Säker fjärråtkomst på små och medelstora företag

Hur kan den här handboken hjälpa dig? Den här guiden beskriver hur du kan ge användare enkel och säker åtkomst till företagets data via en rad olika Internetanslutna enheter från valfri plats.

Guiden beskriver en förebyggande och beprövad design- och implementeringslösning som kan hjälpa dig att ge säker fjärråtkomst till användarna i nätverket, genom att centralisera datalagring, konfigurera nätverket för fjärråtkomst och begränsa åtkomstbehörighet för data.

I den här lösningsguiden:

• Scenario, problembeskrivning och mål

• Vilken design rekommenderas för den här typen av lösning?

• Varför rekommenderar vi den här designen?

• Vilka övergripande åtgärder bör utföras när man implementerar denna lösning?

Följande diagram illustrerar problemet och scenariot som behandlas i den här lösningsguiden.

 Problem med fjärrdataåtkomst

Scenario, problembeskrivning och mål

Det här avsnittet beskriver scenario, problem och mål för en exempelorganisation.

Scenario

Organisationen är liten till medelstor med upp till 100 användare och 200 enheter, och är ute efter en lösning där användare har säker åtkomst till företagets data när de är på annan plats och använder en rad olika Internetanslutna enheter. Användarna har inte konsekvent åtkomst till företagets resurser på plats och annan plats. Filer är inte tillgängliga när en användare i nätverket går från kontoret. Därför sparar nätverksanvändare företagsdata på sina mobila enheter eller skickar dem via e-post. De använder en dator för att skicka data via e-post från arbetet, och de kan skicka data via e-post till kontoret från sina bärbara datorer när de arbetar via fjärranslutning. Ibland behöver användare arbeta med filer eller komma åt data efter arbetstid från en rad olika enheter, till exempel surfplattor eller bärbara datorer. Användare kan dock inte använda sina verksamhetsspecifika program när de är på annan plats.

Problembeskrivning

Organisationen vill åtgärda följande problem:

• Användare har inte ett säkert sätt att komma åt företagets data och verksamhetsspecifika program utanför kontorsnätverket.

• Användare har inte ett säkert sätt att komma åt nätverksresurser på mobila enheter.

• Användare sparar företagets data på flera enheter (till exempel på en dator när de är på arbetet och på sin bärbara dator när de arbetar via fjärranslutning). Det leder till flera filversioner som är svåra att spåra och hitta.

• Finansiell förlust uppstår när användare inte kan arbeta eftersom de inte har de verksamhetsspecifika programmen installerade på sina personliga nätverksanslutna enheter.

Organisationsmål

Din organisation är ute efter en lösning som möjliggör följande:

• Ge säker åtkomst till företagsdata och -resurser för användare utanför kontorsnätverket.

• Ge användare åtkomst till nätverksresurser från mobila enheter.

• Undvika versionskonflikter som uppstår eftersom flera filversioner skapas när användare arbetar med lokala kopior när de är utanför nätverket. 

• Förhindra finansiell förlust som beror på brist på åtkomst till verksamhetsspecifika program utanför kontoret.

Vilken design rekommenderas för den här typen av lösning?

Följande diagram visar hur du kan lagra, skydda och få fjärråtkomst till företagsdata från en server med Windows Server 2012 R2 Essentials eller Standard- och Datacenter-versionerna av Windows Server 2012 R2 med Windows Server Essentials Experience-rollen installerad (kallas Windows Server Essentials Experience i resten av dokumentet).

Lösningsdesign för att ge säker åtkomst till data när användare befinner sig utanför nätverket

Windows Server 2012 R2 Essentials (lämplig för användning för upp till 25 användare och 50 enheter) och Standard- och Datacenter-versionerna av Windows Server 2012 R2 med Windows Server Essentials Experience-rollen installerad (lämplig för användning för upp till 100 användare och 200 enheter) utgör en lösning för små till medelstora företag för att ge användare enkel och säker åtkomst till företagets data via en rad olika Internetanslutna enheter.

I följande tabell visas de tekniker i Windows Server 2012 R2 Essentials och Windows Server Essentials Experience som ingår i den här lösningsdesignen och orsaken till valet av design beskrivs.

Varför rekommenderar vi den här designen?

I det här avsnittet beskrivs detaljer om designövervägandena och besluten som fattades och som ledde till den slutgiltiga lösningsdesignen. Det innehåller också rekommenderad konfiguration eller användning av varje funktion som används i lösningen.

