GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>DirectAccess</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">DirectAccess</span></h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="de" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="de" dir="ltr"><p><b>DirectAccess</b> ist eine <a href="Propriet%C3%A4r" title="Proprietär">proprietäre</a>, <a href="Virtual_Private_Network" title="Virtual Private Network">VPN</a>-ähnliche Lösung von <a href="Microsoft" title="Microsoft">Microsoft</a> unter <a href="Windows_Server_2008_R2" class="mw-redirect" title="Windows Server 2008 R2">Windows Server 2008 R2</a> und <a href="Windows_Server_2012" class="mw-redirect" title="Windows Server 2012">2012</a>. Die <a href="Technik" title="Technik">Technik</a> basiert komplett auf dem <a href="IPv6" title="IPv6">Internet Protocol Version 6</a> und benutzt für den Zugriff auf <a href="IPv4" title="IPv4">IPv4</a>-Server <a href="Liste_von_IPv6-Tunnelbrokern" title="Liste von IPv6-Tunnelbrokern">Überbrückungstechnologien</a>, wobei unter Windows Server 2008 R2 für die IPv4-Überbrückung der Betrieb einer UAG-<a href="Firewall" title="Firewall">Firewall</a> oder eines <a href="NAT64" title="NAT64">NAT64</a>-Geräts nötig war. Bei einer Verbindung von extern werden die IPv6-Daten mittels eines <a href="IPsec" title="IPsec">IPsec</a>-Tunnels übertragen. Im Gegensatz zu VPN benötigt DirectAccess kein benutzerseitiges Initiieren einer Verbindung, sondern stellt bereits beim Start des Computers automatisch eine Verbindung zum Unternehmensnetzwerk her, falls sich ein Client außerhalb des Unternehmensnetzwerkes befindet. Durch die automatische Verbindung der Clients zum Netzwerk ist ein Verwalten von externen Computern, sogenanntes „Manage-Out“, für Unternehmen möglich.

</p>

<div class="mw-heading mw-heading2"><h2 id="Funktionsweise">Funktionsweise</h2></div>

<p>Beim Start eines Clientcomputers versucht der PC, den sogenannten „Network Location Server“ (NLS) zu erreichen, wobei dieser nichts anderes ist als eine nur im Domänennetzwerk erreichbare Website und von jedem <a href="Webserver" title="Webserver">Webserver</a> bereitgestellt werden kann. Falls der Computer den NLS nicht erreichen kann, nimmt der Computer an, dass er sich nicht im Domänennetzwerk befindet, und versucht daraufhin eine <a href="IPsec" title="IPsec">IPsec</a>-gesicherte Verbindung zum Unternehmensnetzwerk aufzubauen. Ist keine native IPv6 Verbindung möglich, wird versucht, einen Tunnel mithilfe der Protokolle <a href="6to4" title="6to4">6to4</a>, <a href="Teredo" title="Teredo">Teredo tunneling</a>, oder IP-HTTPS aufzubauen. Falls diese Verbindung zustande kommt, wird die „Name Resolution Policy Table“ (NRPT) so konfiguriert, dass für den Zugriff auf Unternehmensressourcen die DirectAccess-Verbindung des Unternehmens verwendet wird. Je nach Konfiguration kann auch der gesamte Netzwerkverkehr über das Unternehmensnetzwerk gehen. Wenn keine Verbindung (z. B. bei fehlender Internet-Verbindung) zustande kommt, kann dem Benutzer je nach Einstellung die Anmeldung verweigert oder mithilfe von im Cache gespeicherten Authentifizierungsinformationen dennoch gewährt werden.

