Windows11/10のリモートアクセスを使用したAlwaysOnVPNの展開

DirectAccessは、Windowsユーザーがリモートで接続できるようにする機能としてWindows8.1およびWindowsServer2012オペレーティングシステムに導入されました。ただし、 Windows 11/10のリリース後 、このインフラストラクチャの展開は減少しています。 Microsoftは、DirectAccessソリューションを検討している組織に対して、代わりにWindows10でクライアントベースのVPNを実装することを積極的に奨励してきました。このAlways On VPN 接続は、IKEv2、SSTP、L2TP/IPsecなどの従来のリモートアクセスVPNプロトコルを使用してDirectAccessのようなエクスペリエンスを提供します。さらに、いくつかの追加の利点もあります。

この新機能は、Windows 10 Anniversary Updateで導入され、IT管理者が自動VPN接続プロファイルを構成できるようになりました。前述のように、AlwaysOnVPNにはDirectAccessに比べていくつかの重要な利点があります。たとえば、AlwaysOnVPNはIPv4とIPv6の両方を使用できます。したがって、DirectAccessの将来の実行可能性について懸念があり、 Always On VPNをサポートするためのすべての要件を満たしている場合 Windows 10では、おそらく後者に切り替えるのが正しい選択です。

Windows11/10クライアントコンピューターのVPNでは常に

このチュートリアルでは、Windows11/10を実行しているリモートクライアントコンピューターにリモートアクセスAlwaysOnVPN接続を展開する手順について説明します。

先に進む前に、次のことを確認してください。

• 1つ以上のドメインネームシステム（DNS）サーバーを含むActiveDirectoryドメインインフラストラクチャ。
• 公開鍵インフラストラクチャ（PKI）およびActive Directory証明書サービス（AD CS）。

リモートアクセス常時VPN展開を開始するには 、WindowsServer2016を実行している新しいリモートアクセスサーバーをインストールします。

次に、VPNサーバーで次のアクションを実行します。

1. 物理サーバーに2つのイーサネットネットワークアダプタをインストールします。 VPNサーバーをVMにインストールする場合は、物理ネットワークアダプターごとに1つずつ、2つの外部仮想スイッチを作成する必要があります。次に、VM用に2つの仮想ネットワークアダプターを作成し、各ネットワークアダプターを1つの仮想スイッチに接続します。
2. サーバーをエッジファイアウォールと内部ファイアウォールの間の境界ネットワークにインストールします。1つのネットワークアダプターを外部境界ネットワークに接続し、1つのネットワークアダプターを内部境界ネットワークに接続します。

上記の手順を完了したら、リモートアクセスをインストールして、リモートコンピューターからのポイントツーサイトVPN接続用のシングルテナントVPNRASゲートウェイとして構成します。リモートアクセスをRADIUSクライアントとして構成して、接続要求を組織のNPSサーバーに送信して処理できるようにしてください。

認証局（CA）からVPNサーバー証明書を登録して検証します。

NPSサーバー

知らない場合は、組織/企業ネットワークにインストールされているのはサーバーです。 VPNサーバーからの接続要求を受信できるようにするには、このサーバーをRADIUSサーバーとして構成する必要があります。 NPSサーバーは、要求の受信を開始すると、接続要求を処理し、承認と認証の手順を実行してから、Access-AcceptまたはAccess-RejectメッセージをVPNサーバーに送信します。

ADDSサーバー

サーバーはオンプレミスのActiveDirectoryドメインであり、オンプレミスのユーザーアカウントをホストします。ドメインコントローラで次の項目を設定する必要があります。

1. コンピューターとユーザーのグループポリシーで証明書の自動登録を有効にする
2. VPNユーザーグループを作成する
3. VPNサーバーグループを作成する
4. NPSサーバーグループを作成する
5. CAサーバー

証明機関（CA）サーバーは、ActiveDirectory証明書サービスを実行している証明機関です。 CAは、PEAPクライアント/サーバ認証に使用される証明書を登録し、証明書テンプレートに基づいて証明書を作成します。したがって、最初に、CAで証明書テンプレートを作成する必要があります。組織のネットワークへの接続を許可されているリモートユーザーは、ADDSのユーザーアカウントを持っている必要があります。

また、ファイアウォールがVPN通信とRADIUS通信の両方に必要なトラフィックを正しく機能させることを許可していることを確認してください。

これらのサーバーコンポーネントを配置する以外に、VPNを使用するように構成するクライアントコンピューターがWindows11/10を実行していることを確認してください。 Windows VPNクライアントは高度に構成可能であり、多くのオプションを提供します。

このガイドは、オンプレミスの組織ネットワークにリモートアクセスサーバーの役割を持つAlwaysOnVPNを展開するために作成されています。 Microsoft Azureの仮想マシン（VM）にリモートアクセスを展開しようとしないでください。

詳細と構成手順については、このMicrosoftドキュメントを参照してください。

また読む ：WindowsでAutoVPNをセットアップして使用してリモート接続する方法。