Archiv der Kategorie: Gruppenrichtlinien

Gruppenrichtlinien

Teil 28: Split-DNS für Active Directory Federation Services einrichten

Veröffentlicht am von
1

Bei der Planung für die Konfiguration von Active Directory Federeation Services bin ich gleich auf ein Problem gestoßen: Der interne und externe DNS-Name des ADFS-Dienstes muss gleich sein. In meinem Fall adfs.einfaches-netzwerk.at. Damit in meinem einfachen Netzwerk der Name intern und extern aufgelöst werden kann, muss ich am internen DNS eine Forward Lookup Zone für einfaches-netzwerk.at anlegen. Das nennt sich dann Split-DNS oder Split-Brain-DNS.

Split-DNS für Active Directory Federation Services einrichten – Schritte:

  • Eine Forward Lookup Zone für einfaches-netzwerk.at anlegen
  • Host (A)- und Alias (CNAME)-Einträge erstellen
  • DNS-Client mittels Gruppenrichtlinien konfigurieren

Eine Forward Lookup Zone für einfaches-netzwerk.at anlegen

  1. Als Administrator an DC1 anmelden
  2. Server Manager > Tools > DNS
  3. Forward Lookup Zones rechts anklicken > New Zone…
  4. New Zone Wizard
    1. Welcome > Next
    2. Zone Type
      1. Primary Zone
      2. Store the zone in Active Directory deaktivieren
        ADFS-012
    3. Zone Name: einfaches-netzwerk.at > Next
      ADFS-013
    4. Zone File: Standard lassen > Next
      ADFS-014
    5. Dynamic Update: Do not allow dynamic updates > Next
      ADFS-015
    6. Completing the New Zone Wizard > Finish
      ADFS-016

Host (A)- und Alias (CNAME)-Einträge erstellen

  1. In der Zone einfaches-netzwerk.at folgenden Host (A)-Eintrag erstellen
    1. Name: adfs
    2. IP address: 192.168.150.3
      ADFS-017
  2. In der Zone einfaches-netzwerk.at folgende Alias (CNAME)-Einträge erstellen
    1. New Resource Record
      1. Alias name: enterpriseregistration
      2. Fully qualified domain name:  enterpriseregistration.einfaches-netzwerk.at
      3. Fully qualified domain name for target host: adfs1.intern.einfaches-netzwerk.at
        ADFS-018
    2. New Resource Record
      1. Alias name: arbeitsordner
      2. Fully qualified domain name:  arbeitsordner.einfaches-netzwerk.at
      3. Fully qualified domain name for target host: app1.intern.einfaches-netzwerk.at
        ADFS-019

DNS-Client mittels Gruppenrichtlinien konfigurieren

  1. Server Manager > Tools > Group Policy Management
  2. Group Policy Objects anklicken
  3. GPO Standard Settings for Workstations zum Bearbeiten öffnen
  4. Computer Configuration\Policies\Administrative Templates\Network\DNS Client erweitern
  5. Folgende Einstellungen vornehmen
    1. Allow DNS suffix appending to unqualified multi-label name queries > Enabled
    2. Connection-specific DNS suffix > Enabled
      1. DNS suffix: intern.einfaches-netzwerk.at
    3. DNS suffix search list > Enabled
      1. DNS Suffixes: intern.einfaches-netzwerk.at,einfaches-netzwerk.at
        SPLIT_DNS-001
    4. Primary DNS suffix > Enabled
      1. Primary DNS suffix: intern.einfaches-netzwerk.at
        SPLIT_DNS-002
  6. Group Policy Management Editor schließen
    SPLIT_DNS-003
  7. Group Policy Management schließen
    SPLIT_DNS-006
  8. Auf CLIENT1 mit gpupdate /force die Einstellungen sofort übernehmen
    SPLIT_DNS-004
  9. adfs anpingen
    SPLIT_DNS-005

Teil 27g: DirectAccess-Clients mittels ISATAP erreichen

Veröffentlicht am von
Antworten

Man kann die DirectAccess-Clients mittels ISATAP erreichen und supporten. Microsoft empfiehlt allerdings auf den Einsatz von ISATAP zu verzichten.

Neben WPAD steht auch ISATAP in der globalen Blockliste vom DNS-Server. Um ISATAP nicht für alle Clients erreichbar zu machen, lege ich einen Host (A)-Eintrag DirectAccess-ISATAP in DNS an. Im GPO DirectAccess ISATAP konfiguriere ich dann den Pfad zum ISATAP-Router. Grundsätzlich kann jeder Windows-Server und auch Linux als ISATAP-Router konfiguriert werden. Ich werde dafür den DirectAccess-Server DA1 verwedenden.

