Развертывание Always On VPN с удаленным доступом в Windows 10

DirectAccess был представлен в операционных системах Windows 8.1 и Windows Server 2012 как функция, позволяющая пользователям Windows подключаться удаленно. Однако после запуска Windows 10 развертывание этой инфраструктуры сократилось. Microsoft активно поощряет организации, рассматривающие решение DirectAccess, вместо этого внедрить клиентскую VPN с Windows 10. Это соединение Всегда на VPN обеспечивает аналогичный DirectAccess опыт с использованием традиционных протоколов VPN для удаленного доступа, таких как IKEv2, SSTP. и L2TP/IPsec. Кроме того, он имеет некоторые дополнительные преимущества.

В Windows 10 Anniversary Update появилась новая функция, позволяющая ИТ-администраторам настраивать автоматические профили VPN-подключения. Как упоминалось ранее, Always On VPN имеет некоторые важные преимущества по сравнению с DirectAccess. Например, Always On VPN может использовать как IPv4, так и IPv6. Итак, если у вас есть некоторые опасения по поводу будущей жизнеспособности DirectAccess и если вы соответствуете всем требованиям для поддержки Always On VPN с Windows 10, то, возможно, переключение на последнее является правильным выбором.

Always On VPN для клиентских компьютеров Windows 10

В этом руководстве рассматриваются шаги по развертыванию подключений Remote Access Always On VPN для удаленных клиентских компьютеров под управлением Windows 10.

Прежде чем продолжить, убедитесь, что у вас есть следующее:

• Доменная инфраструктура Active Directory, включая один или несколько серверов системы доменных имен (DNS).
• Инфраструктура открытых ключей (PKI) и службы сертификации Active Directory (AD CS).

Чтобы начать Удаленный доступ всегда при развертывании VPN , установите новый сервер удаленного доступа под управлением Windows Server 2016.

Далее выполните следующие действия с VPN-сервером:

1. Установите два сетевых адаптера Ethernet на физическом сервере. Если вы устанавливаете VPN-сервер на ВМ, вы должны создать два внешних виртуальных коммутатора, по одному для каждого физического сетевого адаптера; а затем создайте два виртуальных сетевых адаптера для виртуальной машины, причем каждый сетевой адаптер подключен к одному виртуальному коммутатору.
2. Установите сервер в вашей сети периметра между вашим пограничным и внутренним брандмауэрами, с одним сетевым адаптером, подключенным к внешней сети периметра, и одним сетевым адаптером, подключенным к внутренней сети периметра.

После выполнения описанной выше процедуры установите и настройте удаленный доступ как шлюз VPN RAS с одним клиентом для VPN-подключений точка-сайт с удаленных компьютеров. Попробуйте настроить удаленный доступ в качестве клиента RADIUS, чтобы он мог отправлять запросы на подключение на сервер организации NPS для обработки.

Зарегистрируйте и подтвердите сертификат VPN-сервера в своем центре сертификации (CA).

Сервер NPS

Если вы не знаете, это сервер установлен в вашей организации/корпоративной сети. Необходимо настроить этот сервер как сервер RADIUS, чтобы он мог получать запросы на подключение от VPN-сервера. Как только сервер NPS начинает получать запросы, он обрабатывает запросы на подключение и выполняет шаги авторизации и аутентификации перед отправкой сообщения Access-Accept или Access-Reject на VPN-сервер.

Сервер AD DS

Сервер является локальным доменом Active Directory, в котором размещаются локальные учетные записи пользователей. Требуется настроить следующие элементы на контроллере домена.

1. Включите автоматическую регистрацию сертификатов в групповой политике для компьютеров и пользователей
2. Создать группу пользователей VPN
3. Создать группу VPN-серверов
4. Создать группу серверов NPS
5. CA Server

Сервер центра сертификации (ЦС) – это центр сертификации, на котором запущены службы сертификации Active Directory. CA регистрирует сертификаты, которые используются для аутентификации клиент-сервер PEAP, и создает сертификаты на основе шаблонов сертификатов. Итак, во-первых, вам нужно создать шаблоны сертификатов в ЦС. Удаленные пользователи, которым разрешено подключаться к сети организации, должны иметь учетную запись в AD DS.

