Прошло уже определенное время с момента выхода Windows Server 2008 R2, но я знаю, что многие из вас все еще используют Windows Server 2003 или, может быть, Windows Server 2008 (на самом деле я знаю людей, которые все еще используют Windows 2000 Server). Я знаю, как обстоят дела; перемены требуют большой работы. Зачем переходить на новую операционную систему, если в этом нет необходимости? Для апгрейда требуются веские причины. В противном случае, зачем вся эта суета?
У меня для вас есть хорошая новость: если вам нужны замечательные сетевые функции и компоненты, то вам следует присмотреться к Windows Server 2008 R2. Вот некоторые компоненты Windows Server 2008 R2, которые, на мой взгляд, должны вам понравиться, и это, возможно, убедит вас в том, что пришло время обновиться:
- DirectAccess
- VPN Reconnect
- BranchCache
- URL-based Quality of Service
Давайте рассмотрим каждый компонент и посмотрим, способны ли эти компоненты поразить ваше воображение.
DirectAccess
DirectAccess представляет собой новую технологию удаленного доступа, позволяющую вашим участникам домена подключаться к интрасети без необходимости использования VPN подключений. Возможно, вам приходилось слышать, что люди говорят о DirectAccess, как о типе VPN подключений, но на самом деле DirectAccess представляет сбой нечто большее, чем просто VPN. Microsoft называет эту технологию Заменой VPN. Так в чем же разница? Виртуальная частная сеть (Virtual Private Network) дает вашим пользователям доступ к сети, когда им нужна информация, расположенная в этой сети. В отличие от этой технологии DirectAccess позволяет вас расширять саму сеть для всех DirectAccess-совместимых клиентов, в результате чего ваши пользователи будут постоянно подключены к интрасети и ваши ИТ сотрудники будут постоянно подключены к DirectAccess клиентам. Большой плюс заключается в том, что, в отличие от VPN, DirectAccess клиенты всегда находятся под контролем и управлением, они всегда обновлены и соответствуют требуемым параметрам конфигурации.
Есть лишь два способа получения возможности использования этой новинки: обновление до новой версии, поскольку DirectAccess требует Windows Server 2008 R2 на стороне сервера и Windows 7 Enterprise или Ultimate на стороне клиента. Вам может не требоваться обновление всей сетевой инфраструктуры в зависимости от того, какую форму DirectAccess вы собираетесь развернуть (о чем мы поговорим чуть позже).
DirectAccess не является специфичной технологией, на самом деле она представляет собой сочетание технологий, которые при совместном использовании называются ‘DirectAccess’. DirectAccess включает в себя следующие ключевые технологии:
- Active Directory - сервер и клиент DirectAccess должны быть членами домена Active Directory для выполнения проверки подлинности
- Групповая политика - объекты групповой политики (Group Policy Objects - GPO) используются для распределения параметров конфигурации, связанных с DirectAccess, между клиентами и серверами DirectAccess
- DNS - DirectAccess использует DNS для определения типа подключений, которые должны передаваться через DirectAccess соединение, и того, какие подключения должны осуществляться непосредственно на сервере в интернете
- PKI - DirectAccess использует проверку подлинности с использованием сертификата и IPsec, для которых требуется инфраструктура открытого ключа (PKI), чтобы можно было разворачивать сертификаты
- IPsec - DirectAccess представляет собой безопасное решение удаленного доступа, которое использует режим туннелирования IPsec и режим транспортировки IPsec для защиты подключений с удаленных DirectAccess клиентов к DirectAccess серверу и серверам, расположенным в интрасети
- IPv6 - DirectAccess является новой технологией, построенной на сетевом протоколе будущего, то есть на IPv6 (однако с UAG у вас не будет собственной IPv6 сети для работы DirectAccess в сегодняшних сетях)
Некоторые из этих технологий являются частью любого домена Windows. Другие могут иметь возможность установки в вашей сети, а могут и не иметь ее. Все эти индивидуальные технологии могут быть развернуты в предыдущих версиях Windows Server, но только Windows Server 2008 R2 может собрать их вместе для создания DirectAccess решения.
