Cuando implementamos un nuevo servicios en nuestra empresa o cliente, siempre debemos tener la posibilidad implementarlo en Alta Disponibilidad. DirectAccess es un servicio de acceso remoto que permite estar permanentemente conectado de forma segura a nuestra organización, y con la llegada de Windows Server 2012 se ha simplificado su implementación. Los requisitos en cuanto al direccionamiento IP Público es mejor que con Windows Server 2008, por lo que se ha vuelto un servicio muy demandado por las empresas. De ahí que necesitemos configurarlo en Alta Disponibilidad …
En un primer artículo (
Windows Server 2012: DirectAccess (Actualizado 15-02-2013)) había explicado como configurar DirectAccess con un único servidor, por lo que esto no lo volveré a comentar en este artículo. Partiendo de la base de que ya tenemos uno de los servidores de DirectAccess funcionando, estos son los pasos que debemos dar para configurar un segundo serrvidor de DirectAccess y posteriormente configurar el equilibro de carga con Windows NLB:
- Crear un certificado con la plantilla de Servidor Web para el servidor de ubicación de red (debemos importarlo en todos los servidores del clúster)
- Creamos un registro DNS con el nombre del certificado asignado al primer servidor del clúster NLB
- Si utilizamos máquinas virtuales en Hyper-V debemos habilitar la suplantación de dirección MAC en todos los servidores del clúster NLB
- Instalamos el ROL de Equilibrio de carga de red en los servidores del cluster (un máximo de 8 nodos)
- Instalamos el ROL de Acceso Remoto en el segundo servidor para configurar DirectAccess (pero no lo configuramos)
- Configuramos el Equilibrio de carga en el primer servidor de DirectAccess
- Añadimos el segundo servidor de DirectAccess (sin configurar) al Clúster de Equilibrio de carga
- Comprobación del funcionamiento del Clúster de Equilibrio de Carga
Pues teniendo claro estos puntos, vamos a empezar paso a paso a configurar el clúster de equilibrio de carga para DirectAccess pero antes os muestros lo datos de configuración IP de ambos servidores:
SRV-DA00
- Interface LAN: 192.168.250.96 /24
- Interface WAN: 172.16.0.3 /27
SRV-DA01
- Interface LAN: 192.168.250.92 /24
- Interface WAN: 172.16.0.5 /27
Ahora ya podemos empezar con la configuración del clúster de equilibrio de carga para DirectAccess, lo haremos punto a punto para no equivocarnos:
-
Crear un certificado con la plantilla de Servidor Web para el servidor de ubicación de red (debemos importarlo en todos los servidores del clúster)
Debemos solicitar un certificado para el servicio de ubicación de red, con la plantilla del Servidor Web y de tal forma que podamos exportarlo con su clave privada para importarlo en todos los servidores del clúster. Para solicitar un certificado a nuestra CA podemos hacerlo de varias formas, pero yo lo haré desde la consola de Certificados de Equipo Local (Inicio – Ejecutar – certlm.msc) y nos vamos al contenedor Personal – Certificados, pulsamos con el botón secundario del ratón y vamos a Todas las tareas – Solicitar un nuevo certificado
Pulsamos en Siguiente
En el listado de certificados de equipo disponibles tenemos la plantilla de Servidor Web y pulsamos en Se necesita más información para inscribir este certificado. Haga clic aqui para configurar los valores
Seleccionamos la opción de Nombre común en la opción Nombre de sujeto, escribimos el FQDN para el certificado y pulsamos en Agregar
En la pestaña Clave privada debemos habilitar la casilla Hacer exportable la clave privada (lo que nos permitirá exportarlo con la clave privada e importarlo en el resto de servidores)
Una vez que hemos completado los datos necesarios en la solicitud del certificado, únicamente debemos completar la solicitud y si todo ha ido bien ya tenemos nuestro certificados instalado en el primer servidor de DirectAccess
Ahora debemos asignar este certificado en el servidor de ubicación de red en la consola de administración de DirectAccess, pulsamos en editar en el paso 3
Pulsamos en examinar para seleccionar el certificado que hemos solicitado previamente
Una vez que lo hemos seleccionamos nos podemos encontrar con el siguiente error, esto es porque existe un proceso de verificación del certificado en cuanto al nombre del mismo y debe resolverlo vía DNS.
