoft\Microsoft Visual C++ 2013 x86 x64
    12. E:\Sourcen\Software\Microsoft\Microsoft Visual C++ 2015 x86 x64
      MDT_ORDNER-003

Die Vorbereitung der Software beschreibe ich Schritt für Schritt in einem eigenen Teil.

Teil 7a: Dienstkonten erstellen und AD-Berechtigungen delegieren

Veröffentlicht am von
Antworten

Inhaltsverzeichnis

In diesem Teil werde ich die für die Betriebssystemverteilung und MDT notwendigen Dienstkonten erstellen und AD-Berechtigungen delegieren.

Dienstkonten in Active Directory erstellen

  1. Als Administrator an DC1 anmelden
  2. Server Manager > Tools > Active Directory Users and Computers
  3. intern.einfaches-netzwerk.at\Einfaches-Netzwerk erweitern
  4. Dienstkonten rechts anklicken > New > User
  5. New Object – User
    1. Full name: OSD_Build
    2. User logon name: osd_build > Next
      ADK_MDT-007
    3. Password: Password1
    4. User cannot change password
    5. Password never expires > Next > Finish
      ADK_MDT-008
  6. Dienstkonten rechts anklicken > New > User
  7. New Object – User
    1. Full name: OSD_Join
    2. User logon name: osd_join > Next
    3. Password: Password1
    4. User cannot change password
    5. Password never expires > Next > Finish
      ADK_MDT-009

Active Directroy-Berechtigungen delegieren

  1. Die OU Arbeitsstationen\Linz rechts anklicken > Delegate Control…
    ADK_MDT-010
  2. Delegation of Control Wizard
    1. Welcome… > Next
    2. Users or Groups
      1. OSD_Join > Next
        ADK_MDT-011
    3. Tasks to Delegate
      1. Create a custom task to delegate
        ADK_MDT-012
    4. Active Directory Object Type
      1. Computer objects
      2. Create selected objects in this folder
      3. Delete selected objects in this folder > Next
        ADK_MDT-013
    5. Permissions
      1. Reset Password
      2. Read and write account restrictions
      3. Validated write to DNS host name
      4. Validated write to service principal name > Next
        ADK_MDT-014
    6. Completing… > Finish
      ADK_MDT-015
  3. Diese Schritte für die OU Einfaches-Netzwerk\Server wiederholen

Weitere Informationen