Bereitstellen eines DirectAccess-Servers mit dem Assistenten für erste Schritte

Gilt für: Windows Server 2022, Windows Server 2019, Windows Server 2016

Dieses Thema bietet eine Einführung in das DirectAccess-Szenario mit einem einzelnem DirectAccess-Server und ermöglicht Ihnen die Bereitstellung von DirectAccess über ein paar einfache Schritte.

Bevor Sie mit der Bereitstellung beginnen, sollten Sie sich die folgende Liste mit nicht unterstützten Konfigurationen, bekannten Problemen und Voraussetzungen ansehen:

Sie können die folgenden Themen verwenden, um die Voraussetzungen und andere Informationen zu überprüfen, bevor Sie DirectAccess bereitstellen.

Beschreibung des Szenarios

In diesem Szenario wird ein einzelner Computer, auf dem entweder Windows Server 2016, Windows Server 2012 R2 oder Windows Server 2012 ausgeführt wird, in wenigen einfachen Assistentenschritten als DirectAccess-Server mit Standardeinstellungen konfiguriert, ohne dass Infrastruktureinstellungen wie eine Zertifizierungsstelle oder Active Directory-Sicherheitsgruppen konfiguriert werden müssen.

Hinweis

Informationen zum Konfigurieren einer erweiterten Bereitstellung mit benutzerdefinierten Einstellungen finden Sie unter Deploy a Single DirectAccess Server with Advanced Settings.

Inhalt dieses Szenarios

Zum Einrichten eines einfachen DirectAccess-Servers sind mehrere Planungs- und Bereitstellungsschritte erforderlich.

Voraussetzungen

Bevor Sie mit der Bereitstellung dieses Szenarios beginnen, sollten Sie die Liste der wichtigen Anforderungen lesen:

  • Windows-Firewall muss in allen Profilen aktiviert sein.

  • Dieses Szenario wird nur unterstützt, wenn auf Ihren Clientcomputern Windows 10, Windows 8.1 oder Windows 8 ausgeführt wird.

  • ISATAP wird im Unternehmensnetzwerk nicht unterstützt. Wenn Sie ISATAP verwenden, sollten Sie es entfernen und das systemeigene IPv6 verwenden.

  • Eine Public Key-Infrastruktur ist nicht erforderlich.

  • Die Bereitstellung der zweistufigen Authentifizierung wird nicht unterstützt. Für die Authentifizierung sind Domänenanmeldeinformationen erforderlich.

  • DirectAccess wird automatisch auf allen mobilen Computern in der aktuellen Domäne bereitgestellt.

  • Datenverkehr zum Internet wird nicht über den DirectAccess-Tunnel übertragen. Die Konfiguration einer Tunnelerzwingung wird nicht unterstützt.

  • Der DirectAccess-Server ist der Netzwerkadressenserver.

  • Netzwerkzugriffsschutz (Network Access Protection, NAP) wird nicht unterstützt.

  • Das Ändern von Richtlinien außerhalb der DirectAccess-Verwaltungskonsole oder von PowerShell-Cmdlets wird nicht unterstützt.

  • Um jetzt oder in Zukunft mehrere Standorte bereitzustellen, müssen Sie zunächst einen einzelnen DirectAccess-Server mit erweiterten Einstellungen bereitstellen.

Planungsschritte

Die Planung besteht aus zwei Phasen:

  1. Planen der DirectAccess-Infrastruktur. Diese Phase beschreibt die erforderlichen Planungsschritte zum Einrichten der Netzwerkinfrastruktur vor der DirectAccess-Bereitstellung. Dazu gehört die Planung von Netzwerk- und Servertopologie und DirectAccess-Netzwerkadressenserver.

  2. Planen der DirectAccess-Bereitstellung. Diese Phase beschreibt die erforderlichen Planungsschritte zur Vorbereitung der DirectAccess-Bereitstellung. Dazu gehört die Planung für DirectAccess-Clientcomputer, Server- und Clientauthentifizierungsanforderungen, VPN-Einstellungen, Infrastrukturserver sowie Verwaltungs- und Anwendungsserver.

Ausführliche Planungsschritte finden Sie unter Planen einer erweiterten DirectAccess-Bereitstellung.

Bereitstellungsschritte

Die Bereitstellung besteht aus drei Phasen:

  1. Konfigurieren der DirectAccess-Infrastruktur: Diese Phase umfasst das Konfigurieren von Netzwerk und Routing, ggf. das Konfigurieren von Firewalleinstellungen, das Konfigurieren von Zertifikaten, DNS-Servern, Active Directory- und GPO-Einstellungen sowie des DirectAccess-Netzwerkspeicherortservers.