</p><p>Im Vergleich zu anderen "road warrior"-VPN (auch Client2Site) Lösungen bietet diese Variante die benutzerunabhängige Authentifizierung des Gerätes. Bei entsprechender Konfiguration des DirectAccess-Servers ist es ebenfalls möglich den Tunnel bis zum Endpunkt (dem dahinterliegenden Server) durchzuziehen und somit in "Cloud Native"-Szenarien, bei dem die Server nicht im Unternehmen, sondern bei einem Dienstleister im Rechenzentrum stehen, ebenfalls sicher zu verschlüsseln. Außerdem kann aufgrund der von Windows bekannten Authentifizierungsmöglichkeiten eine Verbindung an der Windows Firewall aufgrund von Benutzer- oder Computer-Gruppenzugehörigkeiten erlaubt oder verweigert werden. Zwei weitere wichtige Funktionen sind "Manage-Out", welche die Verwaltung der Clients mittels "PSSession" und "WinRM" erlaubt, sowie die Always-On-Funktion, die automatische benutzerunabhängige Aushandlung eines VPN-Protokolls aufgrund der im aktuellen Netzwerk des Clients vorhandenen Gegebenheiten (IPv6?, IPSec geblockt?, Teredo möglich?, HTTPS-Verbindungen möglich?).

</p><p>Im Zuge der Einführung von DirectAccess wurde ebenfalls das Protokoll IP-HTTPS entwickelt, welches kurz zusammengefasst eine VPN-Verbindung über eine HTTPS-Verbindung ermöglicht. Für die TLS-Verbindung wird NULL-Encryption verwendet. Was auf den ersten Blick wie ein gefährliches Sicherheitsproblem wirkt, stellt sich bei genauer Betrachtung jedoch als nicht gegeben heraus. Wichtig hierbei ist, dass die Kommunikation mittels HTTPS auf Port 443 lediglich die Aufgaben des Linklayers übernimmt, damit die IPSec verschlüsselte IPv6 Verbindung aufgebaut werden kann.

</p>

<div class="mw-heading mw-heading2"><h2 id="Anforderungen">Anforderungen</h2></div>

<div class="mw-heading mw-heading3"><h3 id="Windows_Server_2008_R2">Windows Server 2008 R2</h3></div>

<p>Es wird mindestens ein einer <a href="Active_Directory" title="Active Directory">Active-Directory</a>-Domäne angehörender Windows Server 2008 R2 mit installiertem DirectAccess mit zwei Netzwerkadaptern (ein Adapter in das Internet und einer ins Intranet) benötigt. Ebenfalls werden zwei öffentliche IPv4-Adressen benötigt. Außerdem muss das Netzwerk über einen <a href="Domain_Name_Server" class="mw-redirect" title="Domain Name Server">DNS</a>-Server, eine <a href="Public-Key-Infrastruktur" title="Public-Key-Infrastruktur">PKI</a>-Umgebung und Active Directory verfügen. Für die Interaktion mit reinen IPv4-Servern im internen Netzwerk wird die <a href="NAT64" title="NAT64">NAT64</a>-Funktion der Microsoft TMG-Firewall (ehem. UAG-Firewall) oder ein NAT64-Gerät benötigt.<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading3"><h3 id="Windows_Server_2012">Windows Server 2012</h3></div>

<p>Es wird mindestens ein einer AD-Domäne angehörender Windows Server 2012 mit installiertem DirectAccess benötigt, jedoch werden lediglich noch ein Netzwerkadapter und eine IP-Adresse benötigt. Ebenfalls kann man inzwischen auf eine PKI-Umgebung verzichten, wobei ein DNS-Server sowie <a href="Active_Directory" title="Active Directory">Active Directory</a> weiterhin nötig sind. Eine spezielle Firewall ist ebenfalls nicht mehr nötig, da IPv4-Überbrückungstechnologien bereits in <a href="Microsoft_Windows_Server_2012" title="Microsoft Windows Server 2012">Windows Server 2012</a> integriert sind.<sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading3"><h3 id="Clients">Clients</h3></div>

<p>Clients benötigen <a href="Windows_7" class="mw-redirect" title="Windows 7">Windows 7</a> Ultimate/Enterprise Edition, <a href="Windows_8" class="mw-redirect" title="Windows 8">Windows 8</a> Enterprise Edition oder <a href="Windows_10" class="mw-redirect" title="Windows 10">Windows 10</a> Education/Enterprise Edition.