Кроме того, убедитесь, что ваши межсетевые экраны позволяют трафику, который необходим для правильной работы связи VPN и RADIUS.

Помимо наличия этих серверных компонентов, убедитесь, что клиентские компьютеры, настроенные для использования VPN, работают под управлением Windows 10 v 1607 или более поздней версии. VPN-клиент Windows 10 обладает широкими возможностями настройки и предлагает множество вариантов.

Это руководство предназначено для развертывания Always On VPN с ролью сервера удаленного доступа в локальной сети организации. Пожалуйста, не пытайтесь развернуть удаленный доступ на виртуальной машине (ВМ) в Microsoft Azure.

Для получения полной информации и шагов настройки вы можете обратиться к этому документу Microsoft.

Также читайте : как настроить и использовать AutoVPN в Windows 10 для удаленного подключения.

Always On компонентов и функций VPN Always On VPN features and functionalities

Область применения. Windows Server (Semi-Annual Channel), Windows Server 2016, Windows 10 Applies To: Windows Server (Semi-Annual Channel), Windows Server 2016, Windows 10

В этом разделе вы узнаете о функциях и возможностях Always On VPN. In this topic, you learn about the features and functionalities of Always On VPN. Следующая таблица не является исчерпывающим списком, однако она включает некоторые наиболее распространенные функции и возможности, используемые в решениях удаленного доступа. The following table is not an exhaustive list, however, it does include some of the most common features and functionalities used in remote access solutions.

Если вы в настоящее время используете DirectAccess, рекомендуется тщательно изучить функции VPN Always On, чтобы определить, будут ли они обращаться к всем требованиям удаленного доступа перед переходом с DirectAccess на Always On VPN. If you currently use DirectAccess, we recommend that you investigate the Always On VPN functionality carefully to determine if it addresses all of your remote access needs before migrating from DirectAccess to Always On VPN.

Определить с помощью: Define using:
Поддержка vpnv2/fileName/AlwaysOn VPNv2/ProfileName/AlwaysOn
Поддержка vpnv2/fileName/Апптригжерлист VPNv2/ProfileName/AppTriggerList
Поддержка vpnv2/fileName/Домаиннамеинформатионлист/автотриггер VPNv2/ProfileName/DomainNameInformationList/AutoTrigger Использование выделенного туннеля инфраструктуры для обеспечения возможности подключения пользователей, не вошедших в корпоративную сеть. Use of a dedicated Infrastructure Tunnel to provide connectivity for users not signed into the corporate network. Эту функцию можно достичь с помощью функции туннелирования устройства в профиле VPN. You can achieve this functionality by using the Device Tunnel feature in the VPN profile.

Примечание. Note:
Туннель устройства можно настроить только на устройствах, присоединенных к домену, с помощью IKEv2 с проверкой подлинности сертификата компьютера. Device Tunnel can only be configured on domain-joined devices using IKEv2 with computer certificate authentication.

Определить с помощью: Define using:
Поддержка vpnv2/fileName/Девицетуннел VPNv2/ProfileName/DeviceTunnel Использование управления для разрешения удаленного подключения к клиентам из систем управления, расположенных в корпоративной сети. Use of manage-out to allow remote connectivity to clients from management systems located on the corporate network. Эту функцию можно реализовать с помощью функции туннелирования устройства в профиле VPN, в сочетании с настройкой VPN-подключения для динамической регистрации IP-адресов, назначенных интерфейсу VPN с внутренними службами DNS. You can achieve this functionality by using the Device Tunnel feature in the VPN profile combined with configuring the VPN connection to dynamically register the IP addresses assigned to the VPN interface with internal DNS services.

