Windows Server 2012 Direct Access Julián Blázquez García Director Técnico Implantación de Sistemas Sidertia Solutions jblazquez@sidertia.com

Agenda Arquitectura de Direct Access Escenarios de implementación Infraestructura Servidor Configuración de Cliente Direct Access Offline Domain Join

Nuevo Concepto de Perímetro “Mi red esta donde están mis edificios” ¿Cómo puedo administrar, monitorizar y dar soporte a todos los usuarios y equipos remotos al mismo tiempo? ¿Cómo simplificar los accesos de los trabajadores remotos? “Mi red esta donde están mis usuarios y activos”

Direct Access Proporcionar acceso transparente y seguro a los recursos de la empresa desde cualquier lugar

Qué es DirectAcess Una VPN, sin VPN Los usuarios remotos trabajan del mismo modo dentro y fuera de la oficina La conexión se realiza antes de que el usuario inicie sesión Basado completamente en IPv6

Beneficios de Direct Access + Productividad + Seguridad + Manejabilidad y Coste efectivo Siempre activo el acceso a la red de la empresa No se requiere acción alguna del usuario – listo para trabajar Misma experiencia de usuario (dentro y fuera) Equipos confiables y sanos independiente de la red Control de Políticas por servidor y/o Aplicación Extender a los activos móviles el cumplimiento de la normativa Ruta de implementación incremental hacia IPv6 Gestión sencilla de los recursos móviles como si estuvieran en LAN Menor coste propiedad (TCO) con infraestructura «siempre administrada» Unificar el acceso seguro a través de todos los escenarios y redes Administración integrada de todos los mecanismos de conectividad

Requisitos Active Directory DirectAccess Server (Windows Server 2012) DirectAccess Client (Windows 8 o 7 Enterprise o Ultimate) 2 IP’s públicas consecutivas Ahora ya no es necesario PKI (Windows 8)

Opciones de Implementación Requiere Clientes Windows 8 No PKI Usa proxy Kerberos para adquirir Ticket Kerberos Soporta Certificados SSL auto firmados No requiere certificados de máquina Ni lista de revocación de certificados Simple configuración del túnel IPSec Simple factor de autenticación

Opciones de Implementación PKI integración Utiliza certificados de equipo Lista de Revocación de Certificados (opcional) Un factor, dos factores y Autenticación con Certificados Smartcard, OTP, TPM NAP Opciones de implementación Multi-sitio Soporta Clientes Windows 8 y Windows 7

4/1/2017 6:51 PM Multisite 50 ms 20 ms Entrada automática por el punto más cercano para clientes de Windows 8 Basada en mecanismos de sondeo Clientes Windows 7 acceso por punto fijo 150 ms ©2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Interoperabilidad Windows Server 2012 Windows Server 2008 R2 Windows 8 Soporte completo Soportado con las siguientes limitaciones No soporta DirectAccess y VPN en el mismo servidor Sin acceso directo a recursos IPv4 (Necesita soluciones NAT64/DNS64) Requiere PKI No soporta implementación multi-sitio Windows 7 Clientes Windows 7 deben conectarse a una entrada preconfigurada No soporta Windows To Go, ni configuración off line Soporte con las siguientes limitaciones No soporta Windows To Go, ni configuración off line

Alternativas de Acceso Remoto Windows Non-Windows VPN F I R E W A L Unified remote access server Windows Non-Windows VPN Managed Windows Clients DirectAccess VPN Remote Desktop Gateway From any PC Windows to Go + DirectAccess RDS / VDI Mobile Phones VPN

Acceso Remoto Unificado FIREWALL DirectAccess SharePoint Apps Intranet Exchange VPN Win XP / Vista / Non-Windows Windows 7 Windows 8 Mobile Broadband Aplicar GPOs a equipos remotos IT: Administración completa Clientes remotos “encendidos” Decrementa el ratio de parches perdidos Mejora de la Productividad Simplificada la conectividad No es iniciado por el usuarios Usuario Final: Mejor Experiencia Las VPNs conectan los usuarios a la red DirectAccess extiende la red a los equipos y usuarios

Resumen de Comparaciones Escenario VPN Tradicional SSL VPN TS gateway Outlook Web Access DirectAccess Siempre Activo No Si Administración Remota Limitado Aplicaciones Soportadas Todas Publicadas por IT Solo Correo Políticas por servidor de aplicación Depende Políticas de Perímetro Complejo Medio Simple Equipos Administrados No-administrados Ambos No Administrados Sólo Administrados