  2. Konfigurieren der DirectAccess-Servereinstellungen. Die Phase beinhaltet Schritte zum Konfigurieren von DirectAccess-Clientcomputern, DirectAccess-Server, Infrastrukturservern sowie Verwaltungs- und Anwendungsservern.

  3. Überprüfen der Bereitstellung. Diese Phase umfasst Schritte zur Überprüfung, ob die Bereitstellung wie erforderlich funktioniert.

Informationen zu den Bereitstellungsschritten finden Sie unter Install and Configure Basic DirectAccess.

Praktische Anwendung

Die Bereitstellung eines einzelnen Remotezugriffsservers bietet Folgendes:

  • Einfache Bedienung. Sie können verwaltete Clientcomputer, auf denen Windows 10, Windows 8.1, Windows 8 oder Windows 7 ausgeführt wird, als DirectAccess-Clients konfigurieren. Diese Clients können immer, wenn sie im Internet sind, über DirectAccess auf interne Netzwerkressourcen zugreifen, ohne sich über eine VPN-Verbindung einzuloggen. Clientcomputer, die keines dieser Betriebssysteme verwenden, können über herkömmliche VPN-Verbindungen eine Verbindung mit dem internen Netzwerk herstellen.

  • Einfache Verwaltung. Die Remoteverwaltung von DirectAccess-Clientcomputern im Internet ist mithilfe von RAS-Administratoren über DirectAccess möglich, selbst wenn die Clientcomputer sich nicht im internen Unternehmensnetzwerk befinden. Clientcomputer, die nicht den Unternehmensanforderungen entsprechen, können automatisch über Verwaltungsserver gewartet werden. Sowohl DirectAccess als auch VPN werden über dieselbe Konsole und mit denselben Assistenten verwaltet. Außerdem können einer oder mehrere RAS-Server über eine einzelne Remotezugriffs-Verwaltungskonsole verwaltet werden.

In diesem Szenario enthaltene Rollen und Features

Die folgende Tabelle enthält die für dieses Szenario erforderlichen Rollen und Features:

Rolle/Feature Auf welche Weise dieses Szenario unterstützt wird
Remotezugriffs-Rolle Die Rolle wird über die Server-Manager-Konsole oder Windows PowerShell installiert bzw. deinstalliert. Diese Rolle umfasst DirectAccess (zuvor ein Feature unter Windows Server 2008 R2) sowie die Routing- und RAS-Dienste (zuvor ein Rollendienst unter der Serverrolle für Netzwerkrichtlinien- und Zugriffsdienste). Die Remotezugriffs-Rolle besteht aus zwei Komponenten:

1. DirectAccess und Routing und Remote-Access Services-VPN (RRAS). DirectAccess und VPN werden zusammen in der Remotezugriffs-Verwaltungskonsole verwaltet.
2. RRAS-Routing. RRAS-Routingfeatures werden in der Legacykonsole für Routing und Remotezugriff verwaltet.

Die RAS-Serverrolle ist von den folgenden Serverrollen/-features abhängig:

– Internetinformationsdienste Webserver (IIS): Dieses Feature ist erforderlich, um den Netzwerkadressenserver auf dem RAS-Server und den Standardwebtest zu konfigurieren.
– interne Windows-Datenbank. Wird zur lokalen Ressourcenerfassung auf dem Remotezugriffsserver verwendet.

Feature %%amp;quot;Tools für die Remotezugriffsverwaltung%%amp;quot; So installieren Sie dieses Feature:

– Sie wird standardmäßig auf einem RAS-Server installiert, wenn die Remotezugriffsrolle installiert ist, und unterstützt die Benutzeroberfläche der Remoteverwaltungskonsole und Windows PowerShell Cmdlets.
– Sie kann optional auf einem Server installiert werden, auf dem die Remotezugriffsserverrolle nicht ausgeführt wird. In diesem Fall wird es für die Remoteverwaltung eines RAS-Computers verwendet, der DirectAccess und VPN ausführt.

Das Feature "Tools für die Remotezugriffsverwaltung" besteht aus den folgenden Komponenten:

– Remotezugriffs-GUI
– Remotezugriffsmodul für Windows PowerShell

Abhängigkeiten umfassen:

– Gruppenrichtlinien-Verwaltungskonsole
– RAS Verbindungs-Manager-Verwaltungskit (CMAK)
– Windows PowerShell 3.0
- Grafische Verwaltungstools und -infrastruktur

Hardwareanforderungen

Für dieses Szenario müssen die folgenden Hardwareanforderungen erfüllt werden:

  • Serveranforderungen:

    • Ein Computer, der die Hardwareanforderungen für Windows Server 2016, Windows Server 2012 R2 oder Windows Server 2012 erfüllt.