Примечание. Note:
Если включить фильтры трафика в профиле туннеля устройства, то туннель устройства отклоняет входящий трафик (от корпоративной сети к клиенту). If you turn on traffic filters in the Device Tunnel profile, then the Device Tunnel denies inbound traffic (from the corporate network to the client).

Определить с помощью: Define using:
Поддержка vpnv2/fileName/Девицетуннел VPNv2/ProfileName/DeviceTunnel
Поддержка vpnv2/fileName/Регистерднс VPNv2/ProfileName/RegisterDNS Если клиенты находятся за брандмауэрами или прокси-серверами, они будут возвращаться. Fall back when clients are behind firewalls or proxy servers. Можно настроить для возврата к SSTP (из IKEv2) с помощью автоматического типа туннеля или протокола в профиле VPN. You can configure to fall back to SSTP (from IKEv2) by using the automatic tunnel/protocol type within the VPN profile.

Примечание. Note:
Туннель пользователя поддерживает протоколы SSTP и IKEv2, а туннель устройства поддерживает IKEv2 только без поддержки отката SSTP. User Tunnel supports SSTP and IKEv2, and Device Tunnel supports IKEv2 only with no support for SSTP fallback.

Определить с помощью: Define using:
Поддержка vpnv2/fileName/Нативепрофиле/Нативепротоколтипе VPNv2/ProfileName/NativeProfile/NativeProtocolType Поддержка сквозного режима доступа. Support for end-to-edge access mode. Always On VPN обеспечивает подключение к корпоративным ресурсам с помощью политик туннелирования, требующих проверки подлинности и шифрования, пока не достигают VPN-шлюза. Always On VPN provides connectivity to corporate resources by using tunnel policies that require authentication and encryption until they reach the VPN gateway. По умолчанию туннельные сеансы завершаются на VPN-шлюзе, который также выступает в качестве шлюза IKEv2 и обеспечивает безопасность сквозной системы. By default, the tunnel sessions terminate at the VPN gateway, which also functions as the IKEv2 gateway, providing end-to-edge security. Поддержка проверки подлинности сертификата компьютера. Support for machine certificate authentication. Тип протокола IKEv2, доступный в составе Always On платформы VPN, специально поддерживает использование сертификатов компьютеров или компьютеров для проверки подлинности VPN. The IKEv2 protocol type available as part of the Always On VPN platform specifically supports the use of machine or computer certificates for VPN authentication.

Примечание. Note:
IKEv2 — это единственный поддерживаемый протокол для туннеля устройства, и для отката SSTP нет возможности поддержки. IKEv2 is the only supported protocol for Device Tunnel and there is no support option for SSTP fallback.

Определить с помощью: Define using:
Поддержка vpnv2/имя_профиля/Нативепрофиле/Authentication/Мачинемесод VPNv2/ProfileName/NativeProfile/Authentication/MachineMethod Используйте группы безопасности, чтобы ограничить функциональность удаленного доступа конкретными клиентами. Use security groups to limit remote access functionality to specific clients. Вы можете настроить Always On VPN для поддержки детальной авторизации при использовании RADIUS, которая включает использование групп безопасности для управления доступом к VPN. You can configure Always On VPN to support granular authorization when using RADIUS, which includes the use of security groups to control VPN access. Поддержка серверов, расположенных за граничным брандмауэром или устройством NAT. Support for servers behind an edge firewall or NAT device. Always On VPN дает возможность использовать такие протоколы, как IKEv2 и SSTP, которые полностью поддерживают использование VPN-шлюза, который находится за устройством NAT или граничным брандмауэром. Always On VPN gives you the ability to use protocols like IKEv2 and SSTP that fully support the use of a VPN gateway that is behind a NAT device or edge firewall.

