Article
10/20/2021

DirectAccess : un jeu de lego – (Partie 6/7 : DirectAccess)

Article par Benoît SAUTIERE (MVP Enterprise Security)

Benoît SAUTIERE est référent technique et architecte infrastructure pour un Microsoft Gold Partner. En tant que MVP, Benoît participe au développement des offres autour des solutions d’infrastructure Microsoft et intervient en tant que Speaker aux Techdays 2010 et 2011.

Mon parcours « Microsoft » a commencé avec Windows NT 3.51 et produits associés, pour progressivement me spécialiser sur les solutions d’infrastructures Microsoft et arriver aujourd’hui à Windows 2008 R2. C’est au TechEd 2008 que j’ai découvert ce qui deviendra DirectAccess, sujet que j’ai développé tout au long de nombreux billets sur mon blog : Simple by design, signant mes articles avec la mention « Simple and Secure by Design », maintenant complétée de « and Business compliant ».

Spécialiste des infrastructures d’annuaire ainsi qu’impliqué dans les aspects sécurité des produits Microsoft, Benoît intervient auprès de grands comptes français voire internationaux pour son expertise dans ces domaines.

Articles

Vous trouverez ci-dessous le début de l’article, n’hésitez pas à télécharger la suite directement en format pdf

Sommaire de l'article

Configuration de DirectAccess
- Paramétrage coté client de DirectAccess
- Paramétrage coté serveur de DirectAccess
- Paramétrage de la Name Resolution Policy Table
- Checklist de bon fonctionnement
Qu’est ce qui a changé

>> Télécharger gratuitement l'intégralité de cet article <<

Configuration de DirectAccess

Passons maintenant au plat de résistance avec la configuration de DirectAccess. Tout se passera dans l’interface de configuration d’UAG avec une collection d’interfaces de configuration. Pour éviter de se poser des questions en cours de route, le tableau suivant résume les choix de déploiement qui seront mis en œuvre :

| Haut de page

Paramétrage coté client de DirectAccess

La première étape de la configuration, c’est l’identification des clients pour lesquels DirectAccess devra être activé, le niveau d’accès de ces clients au système d’information et enfin la configuration optionnelle du DirectAccess Connectivity Assistant (DAC). Le DAC est une interface utilisateur permettant à celui-ci d’être informé de l’état de fonctionnement de DirectAccess. C’est la partie la plus simple de la configuration de DirectAccess. L’interface de configuration ne permet de passer à l’étape suivante que si la configuration minimale a bien été renseignée. On distinguera des paramètres obligatoires et optionnels.

On va conserver la configuration par défaut. Par rapport à la RTM d’UAG, il est maintenant possible de configurer les clients DirectAccess pour ne disposer que du tunnel d’infrastructure. Le poste de travail a donc accès à certaines ressources sur le réseau de l’entreprise par contre, ce n’est pas le cas de l’utilisateur.

Par défaut, UAG va positionner la stratégie de groupe de configuration des postes clients dans un seul domaine. Il est donc possible de déployer DirectAccess dans un scénario de forêt de ressources.

Dans la version RTM d’UAG, on n’avait pas la possibilité de configurer la liaison des stratégies de groupe. Cette possibilité est offerte avec le SP1, tout comme la possibilité de placer manuellement les stratégies de groupe.

Dans la version RTM, le filtrage s’effectuait uniquement par rapport à l’appartenance à un groupe. Avec le SP1, on peut maintenant filtrer par rapport à un conteneur organisationnel.

On en a fini avec la configuration obligatoire coté client, passons maintenant aux paramétrages optionnels.

On va configurer le DAC et autoriser l’utilisateur à basculer en résolution de noms locale. L’utilisateur pourra ainsi désactiver DirectAccess si nécessaire. La version 1.5 du client est disponible dans « C:\Program Files\ Microsoft ForeFront Unified Access Gateway\Common\Bin\Da\DAC ».

Le DAC doit être configuré pour utiliser une référence interne. Dans notre cas, j’ai retenu le site web par défaut hébergé sur le serveur APP1. En environnement de production, je recommanderai de choisir un autre point de référence, voire même d’en référencer plusieurs.

En cas d’indisponibilité, le DAC va informer l’utilisateur et le rediriger vers un portail. Si on a préalablement configuré le portail UAG, il est même possible de le référencer.

En cas de défaillance, l’utilisateur peut générer des traces que l’on va envoyer par messagerie à l’équipe de support. Il est même possible d’utiliser un script de diagnostic personnalisé.