DirectAccess - Phần 1: Tổng quan về các giải pháp truy cập từ xa hiện hành.

Quản trị mạng – Loạt bài này chúng tôi sẽ giới thiệu cho các bạn về DirectAccess, giải pháp VPN mới nhất của Microsoft và việc đánh giá các giải pháp truy cập từ xa hiện có.

Giới thiệu

Tuy Windows Server 2008 đã được phát hành vào năm ngoái và chắc chắn vẫn còn rất nhiều vấn đề mà bạn có thể chưa biết hết về hệ điều hành máy chủ này. Nhưng giờ đây, chúng ta lại đang hướng về các hệ điều hành máy chủ và máy khách thế hệ tiếp theo, Windows 7 và Windows Server 2008 R2. Hệ điều hành máy chủ và máy khách mới này có những tính năng mới rất đáng để nâng cấp.

Không hẳn tất cả các hệ điều hành mới đều được công chúng chấp thuận, ví dụ như Windows Vista. Chúng tôi không cho rằng trường hợp này cũng xảy ra đối với Windows 7 và Windows Server 2008 R2. Có rất nhiều tổ chức đã quyết định không nâng cấp lên Windows Vista mà vẫn sử dụng hệ điều hành Windows XP. Tuy nhiên các dần thì công ty này cũng đã nhận ra rằng họ không thể sử dụng một hệ điều hành đã đến 10 năm tuổi mãi như vậy và có một lý do khác nữa đó chính là ấn tượng mạnh của hệ điều hành Windows 7. Với những cải thiện về hiệu suất, những yêu cầu về phần cứng thấp, những nâng cao về bảo mật đặc biệt nên đó là những lý do khiến họ muốn nâng cấp lên hệ điều hành mới này. Windows Server 2008 R2 có khác biệt đôi chút, tuy nhiên cũng giống như phát hành R2 trước đó, nó cũng có một số tính năng mới nhưng thực sự không nhiều như những gì có trong Windows 7.

Câu trả lời cho sự khác biệt lớn nhất diễn ra trong hai hệ điều hành mới này chính là DirectAccess. DirectAccess là một giải pháp VPN mới của Microsoft được dự định sẽ thay đổi cách bạn làm việc và suy nghĩ về kết nối VPN. Trong thực tế, Microsoft không muốn bạn coi DirectAccess là một giải pháp VPN vì họ nghĩ rằng bạn đã trải nghiệm những thứ không mấy thú vị với các mạng riêng ảo (VPN) trong những năm qua, chính những điều đó đã khiến người dùng không mấy bị lôi cuốn về công nghệ mới này.

Các VPN mang đến cho người dùng khả năng kết nối các tài nguyên trên mạng công ty bằng cách cung cấp một kết nối mạng ảo (mức 2). Điều này nghe có vẻ khá thú vị - về mặt lý tưởng các VPN cần phải mang đến cho người dùng trong mạng cùng một trải nghiệm giống nhau khi họ kết nối vào mạng công ty dù đó có thể là kết nối Ethernet hoặc kết nối không dây.

Vậy vấn đề thực sự ở đây là gì? Những vấn đề gì đã phát sinh trong các VPN mức mạng truyền thống?

Với tất cả những vấn đề được nói trên nhưng thật ngạc nhiên là chúng ta vẫn sử dụng tất cả chúng. Trong thực tế, các VPN mức mạng (network-level) được sử dụng ít hơn khi các giải pháp truy cập từ xa được thực thi. Các giải pháp này không chỉ đơn giản hơn cho người dùng mà chúng còn tỏ ra an toàn hơn bằng cách thi hành một nguyên tắc bảo mật với đặc quyền tối thiểu. Với đặc quyền tối thiểu, người dùng chỉ có thể truy cập vào các dịch vụ và dữ liệu mà họ cần để hoàn thành công việc của họ.

Ví dụ, hãy xem xét các công nghệ dưới đây:

Rõ ràng, việc phơi bày các dịch vụ này trên Internet sẽ cho thấy một thiết kế yếu kém về bảo mật, lý do ở đây là các dịch vụ này có thể cho phép truy cập trái phép vào các máy chủ ứng dụng front-end của bạn. Vậy cần phải có một giải pháp để bảo vệ các máy chủ front-end. Hai trong số các giải pháp thường được sử dụng là tường lửa nâng cao với những tập tính năng proxy tường lửa và mạng kết hợp, bên cạnh đó là SSL VPN gateway.

Hai giải pháp nói trên gồm có:

Tuy các công nghệ máy chủ ứng dụng front end và các gateway bảo mật tỏ ra rất hữu dụng trong việc giảm rủi ro và sự phức tạp so với các giải pháp VPN lớp mạng truyền thống nhưng vẫn còn có rất nhiều công việc cần phải thực hiện. Bạn phải thiết lập máy chủ ứng dụng, sau đó thiết lập máy chủ ứng dụng front-end (cần phải đặt trong một DMZ) và sau đó cấu hình tường lửa hoặc SSL VPN gateway phía trước các máy chủ front-end. Bạn phải thiết lập sự điều khiển phù hợp giữa tất cả các vùng bảo mật và cần phải kiểm tra tất cả các kết nối giữa các vùng bảo mật khác nhau. Một lỗi xuất hiện ở đâu đó trong “chuỗi ngờ vực” có thể làm sập toàn bộ hệ thống.

