it pro day windows server 2012 networking and remote access thomas detznerphilipp kuhn senior...
Post on 05-Apr-2015
106 Views
Preview:
TRANSCRIPT
IT Pro Day
Windows Server 2012 Networking and Remote Access
Thomas Detzner Philipp KuhnSenior Consultant Premier Field EngineerMicrosoft Microsoft
Agenda
Agenda
Unified Remote AccessÜbersicht zu Unified Remote AccessNeuerungen in DirectAccess
Client-seitige Neuerungen Vereinfachtes und flexibleres Deployment Multisite, Hochverfügbarkeit Verwaltbarkeit und Performance Demo, Demo und Demo
Netzwerk ÄnderungenSkalierung und VerwaltungIPAM – IP Adressen VerwaltungSMB ÄnderungenNIC Teaming
Unified Remote AccessÜbersicht zu Unified Remote Access
Work-Lifeblur
Immer verbunden
Produktivvon
überall
Daten in der Cloud
Wann und wo wir arbeiten verändert sichWo unsere Daten gespeichert sind und wie wir darauf
zugreifen verändert sich
FIREWALL
VPN
VPN
VPN
WindowsNicht-Windows
WindowsNicht-Windows
Mobil Telefon
DirectAccessVPN
Verwaltete WindowsClients
Windows to Go + DirectAccess
Von einembeliebigen Gerät
Unified remote accessserver
RDS / VDI
Remote Desktop Gateway
Remote Access Szenarien
VPN verbindet den Benutzer mit dem Netzwerk
DirectAccess erweitert das Netzwerk zum Benutzer und PC
GPOs von remote anwenden
IT: Bessere Verwaltbarkeit
Clients immer erreichbar
Verringert die miss-rate für
Patches
Vereinfachter Zugriff auf interne
Ressourcen
Benutzer: Vereinfachte Bediednung
Verbesserte Produktivität
Funktioniert ohne Benutzer
Interaktion
FIREWALL
DirectAccess
SharePoint
Apps Intranet
Exchange
VPN
Win XP / Vista / Non-Windows
Windows 7Windows 8
Mobile Broadband
Unified Remote AccessNeuerungen in DirectAccess
Neuerungen in DirectAccessDirectAccess and RRAS coexistenceSimplified DirectAccess DeploymentRemoval of public key infrastructure (PKI) deployment as a DirectAccess prerequisite Built-in NAT64 and DNS64 support for accessing IPv4-only resourcesSupport for DirectAccess server behind a NAT deviceSimplified network security policyLoad balancing supportSupport for multiple domainsNAP integrationSupport for OTP (token based authentication)Automated support for force tunnelingIP-HTTPS interoperability and performance improvementsDirectAccess manage-out to clients supportMultisite supportSupport for Server CoreWindows PowerShell supportUser monitoringServer operations statusDiagnosticsAccounting and reportingSite-to-site IKEv2 IPsec tunnel mode VPN
Neuerungen in DirectAccess
Vereinfachte Bedienung
Verbesserte Authentifizierung
Verbindung zum nächstgelegenen
Server
Deployment und
Überwachung
Integrated client experience
Reporting und accounting
Unified Remote Access
ManagementFunktioniert in bestehenden Netzwerken
Skalierbarkeit und
Performance
Neue Szenarien
Optimiert für virtuelle
Umgebungen
Tausende Benutzer pro
Server
HochverfügbarkeitHybrid Cloud
Off premise provisioning
VPN Interoperabilität
Client-seitige Neuerungen
• Integrierter Client in Windows 8• Automatische Verbindung über den
effizientesten Weg • Einfache Anzeige des Verbindungsstatus• Flexible Authentifizierung: Kerberos, PKI,
Smartcard, Virtual Smartcard/TPM und OTP
Integriertes Troubleshooting
• Über die Networks UI erreichbar• Detaillierter Verbindungsstatus• Benutzer kann auswählen über
welchen Zugriffspunkt man sich verbinden möchte
• Einfaches erstellen von relevanten Logs
Demo
Client-seitige Neuerungen
Off Premise Provisioning mit DirectAccess
Erstellung des
Provisioning package
Transfer auf den Client
Applizieren des
Provisioning package
Funktioniert auch mit Windows To Go!
