विंडोज 7 पर प्रत्यक्ष। भाग 3

पिछले DirectAccess भाग में, मैंने पारगमन प्रौद्योगिकियों को देखा जो IPv4 में IPv6 कनेक्टिविटी प्रदान करते हैं, IPv6 पर IPsec, और कॉर्पोरेट संसाधनों के लिए DA क्लाइंट एक्सेस मॉडल, और NRPT नाम रिज़ॉल्यूशन टेबल पर ध्यान केंद्रित करते हैं। आपको याद दिला दूं कि एनआरपीटी का उपयोग केवल तब किया जाता है जब डीए क्लाइंट इंटरनेट पर होता है, या, दूसरे शब्दों में, कॉर्पोरेट नेटवर्क के बाहर। तदनुसार, एक एल्गोरिथ्म है जो डीए क्लाइंट को कॉर्पोरेट नेटवर्क के सापेक्ष अपना स्थान निर्धारित करने की अनुमति देता है। आइए इस एल्गोरिदम को देखें।



स्थिति



बात बहुत सरल है। DirectAccess सेटअप विज़ार्ड में DirectAccess को कॉन्फ़िगर करते समय, व्यवस्थापक एक निश्चित URL (नेटवर्क स्थान URL) सेट करता है (चित्र 1 देखें)।



यह URL समूह नीतियों के माध्यम से सभी DA ग्राहकों को दिया जाता है और रजिस्ट्री कुंजी में संग्रहीत किया जाता है:

HKEY_LOCAL_MACHINE \ Software \ नीतियाँ \ Microsoft \ Windows \ NetworkConnectivityStatusIndicator \ CorporateConnectivity \ DomainLocationDeterminationUrl

हर बार जब DA क्लाइंट की नेटवर्क स्थिति बदल जाती है (कंप्यूटर पुनरारंभ होता है, तो केबल को नेटवर्क कार्ड में डाला जाता है, वाईफाई एडेप्टर नेटवर्क से कनेक्ट होता है, आदि), क्लाइंट दिए गए URL का उपयोग करके नेटवर्क स्थान सर्वर (NLS) नामक संसाधन से कनेक्ट करने का प्रयास करता है। यदि यह सफल होता है, तो DA क्लाइंट खुद को कॉर्पोरेट नेटवर्क पर मानता है, यदि नहीं, तो इंटरनेट पर। डिफ़ॉल्ट रूप से, DA क्लाइंट हमेशा खुद को कॉर्पोरेट नेटवर्क से बाहर मानता है।

अधिक विवरण में, प्रक्रिया इस प्रकार है:

1. नेटवर्क स्थान URL में निर्दिष्ट पूरी तरह से योग्य डोमेन नाम (FQDN) की अनुमति है।

2. 443 टीसीपी पोर्ट पर एक एचटीटीपीएस कनेक्शन स्थापित है।

3. एनएलएस सर्वर का एसएसएल प्रमाणपत्र सत्यापित है।

4. प्रमाणपत्र को निरस्त CRL प्रमाणपत्रों की सूची के विरुद्ध जांचा जाता है, जिसका स्थान DA क्लाइंट सेटिंग में निर्दिष्ट किया गया है।

एनएलएस सर्वर से सफलतापूर्वक कनेक्ट होने के बाद, डीए क्लाइंट डोमेन नियंत्रक को खोजने और प्रमाणित करने का प्रयास करता है। यदि प्रमाणीकरण सफल होता है, तो क्लाइंट ग्रिड डोमेन प्रोफ़ाइल पर स्विच हो जाता है। और चूंकि सभी DirectAccess सेटिंग्स, जिनमें IPsec सेटिंग्स शामिल हैं, केवल सार्वजनिक और निजी नेटवर्क प्रोफाइल पर लागू होती हैं, ये सेटिंग्स निष्क्रिय हैं, NRPT निष्क्रिय है, और DA क्लाइंट किसी अन्य साधारण डोमेन कंप्यूटर की तरह काम करता है।