</p>

<div class="mw-heading mw-heading2"><h2 id="Andere_Betriebssysteme">Andere Betriebssysteme</h2></div>

<p>DirectAccess ist eine proprietäre Lösung von Microsoft, die keine anderen Betriebssysteme unterstützt. Serverseitig gibt es für die Integration von <a href="Linux" title="Linux">Linux</a> in eine DirectAccess-Infrastruktur jedoch Lösungen von Drittanbietern.<sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup>

</p><p>Für die Integration von anderen Betriebssystemen wird die Konfiguration eines VPN-Protokolls schon während der Installation von DirectAccess empfohlen.

</p><p>Da DirectAccess nur eine Art Abfolge zur Verwendung von standardisierten Tunnel-Protokollen ist, ist eine <a href="Implementierung" title="Implementierung">Implementierung</a> unter anderen Betriebssystemen zumindest theoretisch möglich. Für IP-HTTPs ist das Protokoll auf der Webseite von Microsoft spezifiziert.<sup id="cite_ref-4" class="reference"><a href="#cite_note-4"><span class="cite-bracket">[</span>4<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Weblinks">Weblinks</h2></div>

<ul><li><a rel="nofollow" class="external text" href="https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd759144(v=ws.11)">DirectAccess für Windows Server 2008 R2</a> auf Microsoft TechNet</li>

<li><a rel="nofollow" class="external text" href="https://msdn.microsoft.com/en-us/library/dd358571.aspx">[MS-IPHTTPS]: IP over HTTPS (IP-HTTPS) Tunneling Protocol</a></li></ul>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><span class="mw-cite-backlink"><a href="#cite_ref-1">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-7/dd637797(v=ws.10)">Anforderungen für Direct Access bei Windows Server 2008</a> auf Microsoft TechNet. Abgerufen am 17. Februar 2014.</span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831743(v=ws.11)">Konfigurieren der Infrastruktur eines RAS-Server mit Direct Access</a> auf Microsoft TechNet. Abgerufen am 17. Februar 2014.</span>

</li>

/* start https://de.wikipedia.org/ */

.mw-parser-output .webarchiv-memento a{color:inherit}

/* end https://de.wikipedia.org/ */

</style><a rel="nofollow" class="external text" href="https://web.archive.org/web/20110326062346/http://www.centrify.com/directsecure/window-7-directaccess-integration-for-unix-linux.asp">Centrify DirectSecure: DirectAccess Integration.</a> (<span class="webarchiv-memento"><a href="Webarchivierung#Begrifflichkeiten" title="Webarchivierung">Memento</a></span> vom 26. März 2011 im <i><a href="Internet_Archive" title="Internet Archive">Internet Archive</a></i>) Abgerufen am 17. Februar 2014.</span>

</li>

<li id="cite_note-4"><span class="mw-cite-backlink"><a href="#cite_ref-4">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://msdn.microsoft.com/en-us/library/dd358571.aspx"><i>MS-IPHTTPS: IP over HTTPS (IP-HTTPS) Tunneling Protocol.</i></a> Microsoft,<span class="Abrufdatum"> abgerufen am 21. Februar 2019</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ADirectAccess&rft.title=MS-IPHTTPS%3A+IP+over+HTTPS+%28IP-HTTPS%29+Tunneling+Protocol&rft.description=MS-IPHTTPS%3A+IP+over+HTTPS+%28IP-HTTPS%29+Tunneling+Protocol&rft.identifier=&rft.publisher=Microsoft&rft.date=&rft.language=englisch"> </span></span>

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2024-11-06" href="https://de.wikipedia.org/wiki/?title=DirectAccess&oldid=250110283">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>