DirectAccess (Windows 8.1/Server 2012) cho phép kết nối từ xa, nhưng Microsoft khuyến khích chuyển sang Always On VPN trên Windows 10/11. Always On VPN cung cấp trải nghiệm giống DirectAccess dùng giao thức VPN truyền thống (IKEv2, SSTP, L2TP/IPsec) với thêm lợi ích: hỗ trợ cả IPv4 và IPv6.
Triển khai Always On VPN cho máy khách Windows 11/10
Yêu cầu tiên quyết:
- Cơ sở hạ tầng Active Directory domain (bao gồm DNS server).
- Public Key Infrastructure (PKI) và Active Directory Certificate Services (AD CS).
Các bước triển khai:
- Cài đặt máy chủ Remote Access mới chạy Windows Server 2016.
- Cấu hình máy chủ VPN:
- Lắp 2 card mạng Ethernet (hoặc 2 virtual switch/adapter nếu VM).
- Đặt máy chủ giữa edge firewall và internal firewall: một card nối External Perimeter Network, một card nối Internal Perimeter Network.
- Cài đặt và cấu hình Remote Access làm VPN RAS Gateway single-tenant cho kết nối point-to-site.
- Cấu hình Remote Access làm RADIUS Client để gửi yêu cầu kết nối đến máy chủ NPS.
- Đăng ký và xác thực chứng chỉ máy chủ VPN từ CA.
Máy chủ NPS (Network Policy Server)
Cài đặt trên mạng nội bộ, cấu hình làm RADIUS Server để nhận yêu cầu từ VPN Server, thực hiện xác thực/phân quyền, trả về Access-Accept hoặc Access-Reject.
Máy chủ AD DS
Domain controller on-premises lưu trữ tài khoản người dùng. Cần thiết lập:
- Bật tự động đăng ký chứng chỉ trong Group Policy cho máy tính và người dùng.
- Tạo nhóm: VPN Users, VPN Servers, NPS Servers.
Máy chủ CA (Certification Authority)
Chạy AD CS, tạo mẫu chứng chỉ (certificate templates) cho xác thực PEAP client-server. Người dùng từ xa phải có tài khoản trong AD DS.
Lưu ý: Đảm bảo tường lửa cho phép lưu lượng VPN và RADIUS. Máy khách phải chạy Windows 11/10. Hướng dẫn này dành cho triển khai on-premises, không dùng cho VM Azure.
Tham khảo tài liệu Microsoft chi tiết để biết các bước cấu hình đầy đủ.