Como previdamente no hemos creado ( o sí, yo no lo he creado para poder mostrar este error) el registro DNS (Tipo A o CNAME) en el sevidor DNS interno, por lo que debemos crear un registro DNS con el FQDN del sujeto del certificado (en mi caso: directaccess.asirsl.com) y la IP debe corresponderse con la del servidor de DirectAccess. Una vez que tengamos esto creado, volvemos a inciar el proceso de asignación del nuevo certificado al servidor DirectAccess y debería dejarnos continuar con la configuración y pulsamos en siguiente
Por defecto el FQDN del certificado se agrega como sufijo de nombre sin servidor DNS preferido, de tal forma que el equipo intentará resolver el nombre con sus propios DNS y sin el tunel IPSec de DirectAccess conectado. Pensad que este servicio de descubrimiento de servidor de ubicación de red se utilizar para saber si estamos dentro o fuera de la red corporativa y que nuestro equipo trate de conectarse, pulsamos en siguiente
Pulsamos en Siguiente
Pulsamos en ulsamos en Finalizar
Y por últimos debemos pulsar en finalizar para publicar los cambios en las GPO correspondientes
Pulsamos en Aplicar para finalizar el proceso
Si tenéis usuarios conectados vía DirectAccess tendrán que recibir la actualización de las directivas antes de poder volver a conectarse, tenerlo en cuenta antes de modificar la configuración. Ahora debemos exportar el certficado que hemos solicitado con el numbre nombre en este primer servidor de DirectAccess e importarlo en el almacén de certificados de equipo del otro servidor de DirectAccess. El proceso de importación es muy sencillo, pero igualmente voy a poner las capturas de pantalla (sin comentarios)
Además de este certificado, debemos tener importado también en todos los nodos del clúster el certificado utiizado para el IP-HTTPS y asignado a la interface pública. Por lo que debemos exportar el certificado (este certificado puede ser de una CA Pública) del servidor de DirectAccess que ya tenemos configurado e importarlo en el resto de servidores de DirectAccess antes de configurar el clúster
2. Creamos un registro DNS con el nombre del certificado asignado al primer servidor del clúster NLB
Esto es un paso muy sencillo, únicamente debemos ir al servidor DNS interno, abrir la consola de administración del servidor DNS y crear un registro Tipo A con los siguientes datos:
Esto es necesario para no encontrarnos con el error anterior de asignación del certificado de servidor de ubicación de red.
3. Si utilizamos máquinas virtuales en Hyper-V debemos habilitar la suplantación de dirección MAC en todos los servidores del clúster NLB
Esto debemos configurarlo para no tener problemas con el NLB y las direcciones MAC reales de las máquinas virtuales y cada interface de red.
4. Instalamos el ROL de Equilibrio de carga de red en los servidores del cluster (un máximo de 8 nodos)
Una vez que hemos habilitado la suplantación de dirección MAC en cada servidor de DirectAccess que formarán parte del clúster de Equilibrio de carga de red, debemos instalar justarmente esta esta característica de Equilibrio de carga en cada servidor. Para ello vamos a la consola de Administrador del Servidor – Administrar – Agregar Roles y Características y pulsamos en siguiente
Elegimos la primera oción: Instalación basada en características o en roles y pulsamos en siguiente
Elegimos el servidor sobre el cual queremos agregar esta nueva característica y pulsamos en siguiente
En la sección de características seleccionamos Equilibrio de carga de red
Pulsamos en Agregar características
Pulsamos en Siguiente
Pulsamos en Instalar
Una vez que finalice la instalación de la nueva características, pulsamos en Cerrar
Nota: Este mismo proceso debemos hacerlo en el resto de servidores que formarán parte del clúster
5. Instalamos el ROL de Acceso Remoto en el segundo servidor para configurar DirectAccess (pero no lo configuramos)
En el segundo servidor en el cual vamos a configurar el Acceso Remoto para configurar DirectAccess, debemos configurar el ROl de Acceso Remoto pero esto podéis verlo en este artículo: Windows Server 2012: DirectAccess (Actualizado 15-02-2013)
6. Configuramos el Configuramos el Equilibrio de carga en el primer servidor de DirectAccess
Hasta el momento tenemos dos servidores con el Rol de Acceso Remoto, pero solo uno configurado con DirectAccess. Ambos servidores los hemos unido al dominio y tienen el nuevo certificado instalado localmente. Esto lo vamos a necesitar porque el servicio de ubicación de red es algo común para todos los servidores de DirectAccess del clúster, y cuando alguno de ellos no esté disponible el otro debe tenerlo disponible para que los equipos puedan conectarse. También hemos configurado un registro DNS con el FQDN que hemos especificado en nombre común del certificado apuntando a la IP del servidor que ahora mismo tiene el DirectAccess configurado, y podemos comprobar que todo está correctamente configurado desde la consola de DirectAccess:
