Руководство рецензентов Windows Server 2008 R2 (стр. 12 )

·  Миграция серверов службы проверки подлинности в Интернете Windows Server 2003. Эта возможность позволяет переносить параметры настройки сервера IAS, работающего под управлением Windows Server 2003, на NPS-сервер под управлением Windows Server 2008 R2.

Совместная работа с Windows 7

Windows Server 2008 R2 поддерживает ряд функций, рассчитанных на работу с клиентскими компьютерами под управлением Windows 7 — следующей версии ОС Windows корпорации Майкрософт. Перечисленные ниже возможности доступны только при использовании клиентских компьютеров под управлением Windows 7 и серверов Windows Server 2008 R2:

·  Упрощение удаленного подключения к корпоративным компьютерам благодаря применению функции DirectAccess

·  Безопасное удаленное подключение к общедоступным и частным компьютерам благодаря применению удаленного рабочего пространства, виртуализации представлений и шлюза служб удаленных рабочих столов

·  Повышение производительности филиалов благодаря применению кэша филиалов BranchCache

·  Повышение защищенности филиалов благодаря использованию файловой системы DFS только для чтения

·  Повышение эффективности управления питанием с помощью новых параметров управления питанием в групповой политике для клиентских компьютеров, работающих под управлением Windows 7

·  Повышение эффективности интеграции виртуализированных представлений благодаря новой возможности запуска приложений и рабочих столов

·  Повышение устойчивости к сбоям соединений между сайтами благодаря использованию Agile VPN

·  Повышение защищенности съемных носителей благодаря шифрованию таких носителей с помощью средства шифрования диска BitLocker

·  Более эффективная защита от потери данных с помощью средств автономного доступа к папкам

Упрощение удаленного подключения к корпоративным компьютерам

Необходимость предоставления мобильным пользователям возможности удаленного доступа — типичная проблема, с которой сталкивается большинство организаций. Один из самых распространенных вариантов решения этой задачи состоит в орга­низации VPN-подключений (подключений виртуальной частной сети). В зависимости от типа VPN пользователям может потребоваться установить на своем мобильном компьютере ПО VPN-клиента, а затем устанавливать VPN-подключение через Интернет.

В состав Windows Server 2008 R2 входит компонент DirectAccess, который позволяет клиентским компьютерам, работающим под управлением Windows 7, напрямую подключаться к ресурсам в интрасети, минуя сложный этап установки VPN-подключения. При этом удаленное подключение к интрасети устанавливается без участия поль­зователя, а работа с интранет-ресурами при удаленном подключении с точки зрения пользователя не отличается от работы при обычном подключении. На следующем рисунке показаны отличия текущего решения на основе VPN и решения на основе DirectAccess.

Рисунок 29. Сравнение решения на основе VPN и DirectAccess

DirectAccess — это удобное, постоянно доступное, работающее в фоновом режиме решение для удаленного доступа, призванное уменьшить сложность работы поль­зователей, предоставить эффективные средства управления и настройки и сохранить безопасность удаленного доступа. Чтобы решить эти задачи, DirectAccess поддер­живает следующие возможности.

·  Проверка подлинности. DirectAccess проверяет подлинность компьютеров, позволяя им подключаться к интрасети, даже если пользователь не вошел в систему. Кроме того, DirectAccess может проверять подлинность пользователей с применением многофакторной проверки подлинности (например, с исполь­зованием смарт-карт).

·  Шифрование. DirectAccess использует протокол IPsec для шифрования данных, передаваемых через Интернет.

·  Управление доступом. ИТ-специалисты могут указывать, какие ресурсы должны быть доступны конкретным пользователям, подключающимся через DirectAccess. Например, пользователям DirectAccess можно предоставить неограниченный доступ к интрасети или только к определенным серверам и сетям.

·  Интеграция с NAP и NPS. Windows Server 2008 и Windows 7 Server поддерживают функции NAP и NPS, проверяющие, удовлетворяют ли клиентские компьютеры требованиям к безопасности и установлены ли на них необходимые обновления, и позволяющие подключаться только компьютерам, которые удовлетворяют указанным условиям.

·  Раздельная маршрутизация. На сервер DirectAccess передается только трафик, предназначенный для интрасети, тогда как при использовании традиционных VPN-решений интернет-трафик тоже передается через интранет, что замедляет доступ пользователей к Интернету.

Рисунок 30. Решение DirectAccess для удаленного доступа

В отличие от традиционных решений на основе VPN клиент DirectAccess напрямую передает узлам в Интернете предназначенный для них трафик. В традиционных VPN-решениях весь трафик (и для интрасети, и для узлов в Интернете) передается по VPN-подключению. Разделение интернет-трафика и интра-трафика уменьшает загрузку канала, используемого для удаленного доступа.