    • Auf dem Server muss mindestens ein Netzwerkadapter installiert, aktiviert und mit dem internen Netzwerk verbunden sein. Werden zwei Adapter verwendet, sollte ein Adapter mit dem internen Unternehmensnetzwerk und der andere mit dem externen Netzwerk (Internet oder privates Netzwerk) verbunden sein.

    • Mindestens ein Domänencontroller. RAS-Server und DirectAccess-Clients müssen Domänenmitglieder sein.

  • Clientanforderungen:

    • Auf einem Clientcomputer muss Windows 10, Windows 8.1 oder Windows 8 ausgeführt werden.

      Wichtig

      Wenn auf einigen oder allen Clientcomputern Windows 7 ausgeführt wird, müssen Sie den erweiterten Setup-Assistant verwenden. Die in diesem Dokument beschriebene Erste Schritte Setup-Assistant unterstützt keine Clientcomputer, auf denen Windows 7 ausgeführt wird. Anweisungen zur Verwendung von Windows 7-Clients mit DirectAccess finden Sie unter Bereitstellen eines einzelnen DirectAccess-Servers mit erweiterten Einstellungen.

      Hinweis

      Nur die folgenden Betriebssysteme können als DirectAccess-Clients verwendet werden: Windows 10 Enterprise, Windows 8.1 Enterprise, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows 8 Enterprise, Windows Server 2008 R2, Windows 7 Enterprise und Windows 7 Ultimate.

  • Anforderungen an Infrastruktur und Verwaltungsserver:

    • Falls ein VPN aktiviert und kein statischer IP-Adressenpool konfiguriert ist, müssen Sie einen DHCP-Server bereitstellen, um VPN-Clients automatisch IP-Adressen zuzuweisen.
  • Ein DNS-Server mit Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 SP2 oder Windows Server 2008 R2 ist erforderlich.

Softwareanforderungen

Für dieses Szenario gelten eine Reihe von Anforderungen:

  • Serveranforderungen:

    • Der RAS-Server muss Domänenmitglied sein. Der Server kann an der Schwelle zum internen Netzwerks oder geschützt durch eine Edgefirewall oder ein anderes Gerät bereitgestellt werden.

    • Wird der RAS-Server durch eine Edgefirewall oder ein NAT-Gerät geschützt, muss das Gerät so konfiguriert sein, dass ein- und ausgehender Datenverkehr für den RAS-Server zugelassen wird.

    • Die Person, die den Remotezugriff auf dem Server einrichtet, muss lokale Administratorberechtigungen für den Server und Benutzerberechtigungen für die Domäne besitzen. Zusätzlich benötigt der Administrator Berechtigungen für die Gruppenrichtlinien, die bei der DirectAccess-Bereitstellung verwendet werden. Um die Features nutzen zu können, die die DirectAccess-Bereitstellung auf mobile Computer beschränken, ist die Berechtigung zum Erstellen von WMI-Filtern für den Domänencontroller erforderlich.

  • RAS-Client-Anforderungen:

    • DirectAccess-Clients müssen Domänenmitglieder sein. Domänen, die Clients enthalten, können zur selben Gesamtstruktur gehören wie der Remotezugriffsserver oder eine bidirektionale Vertrauensstellung mit der Remotezugriffsserver-Gesamtstruktur innehaben.

    • Eine Active Directory-Sicherheitsgruppe wird benötigt, um die Computer aufzunehmen, die als DirectAccess-Clients konfiguriert werden. Wird beim Konfigurieren der DirectAccess-Clienteinstellungen keine Sicherheitsgruppe angegeben, wird das Client-Gruppenrichtlinienobjekt standardmäßig auf alle Laptopcomputer in der Sicherheitsgruppe %%amp;quot;Domänencomputer%%amp;quot; angewendet. Nur die folgenden Betriebssysteme können als DirectAccess-Clients verwendet werden: Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2, Windows 8 Enterprise, Windows 7 Enterprise und Windows 7 Ultimate.

Siehe auch

Die folgende Tabelle enthält Links zu zusätzlichen Ressourcen.

Inhaltstyp Referenzen
RAS auf TechNet RAS im TechCenter
Tools und Einstellungen PowerShell-Cmdlets für den Remotezugriff
Communityressourcen DirectAccess Wiki-Einträge
Verwandte Technologien Funktionsweise von IPv6