Примечание. Note:
Туннель пользователя поддерживает протоколы SSTP и IKEv2, а туннель устройства поддерживает IKEv2 только без поддержки отката SSTP. User Tunnel supports SSTP and IKEv2, and Device Tunnel supports IKEv2 only with no support for SSTP fallback. Возможность определения подключения к интрасети при подключении к корпоративной сети. Ability to determine intranet connectivity when connected to the corporate network. Функция обнаружения доверенных сетей позволяет обнаруживать корпоративные сетевые подключения и основана на оценке DNS-суффикса подключения, назначенного сетевым интерфейсам и сетевому профилю. Trusted network detection provides the capability to detect corporate network connections, and it is based on an assessment of the connection-specific DNS suffix assigned to network interfaces and network profile.

Определить с помощью: Define using:
Поддержка vpnv2/fileName/Трустеднетворкдетектион VPNv2/ProfileName/TrustedNetworkDetection Соответствие требованиям с использованием защиты доступа к сети (NAP). Compliance using Network Access Protection (NAP). Always On VPN-клиент может интегрироваться с условным доступом Azure для применения MFA, соответствия устройства или их комбинации. The Always On VPN client can integrate with Azure conditional access to enforce MFA, device compliance, or a combination of both. Если политика условного доступа соответствует требованиям, Azure AD выдает сертификат проверки подлинности IPsec с кратковременным сроком существования (по умолчанию 60 минут), который клиент может использовать для проверки подлинности VPN-шлюза. When compliant with conditional access policies, Azure AD issues a short-lived (by default, 60 minutes) IPsec authentication certificate that the client can then use to authenticate to the VPN gateway. Соответствие устройства требованиям использует политики соответствия Configuration Manager/Intune, которые могут включать состояние аттестации работоспособности устройства. Device compliance takes advantage of Configuration Manager/Intune compliance policies, which can include the device health attestation state. В настоящее время условный доступ к VPN Azure обеспечивает ближайшую замену существующему решению защиты доступа к сети, несмотря на то, что не существует форм службы исправления или карантинных сетевых возможностей. At this time, Azure VPN conditional access provides the closest replacement to the existing NAP solution, although there is no form of remediation service or quarantine network capabilities. Дополнительные сведения см. в разделе VPN и условный доступ. For more details, see VPN and conditional access.

Определить с помощью: Define using:
Поддержка vpnv2/fileName/Девицекомплианце VPNv2/ProfileName/DeviceCompliance Возможность определить, какие серверы управления доступны перед входом пользователя. Ability to define which management servers are accessible before user sign-in. Эту функцию можно реализовать в Always On VPN с помощью функции туннелирования устройства (доступно только в версии 1709 — только для IKEv2) в профиле VPN в сочетании с фильтрами трафика, чтобы контролировать, какие системы управления в корпоративной сети доступны через туннель устройства. You can achieve this functionality in Always On VPN by using the Device Tunnel feature (available in version 1709 – for IKEv2 only) in the VPN profile combined with traffic filters to control which management systems on the corporate network are accessible through the Device Tunnel.

Примечание. Note:
Если включить фильтры трафика в профиле туннеля устройства, то туннель устройства отклоняет входящий трафик (от корпоративной сети к клиенту). If you turn on traffic filters in the Device Tunnel profile, then the Device Tunnel denies inbound traffic (from the corporate network to the client).

Определить с помощью: Define using:
Поддержка vpnv2/fileName/Девицетуннел VPNv2/ProfileName/DeviceTunnel
Поддержка vpnv2/fileName/Траффикфилтерлист VPNv2/ProfileName/TrafficFilterList

Дополнительные возможности Additional functionalities

Каждый элемент в этом разделе является сценарием вариантов использования или часто используемыми функциями удаленного доступа, для которых Always On VPN обеспечивает улучшенную функциональность — либо путем расширения функциональности, либо путем исключения предыдущего ограничения. Each item in this section is a use case scenario or commonly used remote access functionality for which Always On VPN has improved functionality—either through an expansion of functionality or elimination of a previous limitation.