Instrumentpanelen för Windows Server Essentials

Instrumentpanelen för Windows Server Essentials i Windows Server 2012 R2 Essentials och Windows Server Essentials Experience hjälper dig att snabbt komma åt viktig information och hanteringsfunktionerna för servern i stället för att använda flera interna administrationsverktyg för Windows Server. Med hjälp av instrumentpanelen kan du till exempel skapa och hantera användarkonton och hantera data i servermappar.

Rekommendation: Använd instrumentpanelen för Windows Server Essentials för att utföra de flesta administrativa uppgifter i nätverket. Du kan köra uppgifter och guider från instrumentpanelen för att konfigurera funktionerna i servern optimalt. Med hjälp av instrumentpanelen kan du även konfigurera behörigheter för fjärråtkomst till nätverksresurser (till exempel delade mappar, klientdatorer och VPN) per användare.

Lagringsutrymmen

Alternativ för att tillhandahålla hög tillgänglighet och flexibel lagring för företagets data är bland annat att använda den inbyggda RAID-styrenheten som levereras med vanlig servermaskinvara. Med det här lagringsalternativet kan du tillhandahålla den tillgänglighet och flexibilitet för lagring som du behöver, men det kan vara relativt komplicerat och dyrt.

Du kan däremot använda funktionen Lagringsutrymmen för att skapa prisvärda, flexibla och dynamiskt utbyggbara datavolymer för att lagra företagsdata, i stället för att lagra dem på vanliga hårddiskar. Lagringsutrymmen omfattar virtuella hårddiskar (VHD) som visas på fliken Hårddiskar på instrumentpanelen.

Lagringsutrymmen hjälper dig att spara filer till två eller flera enheter så att filerna är skyddade om det blir fel på en enhet. Med Lagringsutrymmen kan du virtualisera serverns lagring genom att gruppera hårddiskar av branschstandard i lagringspooler och sedan skapa virtuella hårddiskar (som kallas lagringsutrymmen) av tillgänglig kapacitet i lagringspoolerna. Du kan använda dessa lagringsutrymmen för att lagra företagets data på en central plats, i stället för att alla användare sparar data på sina datorer.

Rekommendation: Använd minst tre SAS- eller SATA-enheter för småföretag med färre än 10 användare – en enhet som ska användas för att säkerhetskopiera operativsystemet och de andra två som ska användas för lagringsutrymmen. Vi rekommenderar att du skapar ett lagringsutrymme med minst två enheter med speglad flexibilitet.

Konfigurera minst tre SAS-enheter med Lagringsutrymmen för småföretag med fler än 10 användare eller medelstora företag med upp till 100 användare – en enhet som ska användas för att säkerhetskopiera operativsystemet och de andra två som ska användas för lagringsutrymmen. Vi rekommenderar också att tillhandahålla ett serverchassi som har stöd för att lägga till fler enheter för utökning.

Servermappar

Genom att använda servermappar kan du lagra filer som finns på klientdatorer på en central plats i stället för att användare lagrar filer på sina datorer.

Om du lagrar filer i servermappar blir de lätta att säkerhetskopiera och enkla att komma åt. De finns på en plats som är tillgänglig från alla klienter. Filer är skyddade eftersom åtkomst till dem kräver autentiserade inloggningsuppgifter till nätverket.

Rekommendation: Skapa servermappar på en lagringsutrymmesenhet och skapa separata servermappar för avdelningar eller projekt. Om du till exempel har en redovisningsavdelning kan du skapa en mapp med namnet "Redovisning". Om du skapar servermappen på en lagringsutrymmesenhet ökar datatillgängligheten (tack vare spegling).

Vi rekommenderar också att du anger en kvot för servermapparna så att du meddelas när en servermapp håller på att nå sin kapacitet. När du meddelas kan du ta bort filer i servermappen för att öka ledigt utrymme för lagring eller så kan du lägga till mer utrymme i servermappen och justera dess kvotinställningar.

Hantering av användare och grupper

Med för användarkonton och användargruppskonton kan du ange behörigheter som ger användarna åtkomst till företagets data. Detta förhindrar oavsiktlig användaråtkomst till företagets data. Du kan enkelt hantera åtkomst till nätverksresurserna genom att skapa användarkonton för alla användarna i nätverket från fliken Användare på instrumentpanelen för Windows Server Essentials.