Off Premise Provisioning mit DirectAccess• Erstellung des Provisioning package:
Djoin /provision /machine NewClient /domain corp /policynames "DirectAccess Client Settings" /rootcacerts /savefile c:\files\provision.txt /reuse
• Applizieren des Provisioning packageDjoin /requestodj /loadfile C:\Provision\provision.txt /windowspath %windir% /localos
Multisite
• Automatische Selektion des nächstgelegenen Zugriffpunktes (Windows 8)
• Windows 7 unterstützt einen Zugriffspunkt
• Abhängig von der Antwortzeit
• Unterstützung für GSLB
50 ms
20 ms
150 ms
Hochverfügbarkeit
• Integrierte Unterstützung für NLB• Unterstützung für HLB• Zentrale Konfiguration über die Remote
Access Konsole• Einfaches hinzufügen und entfernen von
Remote Access Servern
Vereinfachtes und flexibleres Deployment
Vereinfachtes und flexibleres DeploymentGetting Started Wizard• Setzt Windows 8 Clients voraus• Funktioniert mit NAT• Nur ein IPsec Tunnel• Kerberos Proxy
• Einfache Benutzer Authentifizierung• Erfordert keine PKI• Assistent erstellt bei Bedarf self-signed Zertifikate• Keine Computer Zertifikate oder CRL benötigt
Vereinfachtes und flexibleres DeploymentErweiterte Konfiguration• Unterstützt Windows 8 und Windows 7 Clients• PKI Integration• Computer Zertifikat• CRL
• Zwei IPsec Tunnel• Einfache, mehrfache und zertifikatsbasierende
Authentifizierung• Smartcard, Virtual Smartcard/TPM und OTP
• Multisite
Demo
Vereinfachtes und flexibleres Deployment
Kommunikationsmöglichkeiten• DirectAccess
verwendet IPv6 – grundsätzlich zwischen Client und DirectAccess Server
• Kein IPv6 im Intranet erforderlich
• Wenn kein natives IPv6 zur Verfügung steht:
• Client tunnelt IPv6 über das Internet oder Intranet
• DNS64/NAT64 kommt zum Einsatz um reine IPv6 Ressourcen im Intranet zu erreichen
IntranetInternet
Natives IPv6
IPv6 Tunneling
IPv4
Remote Access Sever Überwachung• Überwachung des Gesundheitszustands
aller Remote Access Server• Überwachung aller Verbindungen• Anzeige der aktuell verbundenen Benutzer und auf welche Ressourcen
zugegriffen wird• Historische Anzeige aller Verbindungen für Auditing Zwecke
Demo
Remote Access Server Überwachung
Verwaltbarkeit: PowerShell
• Volle PowerShell Unterstützung• Remote Access GUI basiert auf
PowerShell cmdlets• Beispiele:• Get-RemoteAccess• Install-RemoteAccess -NoPrerequisite -DAInstallType FullInstall -
InternetInterface "Private Internet" -InternalInterface "Private Corpnet" -ConnectToAddress „ra.contoso.com" -force
Performance
• Deutliche Performance Steigerung
• Hardware:CPU: 4 Cores, 2.1 GhzRAM: 4 GB
Capacity MB/sec0
50
100
150
200
250
300
350WS 2012
WS 2008 R2
Performance
RSS (Receive Side Scaling) Unterstützung für UDP
Server 2008 R2: Kein RSS für UDPServer 2012: RSS Unterstützung für UDP
Performance
• IP-HTTPS und Teredo auf gleichem Level• Keine doppelte Verschlüsselung mehr• IP-HTTPS für DirectAccess bevorzugtes Protokoll
• SR-IOV – Ermöglich VMs den vollen Zugriff auf alle Prozessor Cores
• Windows Server 2012 unterstützt IPsec Hardware Beschleunigung in einer VM
• PS> Set-NetAdapterIPsecOffload –Name Interface1 –Enabled TRUE• Kann als Netzwerk Adapter Team betrieben werden