इस एल्गोरिथ्म से कई महत्वपूर्ण निष्कर्ष निकाले जा सकते हैं।

1. नेटवर्क स्थान URL केवल आंतरिक DNS सर्वरों द्वारा हल किया जाना चाहिए और किसी भी बाहरी DNS सर्वर द्वारा हल नहीं किया जाना चाहिए।

2. चूंकि एनएएलएस सर्वर के साथ संचार डीए क्लाइंट के स्थान का निर्धारण करने के लिए महत्वपूर्ण है, इसलिए इस संसाधन की उपलब्धता और गलती सहिष्णुता का पर्याप्त स्तर सुनिश्चित किया जाना चाहिए।

3. आपको सीएलआर उपलब्धता के स्तर की भी देखभाल करने की आवश्यकता है।

यदि डोमेन नेटवर्क में कोई DA क्लाइंट NLS तक नहीं पहुंच सकता है तो क्या होगा? जाहिर है, डीए क्लाइंट विचार करेगा कि यह इंटरनेट पर है, और डीए सर्वर के बाहरी इंटरफ़ेस के लिए एक सुरंग स्थापित करने का प्रयास करेगा। और यदि वह सफल हो जाता है, तो वह आंतरिक संसाधनों के साथ काम करेगा जैसे कि वह कॉर्पोरेट नेटवर्क के बाहर था, यानी डीए सर्वर के माध्यम से। स्वाभाविक रूप से, सबसे पहले, यह अनावश्यक ट्रैफ़िक बनाता है और नेटवर्क इंटरैक्शन की गति को कम करता है, और दूसरी बात, क्लाइंट को केवल उन आंतरिक संसाधनों तक पहुंच प्राप्त होगी जो DirectAccess नीति द्वारा अनुमत हैं। यदि डीए सर्वर के बाहरी इंटरफ़ेस तक पहुंचना संभव नहीं था, तो संक्षिप्त नाम अभी भी DNS के अलावा अन्य तंत्रों का उपयोग करके हल करने का एक मौका है, उदाहरण के लिए लिंक-लोकल मल्टीकास्ट नाम रिज़ॉल्यूशन या नेटबीआईओएस।



DirectAccess परिनियोजन के लिए अवसंरचना आवश्यकताएँ



अब जब मूल DirectAccess तंत्र की समीक्षा की गई है, तो आप प्रौद्योगिकी को तैनात करने के लिए बुनियादी सुविधाओं की आवश्यकताओं पर चर्चा कर सकते हैं।

DA ग्राहक:

1. विंडोज 7 अल्टीमेट या एंटरप्राइज या विंडोज सर्वर 2008 आर 2

2. सक्रिय निर्देशिका डोमेन सदस्य

DA सर्वर:

1. विंडोज सर्वर 2008 आर 2

2. सक्रिय निर्देशिका डोमेन सदस्य

3. कम से कम दो नेटवर्क एडेप्टर एक को इंटरनेट से, एक को इंट्रानेट से जोड़ा

4. पारगमन प्रौद्योगिकियों के सही संचालन के लिए लगातार दो सार्वजनिक IPv4 पते। विशेष रूप से, टेरेडो तकनीक को दो आईपी की आवश्यकता होती है। RFC के अनुसार, उन्हें अनुक्रमिक नहीं होना चाहिए, लेकिन वर्तमान DirectAccess कार्यान्वयन में, आवश्यकता बस इतनी ही है।

नेटवर्क:

1. सक्रिय निर्देशिका। विंडोज सर्वर 2008 के तहत कम से कम एक डोमेन नियंत्रक (जरूरी नहीं कि R2)

2. कंप्यूटर प्रमाणपत्र जारी करने के लिए एक व्यापक सार्वजनिक कुंजी अवसंरचना (PKI)। सुरंग स्थापित करते समय प्रमाणीकरण के लिए बाद की आवश्यकता होती है

