[English]DirectAccess ermöglichte seit Windows 7 und Windows Server 2008 R2 Clients eine Verbindung zu Unternehmensnetzwerken, ohne ein VPN zu installieren. Nun hat Microsoft die Funktion DirectAccess indirekt in Windows abgekündigt. Zum Juni 2024 gibt es dazu einen neuen Eintrag in der Liste der abgekündigten Funktionen. DirectAccess sei veraltet und wird in einer zukünftigen Version von Windows entfernt werden. Microsoft empfiehlt von DirectAccess auf Always On VPN zu migrieren.
Anzeige
Eine interessante Alternative zu Always On VPN onPremise Konfiguration ist der von Microsoft ebenfalls vor kurzem vorgestellte Global Secure Access. Dieser befindet sich momentan in der Preview und setzt Entra ehemals Azure sowie lokal den Entra-Anwendungsproxy voraus. Ein Vorteil gegenüber Always On VPN liegt darin, dass die lokalen Vorrausetzungen lokal sehr gering sind, zum Beispiel ist kein lokaler Zertifikatsserver notwendig, da alles über die Entra Identität in Verbindung mit dem Bedingten Zugriff erfolgt. Der Verbindungsaufbau zum Firmennetzwerk läuft also nicht mehr per externer Portfreigabe, sondern über Entra. In Zeiten, wo man mit Portfreigaben sparsam umgehen sollte / wenn nicht sogar vermeiden sollte auf onPremise Zielserver, mit Sicherheit mal in Zukunft einen Blick wert. Für den Endanwender auf dem mobilen Client ist überhaupt keine Konfiguration mehr notwendig, das Clientprogramm erkennt den User und meldet sich per SSO automatisch an. Die Konfig wird dann einfach mit Entra abgeglichen. Und der Endanwender merkt nichts davon und muss nichts tun, wenn er mal remote eine Sitzung mit dem Firmennetzwerk aufbauen möchte. Der Drehpunkt ist wie oben beschrieben der lokale Anwendungsproxy.
Ich habe es mir auch angeschaut, ja die Richtung stimmt aber der Funktionsumfang ist noch (für unsere Anforderungen) zu gering, sodass ich noch warte, bis Microsoft notwendige Funktionen nachreicht. Konkret muss man zb. den FQDN angeben, wenn man eine Zielressource erreichen möchte. Die Auflösung rein nur über den Servernamen ist noch nicht möglich, dass können andere Dienste besser, die dann einfach den Suffix mit hinten dran hängen. Aber vielleicht kommt dass dann noch.
Eine nette Nebenfunktion ist auch noch der Webfilter vom Global Secure Access Client, sprich die Clients haben auch unterwegs einen Webfilter und nicht nur hinter der großen Firmenfirewall, wenn sie im Büro sind. Aber auch hier ist der Funktionsumfang noch zu einfach, um es Produktiv nutzen zu können. Wer aber bislang gar nichts hat in der Richtung, eventuell schon alsbald einen Blick wert.
https://learn.microsoft.com/de-de/entra/global-secure-access/overview-what-is-global-secure-access
Deren Interpretation von ZTNA ist halt noch nicht Final und somit ungewiss incl. Lizensierungsart. Bis das mal Relevant wird, eher echtes ZTNA (2.0) von bekannten Anbieter nutzen und VPN less denken/handeln. Jaja das kostet ja was, umsonst gibt es halt nicht wirklich was ohne selbst Human Ressourcen reinzubuttern etc etc etc :)
macht ZTNA man-in-th-middle?
Oder end-to-end Verschlüsselung?