Также важно понимать, что есть две формы DirectAccess: Windows DirectAccess и UAG DirectAccess. Windows форма DirectAccess удобна для малых и средних предприятий, в которых используется лишь несколько серверов, но для возможности использования этой технологии потребуется Windows Server 2008 R2 домен и сеть на базе IPv6. Для установки в больших предприятиях нужно воспользоваться UAG DirectAccess решением, поскольку это решение является более надежным и масштабным. К тому же, UAG DirectAccess позволяет вам разворачивать DirectAccess, даже если у вас нет IPv6 сети и инфраструктуры Windows Server 2008 (но вам все равно потребуется одна машина Windows Server 2008 R2, на которой будет установлен UAG).
VPN Reconnect
Технология DirectAccess является технологией, которая заменяет VPN, а технология VPN Reconnect представляет собой новую VPN технологию, включенную в Windows Server 2008 R2, которая схожа с другими VPN протоколами, уже знакомыми вам, такими как PPTP и L2TP/IPsec. Она использует то же устройство подключения VPN, которое использовалось этими VPN протоколами. Однако значительное отличие между этими VPN протоколами и VPN Reconnect заключается в том, что в VPN Reconnect подключения автоматически создаются снова при потере подключения. Другими словами, если VPN подключение обрывается, пользователям не выводится сообщение, говорящее, что соединение было прервано, и спрашивающее, нужно ли выполнить попытку повторного подключения. Вместо этого программа просто выполняет повторное подключение.
Это очень удобно для мобильных пользователей. Например, допустим, вы используете беспроводное WAN подключение с определенной беспроводной картой. Вы находитесь в поезде и работаете с почтой или документами или сайтом SharePoint. Все идет нормально, но затем поезд входит в туннель. Во время нахождения в туннеле интернет подключение обрывается из-за отсутствия приема сигнала. В это время вы работаете с почтой в Outlook, поэтому вы даже не замечаете, что подключение обрывалось (если используется VPN Reconnect подключение). Когда поезд выходит из туннеля, подключение к интернету восстанавливается и VPN Reconnect подключение автоматически заново создается. Все это происходит в фоновом режиме, и пользователь даже не знает, что подключение обрывалось во время нахождения поезда в туннеле.
VPN Reconnect использует IKEv2 и новые возможности, обеспечиваемые посредством IKEv2 мобильности и расширений множественной адресации (multihoming extensions - MOBIKE), описанными в стандарте RFC4555. Чтобы использовать технологию VPN Reconnect, необходимо наличие Windows Server 2008 R2 и Windows 7 клиентов. Эта технология не поддерживается в более ранних версиях Windows.
Может показаться, что есть определенное сходство между DirectAccess и VPN Reconnect. Обе технологии обеспечивают прозрачное подключение к корпоративной сети и обе автоматически снова подключаются при обрыве соединения с интернетом. Однако между ними есть значительные различия:
- DirectAccess требует, чтобы DirectAccess клиенты были членами домена. VPN Reconnect не требует этого.
- DirectAccess обеспечивает подключение к серверам управления, прежде чем пользователи входят. VPN Reconnect запускается, когда пользователь запускает устройство подключения VPN для создания изначального соединения.
- DirectAccess создана для поддержки безопасности в направлении от внутренней к пограничной и от внутренней к внутренней. VPN Reconnect создана для поддержки безопасности от внутренней к пограничной.
В общем, нужно использовать VPN Reconnect с клиентами, не являющимися членами домена. Для членов домена, управляемых компьютеров, предпочтительнее использовать DirectAccess в качестве технологии удаленного доступа.
BranchCache
BranchCache является новой технологией, включенной в Windows Server 2008 R2 и Windows 7, которая позволяет офисам филиалов получать доступ к информации, хранящейся в головном офисе, быстрее, чем когда-либо. Одной из основных проблем, с которыми сталкиваются пользователи офисов филиалов, является доступ к ресурсам головного офиса по низкоскоростным WAN каналам или VPN каналу от сайта к сайту с головным офисом. Это иногда не позволяет пользователям в филиалах получать доступ к информации, которая обеспечивает их продуктивность, а, следовательно, дополнительные прибыли для компании.
