lab1Windows Server R2 实现 DirectAccess v2文档格式.docx
- 文档编号:5830792
- 上传时间:2023-05-05
- 格式:DOCX
- 页数:23
- 大小:26.36KB
lab1Windows Server R2 实现 DirectAccess v2文档格式.docx
《lab1Windows Server R2 实现 DirectAccess v2文档格式.docx》由会员分享,可在线阅读,更多相关《lab1Windows Server R2 实现 DirectAccess v2文档格式.docx(23页珍藏版)》请在冰点文库上搜索。
2.需要减少的每个分支机构的运营成本。
3.漫游和远程用户需要访问公司资源。
4.管理大型复杂的ActiveDirectory基础结构.
为了解决其中的一些挑战,WoodgroveBank已经决定使用WindowsServer2008R2和Windows7中的DirectAccess功能。
通过实施DirectAccess,WoodgroveBank能够让用户从Internet使用安全的IPv6连接从任意地点访问内部资源,而无需昂贵且复杂的VPN连接。
虚拟机技术
这个实验中所用到的计算机都是通过使用MicrosoftHyper-V来实现的。
在您启动每个虚拟机之前,确保你应用了Start-Lab快照。
当您启动了虚拟机时,按CTRL+ALT+END进入登录界面并使在实验手册中列出的凭据。
预计完成该实验的时间
60分钟
1.1虚拟机环境介绍
该实验使用如下表所述的虚拟机。
在您开始这个实验之前,您必须启动虚拟机并登录。
在您启动其他虚拟机之前请确保BAL-DC-01虚拟机已经完全启动。
虚拟机
角色
R2Lab-BAL-DC-01
域控制器,用于基础结构的核心组件。
R2Lab-BAL-DA-01
DirectAccess服务器。
R2Lab-HomeRouter
家庭网络的NAT设备。
R2Lab-BAL-CLI-01
家用客户端计算机。
✋在这个实验中所有用户帐户的密码都是Passw0rd!
2动手实验室操作脚本
2.1检查现有的配置架构
在这个练习中您将检查已经在这个环境中实施的DirectAccess基础架构需求条件。
任务
步骤
1.检查证书模板配置
✓使用Woodgrovebank\Administrator帐号和密码Passw0rd!
登录到BAL-DC-01。
1.在Startmenu,点击ServerManager.
2.在ServerManager,展开Roles并点击ActiveDirectoryCertificateServices.
3.检查已经安装的RoleServices.
♦CertificationAuthority和CertificationAuthorityWebEnrollment是DirectAccess的必要条件.
4.展开ActiveDirectoryCertificateServices.
5.点击CertificateTemplates.
6.在CertificateTemplates列表中,双击ServerandWorkstationAuthentication.
7.检查如下表中列出的属性:
Property
Purpose
General:
PublishCertificateinActiveDirectory
EnsuresthatcertificateisavailableviaActiveDirectoryforverification.
Extensions:
ApplicationPolicies
ClientAuthenticationpolicyisrequired
SubjectName:
Subjectnameformat
EnsurestheSNofthecertificatematchestheDNSname
Security
Ensuresthatalldomaincomputerscanenrollforthiscertificate.
8.关闭ServerandWorkstationAuthenticationProperties.
2.检查证书服务配置
登录到BAL-DC-01并确保ServerManager已经打开。
1.在ServerManager,展开Roles/ActiveDirectoryCertificateServices/Woodgrovebank-Internal-Enterprise-Root并点击CertificateTemplates.
2.检查ServerandWorkstationAuthentication已列出.
v检查DomainCertificateAuto-Enrollment配置
3.在Start菜单,在AdministrativeTools中,点击GroupPolicyManagement.
4.依次展开Forest:
DomainPolicy.
5.单击OK.
6.在Action菜单,点击Edit.
7.依次展开ComputerConfiguration/Policies/WindowsSettings/SecuritySettings/PublicKeyPolicies.
8.双击CertificateServicesClient–Auto-Enrollment.
9.检查ConfigurationModel是Enabled,并且所有复选框都被选中,然后点击OK.
2.2完成DirectAccess基础结构服务的配置
在这个练习中,您将完成实现DirectAccess的基础结构服务的配置。
1.为DirectAccess创建安全组
这个任务中您将创建一个新的安全组。
1.在Start菜单,AdministrativeTools中,点击ActiveDirectoryUsersandComputers.
2.在ActiveDirectoryUsersandComputers,展开并点击ManagedObjects.