Además los dos servidores (máximo 8) que estarán en nuestro clúster tienen los siguientes direccionamientos IP:
SRV-DA00
- Interface LAN: 192.168.250.96 /24
- Interface WAN: 172.16.0.3 /27
SRV-DA01
- Interface LAN: 192.168.250.92 /24
- Interface WAN: 172.16.0.5 /27
Con todo esto configurado, debemos empezar la configuración del equilibrio de carga desde la consola de administración de DirectAccess y se iniciará un asistente que nos facilitará la configuración, pulsamos en siguiente
Como nuestra configuración la haremos basándonos en NLB de Windows, debemos elegir la primera opción: Usar el equilibrio de carga de red de Windows (NLB) y pulsamos en siguiente
Debemos especificar las direcciones IP dedicadas para el adaptador externo, debe ser una IP diferente pero de la misma subred que la interface externa (IP actual 172.16.0.3) y que configurará a posteriori como la IP principal del servidor. Y la IP actual (172.16.0.3) se convertirá en la VIP (IP Virtual) asignada al clúster, por lo que la IP que escribiremos aquí será la IP que tendrá el servidor cuando se complete la configuración del NLB, pulsamos en siguiente
Y aquí lo mismo pero para la interface LAN, la IP que colocaremos aquí será la DIP que se asingará como principal en la red LAN del servidor, y la IP actual será la VIP del NLB, pulsamoe en siguiente
Ahora nos muestra un resumen de la configuración y pulsamos en Confirmar para completar la configuración
Sí todo se completa correctamente, se actualizarán las distintas GPO y NLB
Pulsamos en Cerrar
7. Añadimos el segundo servidor de DirectAccess (sin configurar) al Clúster de Equilibrio de carga
Debemos darle tiempo suficiente para que se complete la configuación (5 min debería ser suficiente) y una vez se haya completado la configuración, debemos agregar un servidor al clúster. Para ello abrimos la consola de administración de acceso remoto, pulsamos en Configuración y en las opciones de las Tareas en la parte de la derecha pulsamos en Agregar o quitar servidores
Nos muestra el único servidor que tenemos en el clúster, así que pulsamos en Agregar servidor …
Escribiemos el nombre del servidor que queremos agregar (SRV-DA01.ASIRSL.COM en nuestro caso) y pulsamos en siguiente
Ahora nos muestra las interfaces que tiene conectadas el servidor y el certificado que utilizará para presentar a los clientes (debe ser el mismo en todos los servidores, yo lo he importado previamente), pulsamos en Siguiente
Seleccionamos el certificado que utilizaremos para el servidor de ubicación de red, y tiene que ser el mismo en todos los servidores. Este certificado es el que previamente hemos solicitado, configurado, exportar e importado en nuestros servidores de DirectAccess y pulsamos en siguiente
Nos muestra el resumen de la configuración realizada y si está todo correcto pulsamos en agregar
Pulsamos en cerrar
Ahora ya tenemos dos servidores en nuestro clúster de carga equilibrada, pulsamos en Confirmar para finalizar la configuración
Ahora actualizará de forma automática la configuración de DirectAccess y las políticas de cliente y servidor
En el visor de eventos podemos ver como se ha configurado el clúster NLB y nos informa del servidor activo
Y sí nos vamos al servidor de virtualización, podemos ver la configuración de las direcciones MAC una vez que hemos configurado nuestro clúster NLB
En cuestión de minutos podemos ver que el clúster está funcionando correctamente y cada uno de los nodos activos y sin errores
8. Comprobación del funcionamiento del Clúster de Equilibrio de Carga
Ahora podemos y debemos realizar ciertas tareas para verificar que todo está correcto, como hemos configurado NLB en los servidores tenemos la consola de Administración de Equilibrio de carga de red
Si queremos realizar cualquier adaptación del clúster podemos hacerlo desde esta consola, por si en algún momento tenemos que modificar algúna dirección IP o comportamiento del NLB. Si accedemos a las propiedades del clúster de la red interna o externa podemos verificar los datos configurados:
Sí ahora desconectamos uno de los dos servidores, el otro se hará cargo de la conexiones de los clientes DirectAccess. En este caso he apagado el servidor SRV-DA00 (principal) y los clientes se han conectado al SRV-DA01
Como vemos en ocho pasos tenemos un clúster de NLB configurado para DirectAccess, sencillo y muy estable.
Espero que os sea de utilidad!!!