Dessutom kan du skapa användargruppskonton och lägga till användarkontona som medlemmar. Alla medlemmar i ett användargruppskonto delar samma säkerhetsåtkomstnivå till serverresurser. Gruppmedlemskap förenklar resurshantering eftersom du kan ange behörigheter för en grupp användare på en sida. Detta skiljer sig från att öppna egenskapssidor för varje användare i nätverket för att tilldela relevanta mappbehörigheter.

Rekommendation: Skapa användarkonton som innehåller medlemmar av olika användargrupper, baserat på de avdelningar som finns i ditt företag eller de olika projekt som personer arbetar med inom ditt företag. När du skapar användargrupper kan du tilldela en uppsättning behörigheter till användargrupperna som kommer att användas på alla medlemmar. Exempel: Om du har en grupp användare som arbetar på redovisningsavdelning A kan du skapa ett användargruppskonto med namnet "Avdelning A användargrupp" och sedan lägga till relevanta användarkonton i den här gruppen. Du kan sedan tilldela behörigheter till "Avdelning A användargrupp" för att komma åt servermappen "Redovisning".

Du kan konfigurera behörigheter för fjärråtkomst för varje användarkonto i nätverket, beroende på den metod som används för fjärråtkomst (till exempel Fjärrwebbåtkomst eller VPN). Du kan också konfigurera åtkomst till nätverksresurser (till exempel servermappar och klientdatorer). Du kan till exempel skapa användargrupper för "VPN-användare" och "RWA-användare", konfigurera fjärråtkomstbehörigheter för dessa grupper och sedan lägga till de användarkonton som du vill ge fjärråtkomstbehörigheter i dessa grupper.

Enhetshantering

Om du vill ge användare åtkomst till servermappar från datorer i nätverket måste du ansluta användarnas datorer till servern. Att ansluta datorer till servern har följande fördelar:

• Ger användare i nätverket säker åtkomst till data som lagras på servern med hjälp av deras användarkonton.

• Du kan hantera klientdatorer från instrumentpanelen.

• Skyddar klientdatorer i nätverket med hjälp av grupprincipinställningar.

• Säkerhetskopierar data på klientdatorer regelbundet.

• Övervakar hälsan för klientdatorerna.

Rekommendation: Anslut alla datorer (lokala eller fjärranslutna) som du vill administrera till servern så att du kan hantera dem från fliken Enheter på instrumentpanelen för Windows Server Essentials i stället för att använda det interna serververktyget, Active Directory - användare och datorer.

Grupprincipinställningar i Windows Server Essentials

Du kan använda guiden Implementera grupprincip i Windows Server 2012 R2 Essentials eller Windows Server Essentials Experience för att centralisera data genom att aktivera Mappomdirigering. Dessutom kan du använda guiden för att skydda ditt nätverk genom att se till att Windows Update, Windows Defender och Windows-brandväggen är aktiverade för alla klientdatorer i nätverket. Du behöver därmed inte förlita dig på att slutanvändare aktiverar inställningarna på sina datorer.

Rekommendation: Vi rekommenderar att du inte inaktiverar grupprincipinställningarna i Windows Server Essentials.

Åtkomst överallt

När du konfigurerar Åtkomst överallt-funktionerna (Fjärrwebbåtkomst och VPN) ger du användare i nätverket åtkomst till serverresurser från valfri plats som har Internetanslutning, när som helst och på nästan alla enheter.

Rekommendation: Kör guiden Konfigurera Åtkomst överallt för att konfigurera Fjärrwebbåtkomst och ett virtuellt privat nätverk. Åtgärda problemen som rapporteras av guiden när den är klar.

Fjärrwebbåtkomst

Fjärrwebbåtkomst tillhandahåller ett effektiviserat, pekskärmsanpassat webbläsargränssnitt för att komma åt program och data i princip var som helst som du har Internetanslutning och med hjälp av nästan alla enheter.

Rekommendation: Konfigurera behörigheterna för användare och användargrupper för Fjärrwebbåtkomst så att fjärranslutna användare på ett säkert sätt kan komma åt data från andra platser.

Virtuellt privat nätverk

VPN-anslutningar (Virtual Private Network) ger användare som arbetar i hemmet eller på resande fot åtkomst till en server i ett privat nätverk med hjälp av den infrastruktur som tillhandahålls av ett offentligt nätverk, till exempel Internet.

Rekommendation: Konfigurera behörigheterna för användare och användargrupper för VPN-nätverket så att fjärranslutna användare kan ansluta till servern via en säker VPN-anslutning.