DirectAccess-Clients mittels ISATAP erreichen – Schritte:

  • Auf DA1 den IPv6-Intranetpräfix und den Schnittstellenindex vom Adapter Intern1 und ISATAP ermitteln und notieren
  • In DNS einen Host (A)-Eintrag für DirectAccess-ISATAP erstellen
  • Gruppenrichtlinien für ISATAP konfigurieren
  • ISATAP-Router konfigurieren
  • Gängige Ports für die Fernwartung

Auf DA1 den IPv6-Intranetpräfix und den Schnittstellenindex vom Adapter Intern1 und ISATAP ermitteln und notieren

  1. Als Administrator an DA1 anmelden
  2. Command Prompt (Admin) starten
  3. Mit folgendem Befehl den IPv6-Intranetpräfix und den Schnittstellenindex vom Adapter Intern1 und ISATAP ermitteln 
    ipconfig
  4. Command Promt
    DA_ISATAP-000
  5. Folgende Informationen sind interessant:
    1. Der relevante ISATAP-Adapter hat die Link-local IPv6 Address fe80::5efe:x.x.x.x
    2. Hinter der Adresse, nach dem %-Zeichen, steht der Schnittstellenindex des ISATAP-Adapters: 13
    3. Der Netzwerkadapter Intern1 hat den Schnittstellenindex 12
    4. Der Netzwerkadapter Intern1 hat die IP-Adresse 192.168.150.10
    5. Der IPv6-Intranetpräfix ist 2002:836b:a:1::/64
  6. Fenster schließen

In DNS einen Host (A)-Eintrag für DirectAccess-ISATAP erstellen

  1. Als Administrator an APP1 anmelden
  2. Server Manager > Tools > DNS
  3. DC1\Forward Lookup Zones erweitern
  4. In der Zone intern.einfaches-netzwerk.at folgenden Host (A)-Eintrag erstellen
    1. Name: DirectAccess-ISATAP
    2. IP address: 192.168.150.10 (IP-Adresse von Netzwerkadapter Intern1 auf DA1)
      DA_ISATAP-010
  5. Fenster schließen

Gruppenrichtlinien für ISATAP konfigurieren

  1. Server Manager > Tools > Group Policy Management
  2. Das GPO DirectAccess Custom zum Bearbeiten öffnen
  3. Computer Configuration\Policies\Windows Settings\Security Settings\Windows Firewall with Advanced Security erweitern
  4. Inbound Rules rechts anklicken > New Rule…
    DA_ISATAP-001
  5. New Inbound Rule Wizard
    1. Rule Type: Custom > Next
      DA_ISATAP-002
    2. Program: All Programs > Next
    3. Protocol and Ports
      1. Protocol type: ICMPv6 > Next
        DA_ISATAP-003
    4. Scope
      1. Remote IP addresses > Add…
        1. This IP address or subnet: 2002:836b:a:1:0:5efe:0.0.0.0/96
          <IPv6-Intranetpräfix>           + :5efe:0.0.0.0/96 ist das gesamte ISATAP-Netzwerk des Unternehmens
          DA_ISATAP-012 DA_ISATAP-013
    5. Action: Allow the connection > Next
    6. Profile: Private, Public > Next
      DA_ISATAP-005
    7. Name: DirectAccess: Allow ICPMv6 > Finish
      DA_ISATAP-006
  6. Die neu erstellte Regel zum Bearbeiten öffnen
  7. Auf den Reiter Advanced wechseln
  8. Edge traversal
    1. Allow edge traversal > OK
      DA_ISATAP-008
      Weiterlesen →

Teil 27f: DirectAccess und Windows 7-Clients konfigurieren

Veröffentlicht am von
2

Im Folgenden werde ich DirectAccess und Windows 7-Clients konfigurieren. Dafür müssen der DirectAccess Connectivity Assistant 2.0 (DCA) und einige empfohlene Updates heruntergeladen und installiert werden. Ich werde das gleich beim Aufsetzen mit MDT 2013 erledigen. Der DCA bringt seine eigenen .ADMX- und .ADML-Dateien mit, die in den Central Store kopiert werden (siehe Teil 10) um mittels Gruppenrichtlinie konfiguriert werden zu können.