Habilitar IPv6 en la Organización Aplicaciones de Negocio IPv6 IPv4 DirectAccess Server (Windows Server 2012)

Requisitos por Funcionalidad Clientes DirectAccess Requiere Windows 8 o Windows 7 Clientes miembros del Dominio Primera conexión en la red corporativa o VPN Configuración Offline Servidores DirectAccess Requiere Windows Server 2012 Localizado en el perímetro Servidores de Aplicación Windows Server 2003 o posterior

Requisitos por Funcionalidad DC/DNS Al menos un servidor DC/DNS Windows Server 2012 Infraestructura de Red Puede ser IPv4 porque se implementa ISATAP con DirectAccess NAT-PT Se puede usar para proporcionar acceso a recursos que soportan únicamente IPv4

Direct Access Siempre Activo Tunel sobre IPv4 UDP, HTTPS, etc. Encriptación IPsec+ESP Native IPv6 6to4 Teredo IP-HTTPS

Conectividad con la Nube Híbrida Estado Unificado Estado Actual Private cloud Internet DirectAccess & VPN: Connecting remote clients to the hybrid cloud for - Managed - Unmanaged Remote access: Connectivity using dedicated infrastructure Public Cloud / Branch Cross premise connectivity: Connecting private and public clouds Site to Site connectivity using dedicated infrastructure Remote Access Unified Remote Access Site to Site End to End Security W/IPsec (Optional)

Infraestructura Direct Access La solución Direct Access permanece siempre activa Proporciona acceso completo a los recursos de la red Solo a equipos gestionados, no gestionados con UAG Soporta administración remota completa Soporta políticas específicas para cada servidor de aplicación Permite establecer políticas de perímetro de forma sencilla Independiente de la infraestructura del cliente

Configuración Firewall Protocolo Teredo 6to4 IP-HTTPS IPv6 UDP 3544 X Protocolo 41 (IPv6) TCP 443 ICMPv6 Protocolo 50 (ESP)

Servidor Direct Access DEMO Configuración de Servidor Direct Access

Integrada la experiencia del Usuario Windows 8 conecta a los usuarios automáticamente a Direct Access (más eficiente) Experiencia de usuario integrada de DirectAccess Autenticación flexible: Kerberos, PKI, tarjeta inteligente, tarjeta inteligente virtual y TPM Ver fácilmente el estado de conectividad

Resolución de Problemas Accesible a través de las redes de la interfaz de usuario Reitera el estado de la conexión Claramente presenta opciones de corrección de problemas útiles Los usuarios pueden seleccionar manualmente un punto de entrada de DirectAccess Permite la fácil recolección y envío por correo electrónico de los registros a Helpdesk

El proceso (I) ¿Dónde estoy? ¿Qué direccionamiento tengo? IPv6. IPv4 pública. 6to4 IPv4 privada. Teredo Si hay un firewall o un proxy. IP-HTTPS

TODO ELLO CIFRADO MEDIANTE IPSEC El proceso (II) Autenticación del equipo, basada en kerberos Si NAP está implementado  Chequeo Tráfico permitido hacia los servidores Inicio de sesión en el AD. User/Password/SmartCard Acceso a la red interna (IPv6, Isatap, NAT-PT) TODO ELLO CIFRADO MEDIANTE IPSEC

DEMO Configuración de Cliente Direct Access

Unified Remote Access: Off Premise Provisioning with DirectAccess Enable clients to join the corporate network from offsite locations Create provisioning package Transfer or load on client Apply provisioning package Works with Windows To Go

DEMO Aprovisionamiento Direct Access Client

Descargate Windows Server 2012 Evaluación http://bit.ly/DescargaWS2012

http://bit.ly/AzureItPro

Más TechNet IT CAMPS Registro en futuros webcasts http://bit.ly/ITCamps2012 Registro en futuros webcasts http://technet.microsoft.com/es-es/bb291010.aspx Suscripción al boletín TechNet Flash http://www.microsoft.com/spain/technet/boletines/default.mspx TechCenters de TechNet (información de productos) http://technet.microsoft.com/es-es/bb421517.aspx Suscripciones TechNet http://technet.microsoft.com/es-es/subscriptions/default.aspx

Serie de Webcasts Windows Server 2012 http://bit.ly/Webcasts2012

Sigue a TechNet España http://www.facebook.com/TechNet.Spain http://www.twitter.com/TechNet_es

Contacto Julián Blázquez García jblazquez@sidertia.com www.sidertia.com info@sidertia.com