3.创建一个名为DAClients的GlobalGroup。
4.添加BAL-CLI-01到DAClients组.
2.配置DNS
DNS配置的三个必要条件:
您必须能够实现全局的ISATAP名称解析,您必须为ISATAP创建一个DNS记录,您必须创建一个有效的反向查询区域。
9.在Start菜单,AdministrativeTools中,点击DNS.
10.依次展开BAL-DC-01/ForwardLookupZones并点击.
11.在Action菜单,点击NewHost(AorAAAA).
12.在Name下,输入ISATAP
13.在IPaddress下,输入192.168.1.3
♦这个地址是DirectAccess服务器上的internal(内部)地址.
14.点击AddHost并点击OK.
15.点击Done.
16.依次展开BAL-DC-01/ReverseLookupZones.
17.在Action菜单,点击NewZone.
18.点击Next四次直到出现ReverseLookupZoneName选项.
19.在NetworkID下,输入192.168.1并点击Next.
20.点击Next后点击Finish.
21.在Start菜单,点击Run,输入Regedit并按ENTER.
22.在RegistryEditor,依次展开HKLM:
\System\CurrentControlSet\Services\DNS\Parameters.
23.双击GlobalQueryBlockList.
24.在EditMulti-String对话框,删除ISATAP,这样只存在WPAD,并点击OK.
25.关闭RegistryEditor.
26.在Start菜单,点击CommandPrompt.
27.在CommandPrompt,输入如下命令并按ENTER:
Ã
NetstopDNS&
&
NetStartDNS
3.为DirectAccess配置DNS名称空间
为了实现DirectAccess客户端能够连接到DirectAccess服务器,他们必须能够访问一个有效的证书吊销列表。
登录到BAL-DC-01并确保DNSManager已经打开。
28.在DNSManager,依次展开ForwardLookupZones.
29.在Action菜单,点击NewZone.
30.点击Next.
31.点击PrimaryZone后点击Next.
32.点击Next.
33.在ZoneName下,输入后点击Next.
34.点击Next后点击Finish.
35.点击后在Action菜单,点击NewHost(AorAAAA).
36.在Name下,输入crl
37.在IPaddress下,输入192.168.1.3
♦这个地址是服务器上的内部地址并将用于发布CRL。
38.点击AddHost,点击OK后点击Done.
39.关闭DNSManager.
4.为CRL分发配置Web服务器
这个任务中,您将在DirectAccess服务器上添加IIS组件.
登录到BAL-DA-01。
40.在Start菜单,点击ServerManager.
41.在ServerManager,点击Roles后点击AddRoles.
42.点击Next,在SelectServerRoles,点击WebServer(IIS),点击Next.
43.点击Next.
44.在SelectRoleServices页面,检查IP和DomainRestrictions.
45.点击Next后点击Install.
46.当安装完成,点击Close.
47.使用WindowsExplorer,在c:
\inetpub目录下创建一个名为CRLDIST的子文件夹。
♦新文件夹如下c:
\InetPub\crldist.
48.在Start菜单,AdministrativeTools中,点击InternetInformationServices(IIS)Manager.
49.展开BAL-DA-01(Woodgrovebank\Administrator)后点击Sites.
50.在Actions窗口,点击AddWebSite.
51.在Sitename,输入CRLDist,在Physicalpath,输入c:
\InetPub\CRLDist,在Hostname,输入后点击OK.
52.在Sites下,点击CRLDist后在contents窗口,双击DirectoryBrowsing.
53.在Actions窗口,点击Enable.
54.关闭InternetInformationServices(IIS)Manager.
55.在Start菜单,AdministrativeTools中,点击ShareandStorageManagement.
56.在Actions窗口,点击ProvisionShare.
57.在Location,输入c:
\inetpub\crldist后点击Next.
58.点击Yes,changeNTFSpermissions后点击EditPermissions.
59.授予计算机BAL-DC-01Modify权限.
60.点击OK后点击Next.
61.在ShareProtocols页面,点击Next.
62.在SMBSettings页面,点击Next.
63.在SMBPermissions页面,点击AdministratorshaveFullControl,allotherusersandgroupshaveonlyReadaccessandWriteaccess.
64.点击Next.
65.在DFSNamespacePublishing页面,点击Next后点击Create.
66.点击Close.
5.配置CertificateRevocationListPublication
67.在Start菜单,AdministrativeTools中,点击CertificationAuthority.