DirectAccess und Windows 7-Clients konfigurieren – Schritte:

  • Die Tunnelendpunkte auf DA1 ermitteln und notieren
  • Dateien herunterladen und kopieren
  • MDT konfigurieren
  • DCA-Gruppenrichtlinien konfigurieren
  • Windows 7-Client testen

Die Tunnelendpunkte auf DA1 ermitteln und notieren

Für die Gruppenrichtlinieneinstellungen des DCA muss ich die DTEs in der Registry am DA1 ermitteln und für später notieren.

  1. Als Administrator an DA1 anmelden
  2. Start rechts anklicken > Run > regedit
  3. Folgende Werte notieren
    1. HKLM\SYSTEM\CurrentControlSet\Services\RaMgmtSvc\Config\Parameters
      1. DTE1: 2002:836b:b::836b:b
      2. DTE2: 2002:836b:a::836b:a
        DA_WINDOWS_7-014
  4. Registry Editor schließen

Dateien herunterladen und kopieren

  1. Als Administrator an APP1 anmelden
  2. Alle empfohlenen Updates für Windows 7 von http://support.microsoft.com/kb/2883952/de nach D:\Sourcen\Windows 7 DirectAccess Updates herunterladen
    DA_WINDOWS_7-019
  3. Den Microsoft DirectAccess Connectivity Assistant 2.0 von http://www.microsoft.com/en-us/download/details.aspx?id=29039 nach D:\Sourcen herunterladen und entpacken
    DA_WINDOWS_7-001
  4. Die Datei DirectAccess_Connectivity_Assistant_2_0_GP.ADMX nach
    \\dc1\SYSVOL\intern.einfaches-netzwerk.at\Policies\PolicyDefinitions kopieren
  5. Die Datei DirectAccess_Connectivity_Assistant_2_0_GP.adml nach
    \\dc1\SYSVOL\intern.einfaches-netzwerk.at\Policies\PolicyDefinitions\en-US kopieren
    DA_WINDOWS_7-002
    DA_WINDOWS_7-003
  6. Die Datei Microsoft_DirectAccess_Connectivity_Assistant_2_0_x64.msi nach D:\Sourcen\Software\Microsoft DirectAccess Connectivity Assistant kopieren
  7. Alle Fenster schließen

MDT konfigurieren

Dieser Abschnitt setzt voraus, dass die Teile 19ff erarbeitet worden sind.

  1. Deployment Workbench öffnen
  2. OSD Build Share\Packages erweitern
  3. Falls noch nicht vorhanden, den Ordner Windows 7 SP1 x64 erstellen
  4. Die DirectAccess-Updates in den Ordner Windows 7 SP1 x64 importieren
    DA_WINDOWS_7-005
    DA_WINDOWS_7-006
  5. Ein neues Windows 7-Image mit den DirectAccess-Updates erstellen
  6. OSD Prod Share\Applications erweitern
  7. Die Application Microsoft DirectAccess Connectivity Assistant 2.0 in den Ordner Microsoft mit folgender Command Line importieren 
    msiexec.exe /i Microsoft_DirectAccess_Connectivity_Assistant_2_0_x64.msi /q /norestart
  8. Application Wizard
    DA_WINDOWS_7-023
  9. Die Application doppelklicken und das Häkchen Hide this application in the Deployment Wizard aktivieren
    DA_WINDOWS_7-020
  10. Das neu erstellte Windows 7-Image in den Ordner Operating Systems importieren
    DA_WINDOWS_7-022
  11. Die Task Sequence Windows 7 SP1 Ent x64 – Office 2013 zum Bearbeiten öffnen
  12. Im Bereich Standard Software den Schritt INSTALL – Microsoft DirectAccess Connectivity Assistant hinzufügen
    DA_WINDOWS_7-009
  13. Auf den Reiter Options wechseln
  14. Folgende Bedingung hinzufügen
    1. Task Sequence Variable
      1. Variable: IsLaptop
      2. Condition: equals
      3. Value: TRUE
        DA_WINDOWS_7-011
        DA_WINDOWS_7-010
  15. CLIENT2 mit Windows 7 aufsetzen
    DA_WINDOWS_7-021
    DA_WINDOWS_7-024

DCA-Gruppenrichtlinien konfigurieren

  1. Sicherstellen, dass in der Konfiguration von DirectAccess der Punkt Enable Windows 7 client computers to connect via DirectAccess aktiviert wurde
    DA_ROLE-014
    Weiterlesen →