Interop MatrixWindows Server 2012 Windows Server 2008 R2 / UAG
2010
Windows 8
Keine Einschränkungen • DirectAccess und VPN auf dem selben Server nicht unterstützt
• Benötigt eine PKI• Kein Multisite• DNS64/NAT64 benötigt UAG 2010• (Noch) keine offizielle
Unterstützung für UAG 2010
Windows 7
• Benötigt eine PKI• Windows 7 Client verbinden sich
zu einem definierten Zugriffspunkt
• Kein off-premise provisioning oder Windows To Go
• DirectAccess und VPN auf dem selben Server nicht unterstützt
• Benötigt eine PKI• Kein Multisite• DNS64/NAT64 benötigt UAG 2010• Kein off-premise provisioning oder
Windows To Go
Zusammenfassung
• Unified Remote Access optimal für verschiedene Remote Access Szenarien
• Verwaltete Clients - DirectAccess• Nicht verwaltete Client und Nicht-Windows Systeme - VPN• Anbindung an eine Cloud Umgebung – Site-to-Site VPN
• Zahlreiche Optimierungen in Windows Server 2012 und Windows 8
• Vereinfachtes Deployment
Netzwerk ÄnderungenSkalierung und Verwaltung
DHCP Änderungen
Richtlinien und Failover
Einführung in DHCP PBA
Policy based assignment (PBA) erlaubt Administoren Guppen von Clients anhand von Attributen zu erstellen. Beispiele von Attributen:
Voice over IP (VoIP) TelefoneMobile GeräteDrucker
PBA ist nicht kompatibel mit NAP DHCP or split-scope Szenarien (Fail over Fall)
Drucker, IP Telefone und Desktop PC benötigen einen unterschiedlichen Adressebereich und Scope OptionenLaptops, Desktop PCs, and Server benötigen unterschiedliche Lease Einstellungen
Konfigurationseinstellungen
Click icon to add pictureEine neuer Policies Knoten in der DHCP Konsole um die Richtlinien zu verwalten
Nur für IPv4 Scopes anwendbar
DHCP Failover Überblick
In Windows Server 2008 R2 existierten zwei Hochverfügbarkeitsoptionen:Installation von DHCP mit Hilfe eines Windows failover clusters
Speichermedium ist ein “single point of failure”Erfordert zusätzliche Massnahmen und Investitionen in die Redundanz, somit höhere Komplexität und Wartungsaufwand
Split scope deploymentBietet keine Möglichkeit IP Adressbereicheskontinuität zu gewährleisten, besonders problematisch bei hoher Auslastung der Scopes
DHCP failover mit Windows Server 2012:Bietet ununterbrochene DHCP Dienst VerfügbarkeitMaximal 2 DHCP Server begrenzt auf IPv4 Scopes und SubnetzeErfordert keine zusätzliche Hard- und Software für die SpeichermedienEinfach zu konfigurieren
DHCP - Hot Standby ModusMulti-Site Installation – Hub and Spoke Topologie
DHCP - Load Sharing ModusIm Load Sharing Modus liefern zwei DHCP Server gleichzeitig IP Adressen an die Clients
DHCP - Konfugurationssynchronization
Click icon to add picture• Stellt sicher das die Konfiguration zwischen den Servern konsistent ist
• DHCP Failover Internet draft RFC spezifiziert das Verfahren
• Die DHCP Konsole in Windows Server 2012 erlaubtdie Konfiguration wie folgt zu synchronisieren:• IPv4 Knoten- Alle Failover Scopes replizieren• Einzelner Failover scope
• Einzelnen Scope replizieren• Alle dazugehörigen Scopes
replizieren• Mehrere failover scopes
IPAM
IP Adressen Verwaltung
IPAM – Aufgaben und Vorteile
• Erlaubt die Analyse der IP Bereichsausnutzung, Trends und Statistiken zu erfassen