3. IPv6 के लिए समर्थन और उपकरणों पर पारगमन प्रौद्योगिकी, जिस पर DA ग्राहकों को पहुंच प्रदान की जाएगी। आपको याद दिला दूं कि Microsoft OS में Windows XP के बाद से ऐसा सपोर्ट दिखाई देता है



DirectAccess परिनियोजन



मैंने एक छोटा वीडियो रिकॉर्ड किया जहां मैंने DirectAccess की स्थापना के लिए बुनियादी कदम दिखाए और साथ ही साथ कुछ तकनीकी बिंदुओं को फिर से समझाया। उसी समय, मैंने पर्दे के पीछे सब कुछ छोड़ दिया जो सीधे DirectAccess से संबंधित नहीं है, उदाहरण के लिए, PKI परिनियोजन।

अधिक जानकारी के लिए, जो अब प्रचुर मात्रा में है, आप टेकनेट पोर्टल के उपयुक्त अनुभाग का उल्लेख कर सकते हैं।



निष्कर्ष



अंत में, मैं एक बार फिर DirectAccess की मुख्य विशेषताओं को रेखांकित करना चाहूंगा। आप संभवतः शब्दावली के बारे में लंबे समय तक बहस कर सकते हैं: चाहे DirectAccess एक निश्चित वीपीएन एक्सटेंशन विकल्प है या नहीं। मैं इस मुद्दे पर विभिन्न दृष्टिकोणों के साथ आया हूं। उदाहरण के लिए, DirectAccess स्टेरॉयड पर एक वीपीएन है। या, वीपीएन बाहर से कॉर्पोरेट नेटवर्क के लिए उपयोगकर्ता की अस्थायी पहुंच है, और डायरेक्टआऊट दूरस्थ उपयोगकर्ताओं के लिए आंतरिक संसाधनों का निरंतर प्रावधान है। लेकिन, यह मुझे लगता है, अंतिम विश्लेषण में, यह इतना महत्वपूर्ण नहीं है। DirectAccess के बारे में निम्नलिखित को याद रखने के लिए आंतरिक संसाधनों तक दूरस्थ उपयोगकर्ता पहुंच का आयोजन करना महत्वपूर्ण है:

1. DA कॉर्पोरेट नेटवर्क के लिए दूरस्थ उपयोगकर्ताओं का एक पारदर्शी कनेक्शन प्रदान करता है। इस मामले में, उपयोगकर्ता से स्वयं के अतिरिक्त कुछ भी आवश्यक नहीं है।

2. इंटरनेट से कनेक्शन (DA सर्वर के साथ) दिखाई देते ही एक DA कनेक्शन स्थापित हो जाता है और स्वचालित रूप से पुनर्स्थापित हो जाता है।

3. जब एक DA कनेक्शन स्थापित किया जाता है, तो कंप्यूटर और उपयोगकर्ता दोनों प्रमाणित होते हैं। प्रशासक द्वारा निर्दिष्ट कुछ मशीनों से ही DA कनेक्शन संभव है।

4. डिफ़ॉल्ट रूप से, DA ट्रैफ़िक पृथक्करण को लागू करता है: स्थानीय संसाधनों पर ट्रैफ़िक DA से होकर कॉरपोरेट नेटवर्क तक जाता है, बाह्य संसाधनों पर ट्रैफ़िक वर्तमान ISP प्रदाता से इंटरनेट तक जाता है।

5. जब से DA क्लाइंट का उपयोग करना हमेशा कॉर्पोरेट नेटवर्क से जुड़ा होता है (जब तक संचार होता है), DA क्लाइंट हमेशा IT सेवाओं के नियंत्रण में रहते हैं।

6. यह "Microsoft की वीपीएन के लिए अगली कड़ी" नहीं है :)। DA IPv6 पर आधारित है, जो पारंपरिक IPv4 VPN की कई समस्याओं और सीमाओं से रहित है।

शायद बस इतना ही।