标签：direct access ipsec vpn ipv6
下篇
前一篇我们构建了DA实验的基础环境，这一篇主要看下DA服务器的配置及客户端验证
DA服务器配置
首先看下CLIENT1在内网测试访问APP1服务器，结果如下：
访问正常。
配置DA服务器
DA服务器-服务器管理器-工具-点击“远程访问”组件
运行开始向导
选择“仅部署DirectAccess”
网络拓扑选择“边缘”，向导自动检索远程访问服务器的公用名称，这里是“directaccess.sr.local”,下一步
点击“此处”可做一些修改，这里先跳过，后续通过步骤1，2，3，4一起修改，直接完成。
配置成功，但提示有警告。
接下来，我们需要做一些设置
点击步骤1-编辑
选择部署方案，默认，下一步
选择组，这里删除默认的组“Domain Computers“,添加之前创建的安全组”da-clients”
取消勾选”仅为移动计算机启用direct access“设置.下一步
确认NCA资源URL及DA连接名称，完成。
切换到步骤2编辑
确认网络拓扑及DA对外访问名称
确认网络适配器信息，并选择用于IP-HTTPS连接的证书
身份验证页面，勾选“使用计算机证书“，浏览选择企业CA的根证书，完成。
切换到步骤3-编辑
网络位置服务器页面，设置NLS服务器的URL，并点击验证通过。这里是https://2012r2-a.sr.local，也可以在DNS设置别名nls指向2012r2-a主机记录,下一步
确认DNS后缀及内部DNS服务器IPV6地址
DNS后缀搜索列表，默认设置，下一步
设置管理服务器IP地址，这里无。
点击完成，使更改生效。
成功应用配置。
仪表板查看DA各组件操作状态及配置状态。
域中新增2条GPO:DA服务器设置，DA客户端设置
Client 1强制更新策略
查看DA连接状态，显示为ConnectedLocally.
将客户端CLIENT1移至Internet网络
查看DA连接状态，显示为ConnectedRemotely.
查看客户端IP地址
测试与企业内部服务器网络连通性
Client1测试访问内网文件服务器和web服务器
客户端其它诊断命令：
Get-NCSIPolicyConfiguration
Get-DnsClientNrptPolicy
Get-NetIphttpsConfiguration
Netsh int 6to4 show state
远程客户端状态
DA配置的注意事项：
域中计算机的Windows防火墙必须被启用，以便阻止默认配置文件中允许和阻止项， 因为禁用Windows防火墙服务也会禁用Ipsec
如果你想使客户通过使用Teredo的连接，DirectAccess服务器外部物理接口上必须具有配置两个连续的公用IPv4地址，并且DA服务器不能在NAT设备后面。这是对于一个Teredo客户端NAT检测的要求；
如果DirectAccess服务器位于NAT设备之后或只有一个网络接口，只能使用IP-HTTPS方式来部署用于客户端连接。
验证PKI基础设施和服务器证书。企业内部有CA架构或企业使用公共CA颁发的证书，域计算机配置自动申请证书，DA服务器除自动申请的一张计算机证书外，还要单独申请一张用于IP-HTTPS连接的计算机证书（证书公用名和访问名称要一致），如果是企业CA，最好还需设置CRL证书吊销列表并对外发布
检查DirectAccess客户端安全组的成员在远程访问设置向导的第1步
DA连接的防火墙端口例外设置Firewall exceptions
更多（排错部分在文档结尾）
Direct Access技术之四：DA服务器的配置及客户端验证
标签：direct access ipsec vpn ipv6
原文地址：http://yiding.blog.51cto.com/499333/1739174
