通过这个动手实验室，您可以了解到：掌握配置DirectAccess的基本条件、如何配置DirectAccess 服务器、在客户端计算机上如何检测DirectAccess。
先决条件
在开始这个实验之前，您必须：
" 了解Active Directory, 证书服务, 组策略和远程访问
" 熟悉IPv6, Teredo 和 4to6
" 能够执行基本的Active Directory管理任务
实验概述
该实验室是为负责实施DirectAccess的 IT专业人员提供了解决方案。这个实验提供给您实施一个基本的DirectAccess最终必要配置步骤的解决方案，包括网络连接配置、组件基础结构、和DirectAccess服务器的配置。 在本实验结束时，您将完成实现DirectAccess功能所需的步骤。
场景
Woodgrove Bank 是一家位于美国马里兰州巴尔的摩的投资银行。Woodgrove Bank 有一个总部并在很多地区有分支机构。这些分支机构由于规模较小所以没有专门的IT技术人员，并且这些分支机构都通过低速的广域网连接到总部。此外，许多Woodgrove Bank员工经常在这些分支机构、客户的办公室和家庭中使用用户帐户参加有关会议。Woodgrove Bank 面临着如下的全球挑战:
1. 要在这些机构中管理大量的服务器。
2. 需要减少的每个分支机构的运营成本。
3. 漫游和远程用户需要访问公司资源。
4. 管理大型复杂的Active Directory基础结构.
为了解决其中的一些挑战，Woodgrove Bank 已经决定使用Windows Server 2008 R2 和Windows 7中的DirectAccess 功能。通过实施DirectAccess, Woodgrove Bank 能够让用户从Internet使用安全的IPv6连接从任意地点访问内部资源，而无需昂贵且复杂的VPN连接。
虚拟机技术
这个实验中所用到的计算机都是通过使用Microsoft Hyper-V 来实现的。在您启动每个虚拟机之前，确保你应用了Start-Lab 快照。当您启动了虚拟机时，按CTRL+ALT+END 进入登录界面并使在实验手册中列出的凭据。
虚拟机环境介绍
该实验使用如下表所述的虚拟机。在您开始这个实验之前，您必须启动虚拟机并登录。在您启动其他虚拟机之前请确保BAL-DC-01 虚拟机已经完全启动。
本文将配置防火墙规则，允许本身就在内部网络的客户端来管理通过DirectAccess连接到内部网络的客户端。
任务A：使用Group Policy 管理客户端
步骤：
在此任务中，您将通过一个到客户端桌面的快捷方式并使用组策略来管理一台使用DirectAccess连接的客户端计算机。
" 使用Woodgrovebank\Administrator 帐号和密码Passw0rd!登录到BAL-DC-01。
1. 在Start 菜单, Administrative Tools中,点击Group Policy Management.
2. 依次展开Forest: woodgrovebank.com\Domains\woodgrovebank.com.
3. 在Action 菜单,点击Create a GPO in this domain and Link it here.
4. 输入Remote Computer Management 后点击OK.
5. 双击Remote Computer Management 后点击OK.
6. 在Security Filtering, 点击Authenticated Users,点击Remove 后点击OK.
7. 点击Add, 输入 DA Clients 后点击OK.
8. 点击 Remote Computer Management.
9. 在Action 菜单, 点击 Edit.
10. 依次展开Computer Configuration/Preferences/Windows Settings 后点击Shortcuts.
11. 在Action 菜单, 指向New 后点击Shortcut.
12. 使用如下列表中的值配置new Shortcut 后点击OK.
13. 依次展开Computer Configuration\Policies\Windows Settings\Security Settings\Windows Firewall with Advanced Security\ Windows Firewall with Advanced Security\Inbound Rules.
14. 在Action 菜单, 点击New Rule.
15. 在Predefined, 选择 Remote Administration 后点击Next.
16. 单击Next 后点击Finish.
17. 在rules 窗口, 点击first rule 后在 Action 菜单, 点击Properties.
18. 在Advanced 选项, Edge traversal, 点击 Allow edge traversal 后点击OK.
" 在使用DirectAccess的情况下, DirectAccess 服务器提供地址转换.
19. 重复以上两个步骤Repeat the previous two steps to allow edge traversal on the remaining two rules.
20. 关闭 Group Policy Management Editor.
21. 在Group Policy Management 控制台, 点击Remote Computer Management.
22. 在Action 菜单, 点击Enforced.
" o这项策略的实施，以确保为NAT traversal的防火墙设置没有被所有计算机上的默认域策略中定义的防火墙设置所覆盖。
任务B：使用Group Policy 管理客户端
步骤：
在此任务中，您将通过一个到客户端桌面的快捷方式并使用组策略来管理一台使用DirectAccess连接的客户端计算机。
" 使用Woodgrovebank\Administrator 帐号和密码Passw0rd!登录到BAL-CLI-01。
1. 在Command Prompt, 输入如下命令并按ENTER:
GPUPDATE /Force /Target:computer
" 组策略会自动刷新，但我们强制它更新，以便加快实验速度。
2. 在desktop, 双击IT Support.
" Netlogon 文件夹将打开.
" 这表明，您可以在防火墙之外的计算机上通过DirectAcces连接应用计算机级的策略。
3. 注销BAL-CLI-01.
4. 切换到DEN-DC-01.
5. 在Start 菜单, Administrative Tools中, 点击Computer Management.
6. 在Computer Management, Action 菜单上, 点击 Connect to another computer.
7. 输入BAL-CLI-01, 后点击OK.
" 这表明，你可以在内部网络中的计算机使用管理工具，发起连接到计算机上的外部网络，即使用户没有登录。
" DirectAccess是一个计算级别的连接，而不是一个用户发起的VPN。
【编辑推荐】