Giải cứu nhờ DirectAccess

Liệu có một cách tốt hơn phụ thuộc vào máy khách mà bạn đang làm việc. Với những máy khách unmanaged client trong cấu hình bảo mật không nhận biết (unknown), bạn nên sử dụng các kết nối front-end cho các máy chủ ứng dụng để có được sự bảo vệ từ các tường lửa nâng cao hoặc SSL VPN gateway. Không có cách nào có thể làm kết nối VPN mức mạng để các host này có thể an toàn. Đặc quyền tối thiểu lúc này chính là công cụ mạnh nhất mà bạn có khi nói đến các unmanaged host và các giải pháp tường lửa cũng như gateway chính là những cách tốt nhất để thực thi đặc quyền tối thiểu.

Vậy với những managed host thì sao? Với người dùng có laptop của công ty thì sao? Bạn phải tạo một kiến trúc bảo mật cho mỗi một laptop đó và bất cứ khi nào người dùng kết nối với LAN công ty, họ sẽ nhận được các nâng cấp về chính sách và được kiểm tra về điều kiện bảo mật mới nhất lẫn các nâng cấp của ứng dụng trước khi được phép kết nối.

Tuy nhiên vấn đề ở đây là những người dùng này có thể sẽ không bao giờ quay trở lại mạng công ty. Khi đó bạn có thể tạo một kiến trúc mới và gửi máy tính đến người dùng trong một nước khác hoặc một Châu lục khác. Trong trường hợp này, máy tính đó sẽ nằm ngoài tầm kiểm soát của bạn cho tới khi người dùng quay trở lại mạng LAN công ty, có thể là trụ sở văn phòng, văn phòng chi nhánh hoặc có thể sử dụng VPN truyền thống.

DirectAccess thực sự giúp bạn rất nhiều. Khi bạn có các máy khách Windows 7 và máy chủ Windows Server 2008 R2 DirectAccess, máy khách Windows 7 sẽ tự động gọi máy chủ DirectAccess khi khởi động. Máy khách sử dụng Ipsec để bảo vệ kết nối và sử dụng IPv6 trong kết nối đến các máy chủ trên mạng công ty. Tuy nhiên các máy khách nằm phía sau các thiết bị NAT sẽ hoạt động theo giao thức Internet IPv4. Những máy khách Windows 7 có thể sử dụng một số NAT Traversal và các công nghệ chuyển tiếp IPv6 để kết nối đến máy chủ DirectAccess, sau đó đến các máy chủ trên mạng công ty.

Lưu ý rằng người dùng không cần đăng nhập vẫn có thể thiết lập kết nối DirectAccess. Điều này có nghĩa rằng bạn có thể quản lý các máy tính đó ngay khi chúng được bật. Kết nối DirectAccess là kết nối hai chiều, chính vì vậy bạn có thể kết nối, kiểm kê, sử dụng các chính sách bảo mật và quản lý cho các máy tính đó giống như chúng đã được kết nối với mạng của bạn.

Khi người dùng đăng nhập, một kết nối VPN thứ cấp sẽ được thiết lập. Mặc dù vậy, không giống như PPTP, L2TP/IPsec hoặc SSTP VPN điển hình, người dùng sẽ đăng nhập vào DirectAccess VPN một cách hoàn toàn tự động. Họ không cần phải tích dấu kiểm vào hộp kiểm; không cần kích vào nút “connect to corpnet” (kết nối đến mạng công ty). Thêm vào đó họ cũng không cần phải lo lắng về phía sau tường lửa hoặc proxy vì tường lửa và proxy chỉ cho phép các truy cập HTTPS gửi đi. Do SSL là cổng tường lửa phổ dụng, nên người dùng sẽ không bao giờ thấy các vấn đề trong kết nối đến các máy chủ DirectAccess.

Bên cạnh đó:

Rõ ràng DirectAccess không chỉ là một giải pháp VPN truy cập từ xa rất hoàn hảo mà nó còn có thể thay đổi cách bạn tiếp cận toàn bộ khái niệm VPN trong tương lai.

Kết luận

Cần phải lưu ý rằng ở đây chúng tôi đang nói về các máy tính được quản lý (managed). Mặc dù vậy lại có nhiều máy tính thành viên miền nằm ngoài phạm vi này. Chính vì vậy bạn cần phải có những ngoại lệ cho các máy tính đó. Như những gì bạn thấy, DirectAccess cho phép bạn nhận ra các ngoại lệ cao cho các máy tính này mà không cần quan tâm đến vị trí đặt của chúng. DirectAccess cho phép mở rộng sự quản lý và sự kiểm soát chính sách bảo mật đối với tất cả các máy tính trong cương vị quản lý của bạn, thực thi ngay lập tức khi các máy tính đó được khởi động, thậm chí cả khi người dùng không đăng nhập vào máy.

Trong phần hai của loạt bài này, chúng tôi sẽ giới thiệu chi tiết hơn về DirectAccess và các thủ tục cũng như các giao thức, bên cạnh đó là kiến thức mà bạn cần có để làm việc với giải pháp DirectAccess.