Article
10/20/2021

DirectAccess : un jeu de lego – (Partie 2/7 : Préparation de l’infrastructure)

Article par Benoît SAUTIERE (MVP Enterprise Security)

Benoît SAUTIERE est référent technique et architecte infrastructure pour un Microsoft Gold Partner. En tant que MVP, Benoît participe au développement des offres autour des solutions d’infrastructure Microsoft et intervient en tant que Speaker aux Techdays 2010 et 2011.

Mon parcours « Microsoft » a commencé avec Windows NT 3.51 et produits associés, pour progressivement me spécialiser sur les solutions d’infrastructures Microsoft et arriver aujourd’hui à Windows 2008 R2. C’est au TechEd 2008 que j’ai découvert ce qui deviendra DirectAccess, sujet que j’ai développé tout au long de nombreux billets sur mon blog : Simple by design, signant mes articles avec la mention « Simple and Secure by Design », maintenant complétée de « and Business compliant ».

Spécialiste des infrastructures d’annuaire ainsi qu’impliqué dans les aspects sécurité des produits Microsoft, Benoît intervient auprès de grands comptes français voire internationaux pour son expertise dans ces domaines.

Articles

Vous trouverez ci-dessous le début de l’article, n’hésitez pas à télécharger la suite directement en format pdf

Sommaire de l'article

Préparation de l'environnement
- Préparation de l'infrastructure
  - Serveur DC1
  - Serveur APP1
  - Serveur UAG1
- Préparation Active Directory
  - Organisation de l'annuaire Active Directory
  - L'activation d'ICMP pour IPv4 et IPv6
- Préparation réseau
- Préparation du DNS
- Paramétrage du client Network Access Protection

>> Télécharger gratuitement l'intégralité de cet article <<

Préparation de l’environnement

Les fondamentaux sont posés, maintenant, on rentre dans le vif du sujet avec la mise en œuvre de notre environnement. A ce stade, le plus difficile, ce sera l’infrastructure de clé publique. Désolé, ce sera un peu détaillé.

Préparation de l’infrastructure

Serveur DC1

Notre premier serveur sera un contrôleur de domaine opérant sous Windows Server 2008 R2 Edition standard. Ce serveur disposera d’une unique carte réseau connectée au réseau LAN de notre maquette. Le paramétrage réseau est documenté dans le tableau ci-dessous :

Serveur APP1

Notre second serveur ne sera utilisé que pour héberger notre Network Location Server. Pour rappel, c’est un site web en HTTPS qui est utilisé comme un phare pour déterminer que le poste de travail est connecté au réseau interne de l’entreprise. Etant donné son usage limité, nous allons mettre en œuvre ce NLS sur un Windows Server 2008 R2 mais installé en « Core ». Ce serveur ne disposera que d’une seule interface réseau, connectée au réseau LAN de notre maquette.

Serveur UAG1

Le serveur UAG représentera le cœur de la maquette. Sa configuration sera un peu plus complexe que pour les autres. D’une part par ses exigences en termes de quantité de mémoire vive (2048Mb), d’autre part en terme d’interfaces réseau. En effet, le serveur dispose d’une interface réseau connectée au réseau LAN de la maquette ainsi que d’une interface connectée à Internet. Enfin, dernière subtilité, le système d’exploitation doit impérativement être de langue US.

| Haut de page

Préparation Active Directory

Le seul réel prérequis coté Active Directory, c’est de disposer d’un contrôleur de domaine opérant sous Windows 2008 SP1 au minimum. Après, nous n’avons besoin que d’aménagements ayant pour objectif de nous faciliter la vie. On distingue deux types d’aménagements :

L’organisation de l’annuaire Active Directory
L’activation d’ICMP pour IPv4 et IPv6

Organisation de l’annuaire Active Directory

Côté organisation de l’annuaire, les aménagements ont pour objectif de ranger les objets dans l’annuaire afin de faciliter l’utilisation des futures stratégies de groupe. Ces aménagements sont les suivants :

La création d’un groupe de filtrage pour les clients DirectAccess
La création d’un conteneur pour les postes de travail
La création d’un conteneur pour le serveur UAG et y appliquer des stratégies de groupe plus facilement
La création d’un groupe de filtrage pour les systèmes dispensés de présenter un état de santé (optionnel).

Le groupe de filtrage sera créé par une simple commande PowerShell. Ce groupe va nous permettre d’identifier les systèmes autorisés pour DirectAccess.