Vor- Nachteile von Direct Access

[StefanWe 14]

Halle,

 

DA ist ja ein nettes Feature. Der Benutzer ist Seamless mit seinem Firmennetz verbunden.

Genau so stellt man sich Remote Arbeiten vor.

 

Aber was sind die Nachteile? Warum geben Firmen immer noch Geld für NCP Clients aus, oder andere SSL VPN Lösungen?

[testperson 1.761]

Hi,

 

evtl. stören sich einige an der benötigte Enterprise / Ultimate Edition des Client OS? Das Gerät muss Domain joined sein / iPhone und Co. gucken in die Röhre (Kann man jetzt als Vor- oder Nachteil sehen ;) ).

 

Gruß

Jan

[NorbertFe 2.177]

Und wenn man Redundanz oder mehrere einwahl Punkte braucht, wird da recht schnell komplex. ;)

Und der wichtigste Punkt es funktioniert nicht mit allen Applikationen. Das ist IPv6 und wenn die Anwendung mit Namen oder mit IPv6 Adressen nix anfangen kann, stehst du da.

[StefanWe 14]

Enterprise Client heißt ja automatisch SA. ok, da kann es schnell recht teuer werden.

Hat die Pro Edition das Feature gar nicht integriert?

 

Dachte die IPv6 Verbindung wird durch eine IPv4 Verbindung getunnelt.

Übersetzt der DA Server die IPv6 nicht zurück in IPv4? Ich muss doch nicht alle Systeme im LAN per IPv6 erreichbar machen?!

[NorbertFe 2.177]

Nein das ist "inzwischen" so. Früher war das keine direkte "Kopplung". ;) Ja sie wird durch IPv4 getunnelt. Trotzdem erreichst du das andere Ende des Tunnels in deinem LAN entweder per Name oder per ipv6. Ping 192.168.x.x funktioniert nicht. ;) Und damit kommen diverse Anwendungen eben nicht klar.

 

Bye

Norbert

[StefanWe 14]

Schade eigentlich. Ansonsten ist es ja genau das, was ein Benutzer erwartet.

[NorbertFe 2.177]

Wieso "schade"? Hast du es getestet? Wir nutzen das jetzt seit mehreren Jahren und ich will das nicht mehr "abgeben". ;)

[StefanWe 14]

  Am 17.3.2016 um 21:01 schrieb NorbertFe:

Wieso "schade"? Hast du es getestet? Wir nutzen das jetzt seit mehreren Jahren und ich will das nicht mehr "abgeben". ;)

Ja haben es auch bei uns im Einsatz. Bis dato keine Probleme. Nutze aber nur Fileservices darüber.

 

Ansonsten steht eben noch ein SSL VPN von Citrix zur Verfügung. Allerdings ist der Einwahlprozess unbequem da es kein SSO gibt.

[NorbertFe 2.177]

Und wo ist jetzt dein eigentliches Problem? du hast also alles im Einsatz und suchst jetzt was?

[StefanWe 14]

  Am 17.3.2016 um 21:14 schrieb NorbertFe:

Und wo ist jetzt dein eigentliches Problem? du hast also alles im Einsatz und suchst jetzt was?

 

Gibt keine Probleme. Habe mich nur gefragt, warum DA nicht die All in One Super Lösung ist ;)

 

Ich konnte bis dato nämlich keine Nachteile feststellen.

[NorbertFe 2.177]

Du hast keine Probleme und suchst jetzt welche? ;)

[Lian 2.540]

Hallo,

 

Direct Access benötigt wie schon gesagt IPv6 Unterstützung, tatsächlich ist es eine der wenigen Implementierungen einer Anwendung/Netzwerkanwendung, die die IPv6 Vorteile nutzt.

 

Dabei ist nicht zu unterschätzen, das jede Anwendung, die auf dem DA Client laufen soll auf keinen Fall IPv4 Adressen anspricht oder andere "schmutzige" Dinge tut...

Ebenso gibt es in großen, komplexen Umgebungen oft Tunnel-Grenzen, ob absichtlich (Firewall) oder unabsichtlich (Tunnel-in-Tunnel). Anscheinend wird DA von wenigeren Kunden genutzt, als der Hersteller dachte.

 

Auch ging Microsoft wohl davon aus, dass IPv6 schneller kommt - dem war nicht so.