Можно использовать BranchCache для кэширования контента головного офиса в офисах филиалов. Когда пользователь подключается к HTTP(S) или SMB (CIFS) ресурсам в головном офисе, это содержимое записывается в кэш в офисе филиала. Когда другой пользователь пытается получить это же содержимое позже, оно будет предоставлено ему из локального кэша, расположенного в офисе филиала. Это значительно повышает скорость доступа к содержимому, поскольку оно передается на LAN скоростях в офисе филиала (обычно Gigabit Ethernet), а не на малой скорости WAN (как правило, менее 10 Мб/сек).
BranchCache можно настроить в двух режимах:
- Hosted Mode - в режиме Hosted Mode технология BranchCache работает с BranchCache сервером, который содержит записанное в кэш содержимое для всех машин офиса филиала. Когда клиентская машина BranchCache в филиале запрашивает контент с головного офиса, она получает к нему доступ и затем предоставляет доступ к этому контенту серверу BranchCache. Когда второй узел в сети филиала запрашивает то же содержимое, он подключается к серверу источника в головном офисе, проходит проверку подлинности и получает метаданные для определения того, был ли изменен контент с момента его записи в кэш. После чего он получает контент на скорости LAN с Hosted Mode BranchCache сервера в филиале.
- Distributed Mode - в режиме Distributed Mode нет сервера BranchCache. Вместо этого клиенты Windows 7 совместно используют записанный в кэш контент. Когда Windows 7 компьютер в филиале получает контент по SMB или HTTP(S) с головного офиса, он записывает эту информацию в локальный кэш. Когда другой Windows 7 компьютер в филиале делает запрос на это же содержимое, он проходит проверку подлинности на сервере источника и получает метаданные, после чего получает контент на LAN скорости с Windows 7 клиента, ранее запрашивавшего такой контент.
Режим Distributed mode используется, когда в сети филиала имеется менее 50 компьютеров. Все машины должны находиться в одном домене многоадресной рассылки, что означает, что они должны находиться в одном сегменте сети. Если в сети филиала более 50 клиентов или имеется несколько сегментов сети, нужно использовать BranchCache Hosted Mode.
URL-Based QoS
Windows Server 2008 R2 и Windows 7 теперь поддерживают Quality of Service (QoS) на базе URL адресов. Это было доступно в ISA Server и Threat Management Gateway (TMG) довольно долгое время, но теперь имеется в клиентах и серверах сети.
Новая функция Windows Server 2008 R2 и Windows 7 QoS включается в IP пакеты в качестве значения Differentiated Services Code Point (DSCP), которую роутеры с настроенной информацией о значении DSCP могут оценивать, чтобы назначать приоритеты пакетам. Когда роутеры сильно загружены, пакеты могут ставиться в очередь и очереди могут настраиваться так, чтобы отправка высокоприоритетных пакетов осуществлялась до отправки низкоприоритетных пакетов.
С Windows Server 2008 R2 и Windows 7 вы можете использовать QoS на базе URL адресов, чтобы расставлять приоритеты трафика на основе URL адреса источника, помимо расстановки приоритетов на основе IP адресов и портов. Это обеспечивает вам дополнительный контроль сетевого трафика и дает возможность пересылать трафик с более высоким приоритетом раньше, чем трафик с более низким приоритетом, даже когда трафик исходит с одного сервера. Это может значительно улучшать производительность.
Например, у вас есть ряд внутренних веб серверов, к которым пользователям нужно получить доступ для выполнения своей работы. Вы можете назначать адресам этих внутренних серверов более высокие приоритеты, чтобы трафику важных внутренних ресурсов отдавалось предпочтение по сравнению с доступом к менее важным серверам.
Заключение
В этой статье мы рассмотрели четыре сетевых компонента, включенных в Windows Server 2008 R2 и Windows 7. Они включают DirectAccess, новая технология удаленного доступа, расширяющая вашу интрасеть на все управляемые компьютеры, которые являются членами домена независимо от их местоположения; VPN Reconnect, идеальное решение для компьютеров, не входящих в домен, которым требуется VPN подключение к корпоративной сети, решение дающее возможность прозрачного подключения, избавляющее от необходимости повторного создания подключений VPN; BranchCache, компонент, позволяющий клиентам филиалов получать контент головного офиса на LAN скоростях, а не на ограниченной WAN скорости; и URL-based QoS, которая позволяет вам расставлять приоритеты для подключений на основе URL, чтобы критически важным серверам можно было установить более высокий приоритет по сравнению с менее важными серверами.