Функциональная область Functional area	VPN-подключение Always On Always On VPN
Присоединенные к домену устройства с требованиями к SKU предприятия. Domain-joined devices with Enterprise SKUs requirement.	Always On VPN поддерживает присоединенные к домену, не присоединенные к домену (workgroup) или присоединенные к Azure AD устройства, чтобы разрешить сценарии как для предприятия, так и для BYOD. Always On VPN supports domain-joined, nondomain-joined (workgroup), or Azure AD–joined devices to allow for both enterprise and BYOD scenarios. Always On VPN доступна во всех выпусках Windows, а функции платформы доступны третьим сторонам посредством поддержки подключаемого модуля VPN UWP. Always On VPN is available in all Windows editions, and the platform features are available to third parties by way of UWP VPN plug-in support. Примечание. Note: Туннель устройства можно настроить только на устройствах, присоединенных к домену, под управлением Windows 10 Корпоративная или для образовательных версий 1709 или более поздней версии. Device Tunnel can only be configured on domain-joined devices running Windows 10 Enterprise or Education version 1709 or later. Сторонние средства управления туннелем устройства не поддерживаются. There is no support for third-party control of the Device Tunnel.
Поддержка IPv4 и IPv6. Support for both IPv4 and IPv6.	С Always On VPN пользователи могут обращаться к ресурсам IPv4 и IPv6 в корпоративной сети. With Always On VPN, users can access both IPv4 and IPv6 resources on the corporate network. Always On VPN-клиент использует подход с двойным стеком, который не зависит от протокола IPv6 или не требует от VPN-шлюза предоставления служб NAT64 или DNS64 Translation. The Always On VPN client uses a dual-stack approach that doesn’t specifically depend on IPv6 or the need for the VPN gateway to provide NAT64 or DNS64 translation services.
Поддержка двухфакторной проверки подлинности или OTP. Support for two-factor or OTP authentication.	Always On VPN-платформа изначально поддерживает протокол EAP, который позволяет использовать различные типы EAP Майкрософт и сторонних производителей в рамках рабочего процесса проверки подлинности. The Always On VPN platform natively supports EAP, which allows for the use of diverse Microsoft and third-party EAP types as part of the authentication workflow. Always On VPN специально поддерживает смарт-карты (физические и виртуальные) и сертификаты Windows Hello для бизнеса для удовлетворения требований двухфакторной проверки подлинности. Always On VPN specifically supports smart card (both physical and virtual) and Windows Hello for Business certificates to satisfy two-factor authentication requirements. Кроме того, Always On VPN поддерживает OTP через MFA (не поддерживается изначально, поддерживается только на сторонних подключаемых модулях) посредством интеграции EAP RADIUS. Also, Always On VPN supports OTP through MFA (not supported natively, only supported on third-party plugins) by way of EAP RADIUS integration. Определить с помощью: Define using: Поддержка vpnv2/имя_файла/Нативепрофиле/проверка подлинности VPNv2/ProfileName/NativeProfile/Authentication
Поддержка нескольких доменов и лесов. Support for multiple domains and forests.	Always Onная платформа VPN не зависит от лесов домен Active Directory Services (AD DS) или топологии домена (или связанных уровней функциональности или схемы), так как для нее не требуется присоединение VPN-клиента к функции. The Always On VPN platform has no dependency on Active Directory Domain Services (AD DS) forests or domain topology (or associated functional/schema levels) because it doesn’t require the VPN client to be domain joined to function. Поэтому групповая политика не является зависимостью от определения параметров профиля VPN, так как она не используется во время настройки клиента. Group Policy is therefore not a dependency to define VPN profile settings because you do not use it during client configuration. Если требуется интеграция Active Directory авторизации, ее можно достичь с помощью RADIUS в рамках процесса проверки подлинности и авторизации EAP. Where Active Directory authorization integration is required, you can achieve it through RADIUS as part of the EAP authentication and authorization process.