Direct Access wird lt. Microsoft nur noch supported, empfohlen wird mit Windows 10 / Windows Server 2016 VPN Always On bzw. App-triggered VPN.

Dabei wird altbekannte, übliche Technik verwendet (VPN) und quasi "seamless" integriert: Sollte eine Applikation eine VPN Verbindung benötigen, wird diese angestoßen:

https://technet.microsoft.com/en-us/library/mt210942(v=vs.85).aspx

 

Ist die Frage, ob es sich noch lohnt DA vollumfänglich aufzubauen, wenn die kommende Windows Server Version eventuell die letzte ist, die das supported. Ob das so ist, kann man heute noch nicht sagen, aber es könnte sein.

 

HTH

[Weingeist 165]

Denke der ein oder andere hat auch noch Datenschutzgedanken. Man "traut" mehr oder weniger standardisiertem VPN einfach eher über den Weg als einem Herstellerspezifischem Protokoll.

Dann kommt noch erschwerend hinzu, dass MS mit der ganzen Telemetrie und Datensammlungs-Wut diesbezüglich nicht unbedingt zur Transparenz und Vertrauensbildung beigetragen hat. Die haben sich meiner Meinung nach gleich selbst das Bein gestellt für solche eigenen Internetabhängigen Technologien. Intelligenterweise hätten Sie es wenigstens andersrum gemacht. ;)

 

Was mir in Bezug auf den Sicherheitsgedanken immer noch schleierhaft ist, warum sie das nicht sinnvoll TMG tauglich bzw. den TMG nicht als Rolle direkt in Windows Server integriert und entsprechend gepusht haben. Das Teil ist gerade mal ca. 120MB schwer. Mit genialer Zugriffsbeschränkungsmöglichkeiten und Protokoliierungsmassnahmen. Stattdessen kommen so grauenhafte und aufgeblasenen und hochkomplexe ISS-Proxies zum Zug.

Eine Kommunikation so ganz ohne Firewall schmeckt halt immer noch vielen Kunden nicht. DA macht subjektiv den Anschein als sei das von Haus aus "suspekt". Objektiv mag das vielelicht anders aussehen, aber dieser FAktor wurde imho unterschätzt.

bearbeitet 19. März 2016 von Weingeist

[StefanWe 14]

  Am 18.3.2016 um 09:26 schrieb Lian:

Hallo,

 

Direct Access benötigt wie schon gesagt IPv6 Unterstützung, tatsächlich ist es eine der wenigen Implementierungen einer Anwendung/Netzwerkanwendung, die die IPv6 Vorteile nutzt.

 

Dabei ist nicht zu unterschätzen, das jede Anwendung, die auf dem DA Client laufen soll auf keinen Fall IPv4 Adressen anspricht oder andere "schmutzige" Dinge tut...

Ebenso gibt es in großen, komplexen Umgebungen oft Tunnel-Grenzen, ob absichtlich (Firewall) oder unabsichtlich (Tunnel-in-Tunnel). Anscheinend wird DA von wenigeren Kunden genutzt, als der Hersteller dachte.

 

Auch ging Microsoft wohl davon aus, dass IPv6 schneller kommt - dem war nicht so.

Direct Access wird lt. Microsoft nur noch supported, empfohlen wird mit Windows 10 / Windows Server 2016 VPN Always On bzw. App-triggered VPN.

Dabei wird altbekannte, übliche Technik verwendet (VPN) und quasi "seamless" integriert: Sollte eine Applikation eine VPN Verbindung benötigen, wird diese angestoßen:

https://technet.microsoft.com/en-us/library/mt210942(v=vs.85).aspx

 

Ist die Frage, ob es sich noch lohnt DA vollumfänglich aufzubauen, wenn die kommende Windows Server Version eventuell die letzte ist, die das supported. Ob das so ist, kann man heute noch nicht sagen, aber es könnte sein.

 

HTH

Hi Liam,

 

ist es nur eine Vermutung von dir, dass MS DA nicht weiter favorisiert, oder ist dies irgendwo nachzulesen?

 

Habt ihr die neue VPN Technik schon ausprobiert?

[Lian 2.540]

  Am 19.3.2016 um 16:50 schrieb StefanWe:

ist es nur eine Vermutung von dir, dass MS DA nicht weiter favorisiert, oder ist dies irgendwo nachzulesen?

Nein, das ist eine Aussage von MSCS (Microsoft Consulting). Ich denke inzwischen, das ist ein offenes Geheimnis...