Еще одно отличие DirectAccess от VPN-подключений состоит в том, что подклю­чения DirectAccess устанавливаются раньше, чем пользователь входит в систему. Это означает, что ИТ-специалисты могут управлять удаленным компьютером, подключенным с помощью DirectAccess, даже если пользователь еще не вошел в систему. Например, это может потребоваться, чтобы применить параметры групповой политики. Однако чтобы обращаться к корпоративным ресурсам, пользователь должен войти в систему.

Чтобы воспользоваться возможностями DirectAccess, необходимо, чтобы доступ к ресурсам интрасети осуществлялся по протоколу IPv6. Если в организации существует маршрутизируемая инфраструктура IPv6, преобразование IPv6 не требуется. Если ресурсы организации используют только адреса IPv4, необходимо преобразование IPv6-to-IPv4.

Сервер DirectAccess поддерживает осуществляемые технологии преобразования 6to4, Teredo Server, Teredo Relay и ISATAP Router. Кроме того, Microsoft Forefront Intelligent Access Gateway (IAG) будет поддерживать интеграцию DirectAccess, предоставляя дополнительные возможности управления, развертывания и обеспечения безопасности. IAG выйдет приблизительно через 6 месяцев после выхода Windows Server 2008 R2 и клиента Windows 7.

Безопасное удаленное подключение частных и общедоступных компьютеров

Еще одной типичной проблемой, с которой сталкиваются удаленные пользователи, является необходимость подключения к интранет-ресурсам с компьютеров, не при­надлежащих организации, в которой работает пользователь (например, с компьютеров в интернет-кафе). Большинство пользователей не может обращаться к интранет-ресурсам без помощи предоставленного организацией мобильного компьютера.

Совместное применение удаленного рабочего пространства, виртуализации представлений и шлюза удаленных рабочих столов позволяет пользователям удаленно работать со своими интранет-ресурсами с компьютеров под управлением Windows 7, не устанавливая дополнительное ПО. Благодаря этому пользователи могут удаленно работать со своими настольными компьютерами так же, как если бы они работали на компьютерах в интрасети.

На следующем рисунке показаны некоторые новые возможности, предоставляемые VDI и службами терминалов в Windows Server 2008 R2. Дополнительные сведения об этих возможностях см. в разделе «Безопасное удаленное подключение частных и общедоступных компьютеров» главы «Совместная работа с Windows 7» документа Технический обзор Windows Server 2008 R2.

С точки зрения пользователя рабочий стол удаленного компьютера под управлением Windows 7 начинает выглядеть так же, как рабочий стол пользователя в интрасети, включая значки, элементы меню «Пуск» и установленные приложения, такие же, как на компьютере пользователя. Когда удаленный пользователь завершает сеанс удаленного доступа, на удаленном компьютере под управлением Windows 7 восстанавливается предыдущая конфигурация среды рабочего стола.

Повышение производительности филиалов

Чтобы уменьшить сложность ИТ-среды филиалов и расходы на ее содержание, организации стремятся централизовывать приложения. Однако по мере центра­лизации растут требования к доступности и качеству каналов глобальной сети. Вследствие централизации повышается загрузка каналов глобальной сети и снижается производительность приложений. Недавние исследования показали, что, несмотря на снижение затрат на каналы глобальной сети, эти затраты по-прежнему составляют значительную часть эксплуатационных расходов организаций.

Рисунок 31. Проблема в работе филиала

Поддерживаемая Windows Server 2008 R2 и клиентами Windows 7 технология работы с кэшем филиалов BranchCache™ снижает загрузку соединяющих филиалы каналов глобальной сети и повышает удобство работы пользователей, кэшируя часто используемое содержимое на локальных компьютерах в сети филиала.

Обращаясь к содержимому, которое хранится на серверах в корпоративном центре обработки данных, клиентские компьютеры в филиале сохраняют копию полученного содержимого в локальной сети филиала. При последующих обращениях к этому содержимому предоставляется информация из локального кэша, что уменьшает время доступа и снижает загрузку каналов глобальной сети между филиалом и корпоративной сетью. BranchCache™ кэширует содержимое, передаваемое по протоколам HTTP и SMB, и позволяет обращаться к нему только авторизованным пользователям. При этом проверка подлинности выполняется на серверах в центре обработки данных. BranchCache™ работает с содержимым, зашифрованным по протоколу SSL или IPSEC, и ускоряет доставку такого содержимого.

Для развертывания BranchCache™ можно использовать следующие варианты. Кэшируемое содержимое сохраняется на расположенном в филиале выделенном сервере BranchCache™. Это наиболее популярный метод, повышающий доступность кэша и ориентированный на крупные филиалы, в которых к кэшу BranchCache™ может одновременно обращаться большое число пользователей. Размещение сервера BranchCache™ в филиале гарантирует доступность содержимого и обеспечивает безопасность на всех этапах обработки запросов на получение этого содержимого.