Поддержка разбиения и принудительного туннелирования для разделения трафика в Интернете или интрасети. Support for both split and force tunnel for internet/intranet traffic separation.	Вы можете настроить Always On VPN для поддержки принудительного туннелирования (режим работы по умолчанию) и самостоятельного разбиения туннеля. You can configure Always On VPN to support both force tunnel (the default operating mode) and split tunnel natively. Always On VPN обеспечивает дополнительную детализацию для политик маршрутизации для конкретных приложений. Always On VPN provides additional granularity for application-specific routing policies. Примечание. Note: Принудительный туннель поддерживается только туннелем пользователя. Force Tunnel is supported by User Tunnel only. Другие VPN-туннели не могут быть активными параллельно с туннелем пользователя принудительного туннелирования. No other VPN Tunnels can be active in parallel to a Force Tunnel User Tunnel. Определить с помощью: Define using: Поддержка vpnv2/fileName/Нативепрофиле/Раутингполицитипе VPNv2/ProfileName/NativeProfile/RoutingPolicyType Поддержка vpnv2/fileName/Траффикфилтерлист/App/Раутингполицитипе VPNv2/ProfileName/TrafficFilterList/App/RoutingPolicyType
Поддержка нескольких протоколов. Multiple protocol support.	Always On VPN можно настроить для поддержки SSTP в собственном режиме, если требуется SSL отката от IKEv2. Always On VPN can be configured to support SSTP natively if Secure Sockets Layer fallback from IKEv2 is required. Примечание. Note: Туннель пользователя поддерживает протоколы SSTP и IKEv2, а туннель устройства поддерживает IKEv2 только без поддержки отката SSTP. User Tunnel supports SSTP and IKEv2, and Device Tunnel supports IKEv2 only with no support for SSTP fallback.
Помощник по подключению для предоставления состояния корпоративного подключения. Connectivity Assistant to provide corporate connectivity status.	Always On VPN полностью интегрирована с собственным помощником по подключению к сети и предоставляет сведения о состоянии подключения из интерфейса «Просмотр всех сетей». Always On VPN is fully integrated with the native Network Connectivity Assistant and provides connectivity status from the View All Networks interface. С появлением обновления Windows 10 для дизайнеров (версия 1703), состояние VPN-подключения и управление VPN-подключением для пользовательского туннеля теперь доступны через всплывающее окно сети (для встроенного VPN-клиента Windows). With the advent of Windows 10 Creators Update (version 1703), VPN connection status and VPN connection control for User Tunnel are now available through the Network flyout (for the Windows built-in VPN client), as well.
Разрешение имен корпоративных ресурсов с помощью коротких имен, полного доменного имени (FQDN) и DNS-суффикса. Name resolution of corporate resources using short-name, fully qualified domain name (FQDN), and DNS suffix.	Always On VPN может определить один или несколько DNS-суффиксов как часть VPN-подключения и процесса назначения IP-адресов, включая разрешение имен корпоративных ресурсов для коротких имен, FQDN или целых пространств имен DNS. Always On VPN can natively define one or more DNS suffixes as part of the VPN connection and IP address assignment process, including corporate resource name resolution for short names, FQDNs, or entire DNS namespaces. Always On VPN также поддерживает использование таблиц политики разрешения имен для обеспечения гранулярности разрешения, специфичного для пространства имен. Always On VPN also supports the use of Name Resolution Policy Tables to provide namespace-specific resolution granularity. Примечание. Note: Избегайте использования глобальных суффиксов, так как они мешают разрешению коротких имен при использовании таблиц политик разрешения имени. Avoid the use of Global Suffixes as they interfere with shortname resolution when using Name Resolution Policy tables. Читайте также:  Windows 10 cab x64 Оцените статью Вам также может понравиться Windows или Linux: Что лучше выбрать? Есть много причин выбирать между Windows и Linux, но Файл владелец изменить linux Команда Chown в Linux Chown Command in Linux (File Установка шлюза по умолчанию linux Настройка сети вручную Содержание Краткое описание Чем разбить диск для linux ИТ База знаний Курс по Asterisk Полезно — Узнать IP — Правообладателям Политика конфиденциальности Контакты