Appen Min server 2012 R2

Med appen Min server kan du ansluta till resurser och utföra lätta administrativa uppgifter på Windows Server Essentials-servern från en enhet med operativsystemet Windows 8.1, Windows 8 eller Windows RT. Du kan hantera användare, enheter och aviseringar och arbeta med delade filer på servern i Min server. När du är offline kan du fortsätta att arbeta med filer som du nyligen har använt i Min server och ändringarna offline synkroniseras automatiskt med servern nästa gång du ansluter.

Rekommendation: Installera appen Min server på en enhet med operativsystemet Windows 8.1, Windows 8 eller Windows RT och använd Min server för att komma åt dokument på servern.

Vilka övergripande åtgärder bör utföras när man implementerar denna lösning?

Du kan följa stegen i det här avsnittet för att implementera lösningen. Se till att kontrollera rätt distributionen av varje steg innan du fortsätter till nästa steg.

1. Aktivera Åtkomst överallt.

   Med Åtkomst överallt kan du hantera Fjärrwebbåtkomst- och VPN-funktioner. Om du vill aktivera Fjärrwebbåtkomst och ett VPN-nätverk kör du guiden Konfigurera Åtkomst överallt från fliken Åtkomst överallt på sidan Inställningar på instrumentpanelen. För att aktivera fjärrwebbåtkomst följ instruktionerna i Hantera fjärrwebbåtkomst. Information om hur du aktiverar en VPN-anslutning finns i Hantera VPN i Windows Server Essentials [blue].

2. Konfigurera ett domännamn.

   För att ange ett domännamn kör guiden Ange domännamn och följ instruktionerna i Hantera fjärrwebbåtkomst. Om du inte har ett befintligt domännamn kan du få ett kostnadsfritt personligt Microsoft-domännamn (till exempel dittvärdnamn.remotewebaccess.com) under guiden Konfigurera ditt domännamn.

3. Skapa ett lagringsutrymme på servern. 

   För att skapa ett lagringsutrymme följ anvisningarna i avsnittet skapa lagringsutrymme i Hantera serverutrymmen i Windows Server Essentials.

   Du kan också skapa ett nytt dubbelriktat speglat lagringsutrymme med hjälp av Windows PowerShell-cmdleten New-WssStorageSpace.

   När du har skapat lagringsutrymmet kontrollerar du att det visas på fliken Hårddiskar på instrumentpanelen.

4. Skapa servermappar för olika avdelningar eller datatyper efter behov.

   Om du vill skapa servermappar följ instruktionerna i Lägga till eller flytta en servermapp.

   Anteckning

   Om din organisation har delade mappar som redan används ska du även flytta de data som lagras på olika enheter till servermapparna som du skapar i det här steget.

   När du skapar en ny servermapp med hjälp av guiden Lägg till mapp går du till fältet Plats på sidan Ange namn och beskrivning för mappen och lagrar mappen på dess standardplats, det vill säga lagringsutrymmet som du skapade i steg 1, för att säkerställa hög tillgänglighet för data. Kontrollera att alla servermappar som du har skapat visas på fliken Lagring på instrumentpanelen.

   Du kan också lägga till en servermapp med hjälp av Windows PowerShell-cmdleten Add-WssFolder. Mer information finns i Add-WssFolder.

5. Skapa användarkonton och användargrupper.

   Skapa användarkonton för alla användare i nätverket och skapa sedan användargrupper som baseras på avdelningarna och projekten i din organisation. Du kan även skapa användargrupper enligt metoden för fjärråtkomst, till exempel användare som har åtkomst till data via VPN-nätverket eller användare som har åtkomst till data via Fjärrwebbåtkomst.

   Lägg sedan till användarkontona i de relevanta användargrupperna baserat på de avdelningar, projekt eller fjärråtkomstmetoder som användarna är associerade med. Se Lägg till ett användarkonto för steg-för-steg-instruktioner för att skapa användarkonton. Mer information om användargrupper finns i Hantera användarkonton i Windows Server Essentials [H2].

   Kontrollera att alla användarkonton och användargrupper visas på flikarna Användare och Användargrupper på instrumentpanelen.

6. Tilldela användarbehörigheter för servermapparna.

   Om du vill tilldela behörigheter till användarkonton så att användare kan komma åt mapparna på servern, följer du anvisningarna i Hantera åtkomst till servermappar.

   När du har beviljat behörigheter till användare kan du kontrollera, visa eller ändra behörigheter till nätverksresurser för ett användarkonto genom att visa egenskaperna för användarkontot från instrumentpanelen. Mer information finns i Hantera användarkonton i Windows Server Essentials [H2].