• Statische IP Adressen Verwaltung• Konfigurationsänderungsüberwachung für DHCP und IPAM • Dienst und Zonenüberwachung von DNS• IP Adressen lease und Anmeldeüberwachung• Rolenüberwachung ohne Zusatzsoftware• GPO basierende Installation• Datengruppierungen in Benutzer definierten Gruppen• Erweiterte Such-und Filteroptionen• Ferwartung mit Hilfe der RSAT Tools
IPAM – Voraussetzungen und FunktionenLimitiert auf einen einzelnen AD forestIPAM Server Mitgliedsserver seinDie IPAM Serverrole ist als ‚Stand-alone‘ Funktion gedacht
Es ist nicht empfohlen weitere Netzwerkinfrastuktur Rollen wie DNS oder DHCP auf dem gleichen Server zu installierenIPAM auf einem Domänenkontroller ist nicht unterstützt
Windows Server 2012 IPAM besteht aus den folgenden Kernkomponenten:Server-BestandsführungIP-Adressverwaltung-RaumVerwaltung und Überwachung von DHCP und DNSEreignis-Katalog/ÜberwachungIP-Adressen Aufzeichung/Überwachung
IPAM – Architektur
IPAM – Server-Bestandsführung
IPAM – IP Adressenblöcke
IPAM – Nutzungsstatistiken
IPAM – IP-Adressaufzeichung/Überwachung
IPAM – Verwaltung und Überwachung von DHCP und DNS
SMB Änderungen
Alles ist schneller und grösser …
SMB Multichannel
Click icon to add pictureDefinitionVerwendet mehrere TCP-Verbindungen für eine SMB-Sitzung
FailoverAusfall einer NIC wird toleriert, wenn eine andere Verbindung verfügbar ist
DurchsatzMehr Bandbreite mit mehreren NICsMehrere CPUs verarbeiten Netzwerk unterbricht mit einzelnen RSS-fähige Netzwerkkarte oder mehrere NetzwerkkartenVerbesserte SMB-Durchsatz beim Kombinieren von LBFO Teams und Mehrkanal
Automatische KonfigurationSMB erkennt und verwendet mehrere NetzwerkpfadePowerShell-Cmdlets für die Überwachung und Problembehandlung
Multiple 10GbE/IB RSS-capable NICs
Multiple 1GbE NICs
Single 10GbE RSS-capable
NIC
SMB Server
SMB Client
SMB Server
SMB Client
SMB Server
SMB Client
Beispiel Konfiguration
Multiple 1GbE in LBFO team
SMB Server
SMB ClientLBFO
LBFO
Switch
10GbE
NIC10Gb
E
NIC10GbE
Switch10GbE/
IB
NIC10GbE/
IB
NIC10GbE/
IB
Switch10GbE/
IB
NIC10GbE/
IB
NIC10GbE/
IB
Switch1GbE
NIC1Gb
E
NIC1Gb
E
NIC1Gb
E
NIC1Gb
E
Switch
1GbE
NIC1Gb
E
NIC1Gb
E
Switch
1GbE
NIC1Gb
E
NIC1Gb
E
Blaue Linien bedeuten logische Verbindungen, keine Kabel
SMB Multichannel
PowerShellGet-SmbServerNetworkInterfaceGet-SmbClientNetworkInterfaceGet-SmbMultichannelConnection
Event LogApplication and Services Log, Microsoft, Windows, SMB Client
Performance CountersSMB Client
SMB Direct (SMB über RDMA)
Click icon to add pictureNeue Klasse von SMB-Dateispeicher für UnternehmenMinimale CPU-Auslastung für die DateiverarbeitungGeringe Latenz und grosse Ausnutzung von high speed NICsFibre Channel-gleichwertige Lösung zu geringeren Kosten
Traditionellen Vorteile der SMB-DateispeicherungEinfach bereitzustellen, zu verwalten und zu migrierenKonvergentes Netzwerk nutztKeine Änderung oder Administrator Anwendungskonfiguration
Erforderliche HardwareRDMA-fähiges Netzwerkkarte (R-NIC)Support für iWARP, InfiniBand und RoCE
Verwendet SMB Multichannel für LBFo
File Client File Server
SMB ServerSMB Client
User
Kernel
Application
DiskR-NIC
Network w/RDMA
support
NTFSSCSI
Network w/RDMA
support
R-NIC
SMB Direct – Was ist RDMA?
