Tweet
Trong nhiều năm, DirectAccess từng là giải pháp Remote Access được Microsoft khuyến nghị cho doanh nghiệp. Người dùng chỉ cần bật máy tính là có thể truy cập tài nguyên nội bộ mà không cần mở phần mềm VPN.
Tuy nhiên, DirectAccess tồn tại khá nhiều hạn chế:
Đó là lý do Microsoft giới thiệu Always On VPN như thế hệ VPN mới, linh hoạt và bảo mật hơn.
Always On VPN khác VPN truyền thống như thế nào?
Điểm khác biệt lớn nhất là tự động kết nối.
Với VPN truyền thống, người dùng phải nhớ mở ứng dụng VPN và nhấn Connect trước khi truy cập tài nguyên nội bộ.
Always On VPN loại bỏ hoàn toàn bước này.
Windows sẽ tự phát hiện khi người dùng cần truy cập tài nguyên của doanh nghiệp và tự động thiết lập kết nối VPN ở chế độ nền. Trải nghiệm gần giống như thiết bị đang kết nối trực tiếp trong mạng LAN. Hạ tầng cần có để triển khai
Always On VPN không chỉ là một máy chủ VPN mà là sự kết hợp của nhiều thành phần trong hạ tầng Windows Server.
Một hệ thống hoàn chỉnh thường bao gồm:
Điểm đáng chú ý là Always On VPN không bắt buộc sử dụng riêng RRAS. Doanh nghiệp có thể triển khai với nhiều giải pháp VPN hỗ trợ các giao thức và phương thức xác thực tương thích. Chứng chỉ số là thành phần không thể thiếu
Một trong những yêu cầu quan trọng nhất của Always On VPN là PKI.
Khác với nhiều hệ thống VPN chỉ sử dụng Username và Password, Always On VPN ưu tiên xác thực bằng chứng chỉ số (Certificate-Based Authentication), giúp tăng mức độ an toàn và giảm nguy cơ bị đánh cắp thông tin đăng nhập.
Thông thường sẽ có các loại chứng chỉ sau:
Nếu triển khai SSTP, doanh nghiệp có thể sử dụng chứng chỉ SSL công cộng (Public SSL Certificate) để tránh cảnh báo tin cậy từ Internet.
Nếu sử dụng IKEv2, VPN Server cần chứng chỉ được cấp bởi PKI nội bộ để thiết lập kênh VPN an toàn. User Tunnel và Device Tunnel khác nhau như thế nào?
Đây là khái niệm rất dễ nhầm khi mới triển khai Always On VPN. User Tunnel
User Tunnel chỉ được thiết lập sau khi người dùng đăng nhập Windows.
Kết nối VPN gắn với tài khoản người dùng, phù hợp để truy cập tài nguyên như File Server, ứng dụng nội bộ hoặc cơ sở dữ liệu. Device Tunnel
Device Tunnel được thiết lập ngay khi máy tính khởi động, trước cả màn hình đăng nhập Windows.
Điều này cho phép thiết bị liên lạc với Domain Controller từ xa để thực hiện các tác vụ quản trị như:
Device Tunnel yêu cầu máy tính phải được cấp Computer Authentication Certificate và thường áp dụng cho các thiết bị đã gia nhập miền (Domain-Joined).
Tích hợp tốt với hệ sinh thái Microsoft
Always On VPN được thiết kế để hoạt động cùng các dịch vụ bảo mật hiện đại của Microsoft như:
Nhờ khả năng tích hợp này, Always On VPN không chỉ đơn thuần là một giải pháp truy cập từ xa mà còn là một thành phần trong kiến trúc Zero Trust của Microsoft.
Kết luận
Always On VPN là bước tiến quan trọng so với các giải pháp VPN truyền thống và DirectAccess. Khả năng tự động kết nối, hỗ trợ xác thực bằng chứng chỉ số, tích hợp với Active Directory, NPS và các dịch vụ bảo mật như Azure MFA hay Conditional Access giúp doanh nghiệp xây dựng môi trường truy cập từ xa vừa thuận tiện cho người dùng, vừa đáp ứng các yêu cầu bảo mật hiện đại. Đây là lựa chọn phù hợp cho các tổ chức đang chuyển đổi sang mô hình làm việc linh hoạt và hạ tầng Hybrid Cloud.
Tuy nhiên, DirectAccess tồn tại khá nhiều hạn chế:
- Chỉ hỗ trợ máy tính đã Join Domain.
- Phụ thuộc nhiều vào IPv6 hoặc các cơ chế chuyển đổi IPv6.
- Khó triển khai và bảo trì.
- Không tương thích tốt với các mô hình Cloud Hybrid hiện nay.
Đó là lý do Microsoft giới thiệu Always On VPN như thế hệ VPN mới, linh hoạt và bảo mật hơn.
Always On VPN khác VPN truyền thống như thế nào?
Điểm khác biệt lớn nhất là tự động kết nối.
Với VPN truyền thống, người dùng phải nhớ mở ứng dụng VPN và nhấn Connect trước khi truy cập tài nguyên nội bộ.
Always On VPN loại bỏ hoàn toàn bước này.