68.在CertificateServices,点击woodgrovebank-Internal-Enterprise-Root,后在Action菜单,点击Properties.
69.在Extensionstab,点击Add.
70.在Location,输入
71.检查所有的三个可用复选框.
72.点击Add.
73.在Location,输入\\bal-da-01\crldist\<
CaName>
.crl后点击OK.
74.检查PublishCRLstothislocation复选框后点击OK.
75.点击Yes重启CertificationAuthority.
6.更新已经发出的包含新的CRL的证书
登录到BAL-DC-01并确保CertificationAuthority已经打开.
76.在CertificationAuthority,点击CertificateTemplates,后在Action菜单,点击Manage.
77.点击ServerandWorkstationAuthentication,后在Action菜单,点击ReenrollallCertificateHolders.
78.关闭CertificateTemplates控制台.
7.发布新的CRL并检验其可用性
在这个任务中,您将发布一个新的CRL。
79.在CertificationAuthority,点击RevokedCertificates,后在Action菜单,指向AllTasks后点击Publish.
80.点击OK.
81.打开InternetExplorer并输入浏览该网站.
♦您将通过该站点看到.CRL文件已经可用.
8.在网络连接中配置域名后缀
在这个任务中,您将配置域控制器中网络连接的DNS。
✓Passw0rd!
82.在Start菜单,点击ServerManager.
83.在ServerManager,点击ServerManager后点击ViewNetworkConnections.
84.双击LabCorpNet后点击Properties.
85.点击InternetProtocolVersion4(TCP/IPv4)后点击Properties.
86.点击Advanced.
87.在DNStab,在DNSsuffixforthisconnection,输入W后点击OK.
88.点击OK.
89.点击Close.
90.点击Close
2.3完成DirectAccess服务器(DAS)的配置
在这个练习中,您将配置DirectAccess服务器(DAS)以便它能接受外部计算机的连接.
1.配置计算机证书
这个任务中,您将强制更新计算机证书。
这一步骤将随着时间的推移自动发生。
我们强制更新是为了加快实验的速度。
登录到BAL-DA-01。
91.在Start菜单,点击CommandPrompt.
92.在CommandPrompt,输入如下命令并按ENTER:
Certutil–Pulse
93.在Start菜单,点击Run,输入MMC并按ENTER.
94.在File菜单,点击Add/RemoveSnap-in.
95.点击Certificates后点击Add.
96.点击Computeraccount,点击Next后点击Finish.
97.点击OK以关闭AddorRemoveSnap-ins对话框.
98.展开Certificates(LocalComputer)后点击Personal.
99.在Actions窗口,点击MoreActions后点击AllTasks/RequestNewCertificate.
100.在CertificateEnrollment对话框,点击Next.
101.点击Next以接受defaultenrollmentpolicy.
102.检查SSLCertificate后点击Moreinformationisrequiredtoenrollforthiscertificate.Clickheretoconfiguresettings.
103.在CertificateProperties对话框中,SubjectName部分,Type字段,选择CommonName.
104.在Subjectname部分,Value字段,输入BAL-DA-,点击Add后点击OK.
105.点击Enroll后点击Finish.
2.启用IPV6防火墙规则
为了能够实现内部网络中的计算机连接到外部网络中的DAClient,ICMPv6必须在所有的网络连接中启用。
106.在Start菜单,AdministrativeTools中,点击GroupPolicyManagement.
107.依次展开Forest:
\Domains\.
108.点击DefaultDomainPolicy,点击OK,后在Action菜单,点击Edit.
109.依次展开ComputerConfiguration\Policies\WindowsSettings\SecuritySettings\WindowsFirewallwithAdvancedSecurity\WindowsFirewallwithAdvancedSecurity\InboundRules.
110.点击InboundRules后在Actions窗口,点击NewRule.
111.点击Custom后点击Next.
112.点击Next.
113.在ProtocolType,点击ICMPv6后点击Next.
114.点击Next三次.
115.在Name,输入ICMPv6-In(Allow)后点击Finish.
116.切换到BAL-DA-01.
117.在CommandPrompt,输入如下命令并按ENTER:
GPUPDATE/Force
♦组策略会自动刷新,但我们强制它更新,以便加快实验速度。
3.安装DirectAccess管理控制台
这个任务中您将安装DirectAcess管理控制台.
登录到BAL-DA-01并确保ServerManager已经打开。
118.在ServerManager,点击Fea
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- lab1Windows Server R2 实现 DirectAccess v2