7. Anslut alla klientdatorer i nätverket till servern.

   Alla klienter måste vara anslutna till en server med Windows Server 2012 R2 Essentials eller Windows Server Essentials Experience. Innan du ansluter en klient till en server med Windows Server Essentials ska du kontrollera följande:

   • Operativsystem som fungerar för klientdatorer

   • Förutsättningar för att ansluta en dator till servern

   Kör guiden för att ansluta datorer till servern på alla datorer i nätverket, oavsett om de är lokala eller fjärranslutna. Steg-för-steg-anvisningar om hur du ansluter klientdatorer till en server som kör Windows Server Essentials Experience finns i Ansluta datorer till servern.

   När du har anslutit en klientdator till servern kontrollerar du att datorns namn visas på fliken Enheter på instrumentpanelen. Du kan hantera alla datorer som är anslutna till servern via de administrativa uppgifter som visas i åtgärdsfönstret på instrumentpanelen. Mer information finns i Hantera enheter med hjälp av instrumentpanelen.

8. Konfigurera behörigheter för fjärråtkomst för användarkonton och nätverksenheter.

   Tilldela behörigheter för fjärråtkomst till de användarkonton och nätverksenheter som användarna kan använda för att fjärransluta. Den här anslutningen kan ske via en VPN-anslutning eller via en fjärrskrivbordssession med hjälp av Fjärrwebbåtkomst. Steg-för-steg-anvisningar finns i följande avsnitt i Hantera användarkonton i Windows Server Essentials [H2]:

   • Ge användarkonton behörigheter för fjärrskrivbord

   • Tillåt användare att upprätta en fjärrskrivbordssession till sina datorer

   • Ändra behörigheter för fjärråtkomst för ett användarkonto

   • Ändra behörigheter för virtuella nätverk för ett användarkonto

9. Implementera grupprincipinställningar.

   För att implementera grupprincipinställningar i Windows Server Essentials, aktivera inställningarna för mappomdirigering, Windows Defender, Windows-brandväggen och Windows Update enligt anvisningarna i Konfigurera grupprincipinställningar för mappomdirigering och säkerhet.

   När grupprincipinställningarna har implementerats kontrollerar du att aktiviteten Konfigurera grupprincipinställningar visas på fliken Enheter.

10. Installera appen Min server 2012 R2.

    Installera appen Min server 2012 R2 på en Windows Phone-enhet och enheter med Windows 8.1 och Windows 8. Du kan installera appen Min server 2012 R2 på enheter med Windows från Windows Store. Information om hur du använder den här appen finns i Använd My Server-appen för att ansluta till Windows Server Essentials [SBS8].

    Du kan installera appen Min server 2012 R2 på en Windows Phone-enhet från Windows Phone Store. Kontrollera att appen Min server är installerad på din enhet. Information om telefonappen Min server 2012 R2 finns i blogginlägget Windows- och Windows Phone-appen Min server 2012 R2.

    För att kunna använda appen Min server 2012 R2 för Windows Phone och enheter med Windows 8.1 eller Windows 8 i Windows Server Essentials måste du först installera servercertifikatet på enheten. Med certifikatet kan du ansluta enheten till servern med Windows Server Essentials från det lokala nätverket. Steg-för-steg-instruktioner om hur du installerar servercertifikatet finns i avsnittet ”Hur du ansluter till servern från ditt lokala nätverk” i Använda My Server-appen för att ansluta till Windows Server Essentials [SBS8].

När du har slutfört föregående steg uppfylls målen för din organisation som anges i detta dokument på följande sätt:

• Användare i nätverket kan använda Fjärrwebbåtkomst eller ett VPN-nätverk utanför kontorsnätverket för säker åtkomst till företagsdata och -resurser.

• Användare kan komma åt nätverksresurser från en mängd olika mobila enheter via Fjärrwebbåtkomst, ett VPN-nätverk eller appen Min server 2012 R2.

• Användare kan arbeta utanför nätverket så att de inte längre behöver använda lokala kopior när de arbetar på annan plats. Versionskonflikter som uppstår på grund av flera filversioner undviks.

• Verksamhetsförlust förhindras eftersom användare i nätverket kan komma åt sina verksamhetsspecifika program utanför arbetstid genom att använda ett VPN-nätverk eller Fjärrwebbåtkomst för att skapa en fjärrskrivbordssession med sina lokala klientdatorer.

Se även