Remote Direct Memory Access Protocol (RDMA)Beschleunigtes IO-Auslieferungs-Modell welches der Anwendungssoftware erlaubt die meisten Schichten der Software zu umgehen und direkt mit der Hardware zu kommunizieren
RDMA VorteileGeringe VerzögerungszeitenHoher DatendurchsatzZero copy FähigkeitenOS / Stack bypass
RDMA Hardware TechnologienInfinibandiWARP: Internet Wide Area RDMA protocol (RDMA over TCP/IP)ROCE: RDMA over Converged Ethernet
SMB Scale out – Früher mit 2008 R2
File Server Cluster
Active Passive
Active-Passive Single File Server
1 logischer File Server1 virutelle IP Adresse
Active/Passive
\\FSA\Share1\\FSA\Share2
Ein einzelner NameEinfach
Einfach zu verwalten
Active-Passive Multiple File Servers2+ logische File Server2+ virtuelle IP AdressenZugriff auf unterschiedliche Cluster Knoten
\\FSA\Share1\\FSB\Share1
Bessere HardwarenutzungKomplexer zu verwaltenMehrere Namen
Name=FSA
IP=10.1.1.3
FSA=10.1.1.3
Client
File Server Cluster
Active for FSA Active for FSB
Name=FSA
IP=10.1.1.3
FSA=10.1.1.3
FSB=10.1.1.4
Client
Name=FSB
IP=10.1.1.4
\\FSB\Share1
\\FSA\Share1
\\FSA\Share2
\\FSA\Share1
SMB Scale out – Was ist neu?
Click icon to add pictureAusgelegt für Server-app-SpeicherBeispiele: Hyper-V und SQL Serverdurch Hinzufügen von Knoten im cluster, Erhöhung derverfügbaren Bandbreite
Kernfähigkeiten:Active/Active file sharesFehlertoleranz mit keinerlei AusfallzeitenSchnelle WiederherstellungTransparentes CHKDSKUnterstützung für app konsistente snapshotsUnterstützung für RDMA aktivierte NetzwerkeOptimierung für Server-AnwendungenEinfache Verwaltung
Single File System Namespace
Cluster Shared Volumes
Single Logical File Server (\\FS\Share)
Hyper-V Cluster(Up to 64 nodes)
File Server Cluster
(Up to 8 nodes)
Data Center Network
(Ethernet, InfiniBand or combination)
SMB Scale out – eine neue Server Rolle
Click icon to add pictureEin neuer File Server TypDateiserver für lineares Skalieren der AnwendungsdatenVerwalten Sie alle Knoten wie einen einzelnen Server
Benutzt zusätzlich:Clustered Shared Volumes (CSV)
Einzelner Dateisystem Namespace – keine LaufwerkbuchstabenCSV-Volumen sind auf allen Knoten im Cluster online
Distributed Network Name (DNN name)Verwaltet die DNS Registrierung der DNS einträgeRound Robin DNS um die clients zu verteilen
Anforderungen:Windows Failover Cluster mit CSVFile Server Cluster und Application Cluster müssen mit Windows Server 2012 laufenSMB1 und ältere Clients können sich nicht verbinden
Netzwerkkarten
NIC Teaming … endlich
Netzwerkarten Teaming
Ermöglicht höheren Durchsatz und gesteigerte Verfügbarkeit dank Failover und Lastenausgleich
Vorteil der Netzwerkfehlertoleranz ohne Notwendigkeit einer Teaming-Lösung eines Drittanbieters
Gemeinsame Verwaltungs-Tools für alle Adaptertypen
Team interfaces (tNICs)Team interfaces können in den folgenden Modi laufen:Standard modus: verarbeitet jedes Paket das nicht an eine andere VLAN ID gesendet wirdVLAN modus: verarbeitet nur den Verkehr für das betreffende VLAN
Eingehender Datenverkehr wird immer an höchstens eine Team-Schnittstelle übergeben.
TEAM
VLAN=42
Default
(all but 42)
TEAM
VLAN=42
VLAN=99
Black
hole
TEAM
Default
Hyper-V switch
Team interface – Team ErstellungWenn ein NIC team erstellt wird, braucht es mindestens ein InterfaceTeam interfaces können wie jedes andere Interface umbeannt warden (Rename-NetAdapter cmdlet)Team interfaces werden in der Get-NetAdapter Ausgabe angezeigtNur das erste (primäre) team interface kann in den Default Modus gesetzt werden
Teaming in einer VM ist supportedBegrenzt auf einen Switch/Network mit Hash ModeTeams von zwei Member ist supported Optimiert für die Unterstützung von SR-IOV vNICs kann aber auch mit normalen vNICs verwendet werdenMuss am Vswitch konfiguriert werden
Limitierungen von NIC Teaming
Maximale Anzahl der NICs im team: 32Maximale Anzahl von ge-teamten Interfaces: 32Maximale Anzahl von teams in einem Server: 32
Systemabhänging können die Limits niedriger ausfallen (Kernel Memory, etc)
© 2012 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a
commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.
© 2012 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a
commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.
top related