Windows sẽ tự phát hiện khi người dùng cần truy cập tài nguyên của doanh nghiệp và tự động thiết lập kết nối VPN ở chế độ nền. Trải nghiệm gần giống như thiết bị đang kết nối trực tiếp trong mạng LAN. Hạ tầng cần có để triển khai
Always On VPN không chỉ là một máy chủ VPN mà là sự kết hợp của nhiều thành phần trong hạ tầng Windows Server.
Một hệ thống hoàn chỉnh thường bao gồm:
- VPN Gateway (RRAS hoặc giải pháp VPN tương thích)
- Network Policy Server (NPS) để thực hiện xác thực và cấp quyền truy cập
- Active Directory để quản lý danh tính người dùng và thiết bị
- Group Policy để triển khai cấu hình VPN tự động
- DNS Server để phân giải tên miền nội bộ
- Firewall cho phép lưu lượng VPN đi qua
- Public Key Infrastructure (PKI) để cấp chứng chỉ số phục vụ xác thực
Điểm đáng chú ý là Always On VPN không bắt buộc sử dụng riêng RRAS. Doanh nghiệp có thể triển khai với nhiều giải pháp VPN hỗ trợ các giao thức và phương thức xác thực tương thích. Chứng chỉ số là thành phần không thể thiếu
Một trong những yêu cầu quan trọng nhất của Always On VPN là PKI.
Khác với nhiều hệ thống VPN chỉ sử dụng Username và Password, Always On VPN ưu tiên xác thực bằng chứng chỉ số (Certificate-Based Authentication), giúp tăng mức độ an toàn và giảm nguy cơ bị đánh cắp thông tin đăng nhập.
Thông thường sẽ có các loại chứng chỉ sau:
- User Certificate: cấp cho mỗi người dùng để xác thực danh tính.
- Computer Certificate: bắt buộc khi triển khai Device Tunnel, dùng để xác thực thiết bị trước khi người dùng đăng nhập Windows.
- Server Authentication Certificate: cài trên VPN Server để chứng minh danh tính của máy chủ.
- NPS Certificate: sử dụng khi NPS thực hiện xác thực EAP-TLS hoặc PEAP.
Nếu triển khai SSTP, doanh nghiệp có thể sử dụng chứng chỉ SSL công cộng (Public SSL Certificate) để tránh cảnh báo tin cậy từ Internet.
Nếu sử dụng IKEv2, VPN Server cần chứng chỉ được cấp bởi PKI nội bộ để thiết lập kênh VPN an toàn. User Tunnel và Device Tunnel khác nhau như thế nào?
Đây là khái niệm rất dễ nhầm khi mới triển khai Always On VPN. User Tunnel
User Tunnel chỉ được thiết lập sau khi người dùng đăng nhập Windows.
Kết nối VPN gắn với tài khoản người dùng, phù hợp để truy cập tài nguyên như File Server, ứng dụng nội bộ hoặc cơ sở dữ liệu. Device Tunnel
Device Tunnel được thiết lập ngay khi máy tính khởi động, trước cả màn hình đăng nhập Windows.
Điều này cho phép thiết bị liên lạc với Domain Controller từ xa để thực hiện các tác vụ quản trị như:
- Áp dụng Group Policy.
- Cập nhật Windows.
- Triển khai phần mềm.
- Thực hiện các tác vụ quản lý thiết bị từ xa.
Device Tunnel yêu cầu máy tính phải được cấp Computer Authentication Certificate và thường áp dụng cho các thiết bị đã gia nhập miền (Domain-Joined).
Tích hợp tốt với hệ sinh thái Microsoft
Always On VPN được thiết kế để hoạt động cùng các dịch vụ bảo mật hiện đại của Microsoft như:
- Azure Multi-Factor Authentication (Azure MFA): bổ sung lớp xác thực đa yếu tố cho người dùng VPN.
- Azure Conditional Access: áp dụng chính sách truy cập dựa trên danh tính, thiết bị hoặc mức độ rủi ro.
- Windows Hello for Business: thay thế mật khẩu bằng xác thực sinh trắc học hoặc mã PIN kết hợp khóa mật mã.
- Windows Information Protection (WIP): bảo vệ dữ liệu doanh nghiệp, hạn chế rò rỉ thông tin giữa môi trường công việc và cá nhân.
Nhờ khả năng tích hợp này, Always On VPN không chỉ đơn thuần là một giải pháp truy cập từ xa mà còn là một thành phần trong kiến trúc Zero Trust của Microsoft.
Kết luận
Always On VPN là bước tiến quan trọng so với các giải pháp VPN truyền thống và DirectAccess. Khả năng tự động kết nối, hỗ trợ xác thực bằng chứng chỉ số, tích hợp với Active Directory, NPS và các dịch vụ bảo mật như Azure MFA hay Conditional Access giúp doanh nghiệp xây dựng môi trường truy cập từ xa vừa thuận tiện cho người dùng, vừa đáp ứng các yêu cầu bảo mật hiện đại. Đây là lựa chọn phù hợp cho các tổ chức đang chuyển đổi sang mô hình làm việc linh hoạt và hạ tầng Hybrid Cloud.
Attached Files