跨邊界的連接

Windows Server 2012 是一個面向云計算的高度優化的操作系統。遠程訪問中 站點到站點VPN功能實現了企業之間和托管服務提供商之間的跨邊界連接。跨邊界連接使得組織能夠連接到托管云網絡中的專屬子網。同時也實現了地域分散的企業之間的連接。

通過跨邊界的連接功能，您可以通過現有的網絡設備使用基于行業標準的 Internet 密鑰交換版本2（IKEv2）和IPSec 協議來連接到托管服務提供者。

下圖演示了兩個組織如何使用 Windows Server 2012 來實現跨邊界的部署：

以下是圖中介紹的 Contoso 和 Woodgrove 使用跨邊界的部署方式的詳細步驟：

1. Contoso.com 和 Woodgrove.com 將它們組織的一些企業基礎架構放置在了托管云當中。

2. 托管服務提供商為每個組織提供了專屬的私有云。

3. 在托管的云當中，運行 Windows Server 2012 的虛擬機被配置成為遠程訪問服務器，運行著站點到站點VPN。

4. 每個托管的私有云當中，均部署了由兩個或更多的遠程訪問服務器組成的群集，以提供持續的可用性和災備。

5. Contoso.com 擁有兩個分支辦公室位置。在每個位置都部署一臺 Windows Server 2012 遠程訪問服務器，以提供到托管的云和分支辦公室之間的跨邊界的連接解決方案。

6. Contoso.com 分支辦公室計算機運行 Windows Server 2012 中的遠程訪問服務器角色，也同時被配置成為多站點部署中的 DirectAccess 服務器。DirectAccess 客戶端可以從 Internet 上的任意地點訪問 Contoso.com 公共云或 Contoso.com 分支辦公室當中的任意資源。

7. 因為 Windows Server 2012 中的跨邊界功能遵循 IKEv2 和 IPSec 標準，Woodgrove.com 可以使用現有的路由器來連接到托管云。

改進的管理體驗

通過使用新的遠程訪問管理控制臺，您可以通過單個的管理界面來配置、管理和監控多個DirectAccess 和 VPN 遠程訪問服務器。控制臺提供了一個儀表盤，使您能夠查看關于服務器和客戶端的活動信息。您還可以通過創建報告，來獲取額外的、更詳細的信息。運營狀態提供了關于特定的服務器組件的全面的監控信息。事件日志和跟蹤幫助診斷具體的問題。通過使用客戶端監控，您可以查看已連接用戶和計算機的詳細視圖，甚至還可以監控客戶正在訪問哪些資源。賬戶數據可以被記錄到本地數據庫或遠程身份驗證撥號用戶服務（RADIUS）服務器。

除了遠程訪問管理控制臺，您還可以使用 Windows PowerShell 命令行接口工具和自動化的遠程訪問建立、配置、管理、監控和問題診斷腳本。

在客戶端計算機上，用戶可以訪問網絡連接助手（NCA）應用程序，該工具集成在 Windows 網絡連接管理器中，通過該工具可以查看 DirectAccess 連接狀態和用于訪問企業幫助資源的鏈接、同時提供了診斷工具、問題診斷信息的簡潔視圖。如果配置了用以 DirectAccess 連接的一次性口令（OTP），用戶還可以輸入該口令進行身份驗證。

易于部署

Windows Server 2012 提供的增強的安裝和配置設計，使您能夠在無需改變您的內部網絡基礎架構的情況下構建一個工作環境部署。在簡化后的部署當中，您無需設置證書基礎架構即可以配置DirectAccess。DirectAccess 客戶端現在僅使用 Active Directory 證書即可進行身份驗證；并且無需計算機進行驗證。此外，您還可以選擇為IP-HTTPS 和網絡地址身份驗證使用由DirectAccess 自動創建的自簽名的證書。

為進一步簡化部署，Windows Server 2012 DirectAccess 支持訪問僅運行 IPv4 的內部服務器。DirectAccess 部署無需 IPv6 基礎架構。

新的、改進的部署場景

Windows Server 2012 中的遠程訪問服務器角色包含了額外的功能改進，包括針對一系列場景的集中式部署。這些包括強制連接隧道（以 DirectAccess 連接的方式發送所有的傳輸數據）、網絡訪問保護（NAP）的合規性情況、支持分布在不同地域中的 DirectAccess 客戶端來定位最近的遠程訪問服務器、以及部署只用作遠程管理的DirectAccess。

通過 Windows Server 2012，您現在可以通過使用兩個網絡適配器，以在網絡邊界中或在網絡邊界設備之后的方式進行部署；或以運行在防火墻或 NAT 設備之后的方式使用一個網絡適配器的配置DirectAccess 服務器。對單一網絡適配器的支持，避免了 DirectAccess 部署過程中必須指定公用IPv4 地址的要求，通過該配置，客戶端將使用 IP-HTTPS 連接到 DirectAccess 服務器。

在 Windows Server 2012 中，您可以在多站點部署方式下配置遠程訪問服務器，使得用戶能夠根據地理位置來連接到多站點當中距離他們最近的連接點。您可以通過使用外部的全局負載均衡器，來分配和平衡多站點之間的動態負載。為了支持容錯、冗余、和擴展性，DirectAccess 服務器現在可以部署在群集配置環境當中，使用 Windows 負載均衡器或外部的硬件負載均衡器來進行動態負載的均衡。

Windows Server 2012 中的 DirectAccess 增加了對使用一次性口令（OTP）的雙重因素身份驗證的支持。

對于雙重因素智能卡身份驗證，Windows Server 2012 支持使用基于可信平臺模塊（TPM）實現的虛擬智能卡功能，該功能在 Windows 8 被支持。客戶端計算機中的TPM可以扮演雙重因素智能卡身份驗證的虛擬智能卡角色，從而降低了在智能卡部署當中的開支和成本。

Windows Server 2012 引入了支持計算機加入 Active Directory 域，并通過 Internet 遠程接收域設置的功能。通過使用這一功能，您將會發現在遠程辦公室當中部署新的計算機，向DirectAccess 客戶端提供客戶端設置變得更加容易。

您可以配置運行 Windows 8、Windows 7 和 Windows Server 2008 R2 的客戶端計算機作為DirectAccess 客戶端。運行 Windows 8 的客戶端可以訪問所有 DirectAccess 功能，而且在從位于需要身份驗證的代理服務器之后發起連接到應用場景中，這些客戶端擁有比其他客戶端改進的用戶體驗。非 Windows 8 客戶端存在以下局限性：

必須下載并安裝 DirectAccess 連接助手工具。

要提供一個計算機證書來進行身份驗證。

在多站點的部署當中，必須被配置成為一直使用相同的連接點進行連接。

擴展能力的改進

遠程訪問提供了一系列擴展能力的改進，包括支持為更多的用戶以更低的成本提供更好的性能：

您可以群集多個遠程訪問服務器以進行負載平衡、持續的可用性、以及故障轉移。群集負載可以通過使用Windows 網絡負載均衡（NLB）或第三方的負載均衡器來進行負載均衡。服務器無需中斷現有的連接即可實現添加到群集或從群集當中刪除。

遠程訪問服務器角色引入了單根 I/O 虛擬化（SR-IOV）的優勢，借此可改進在虛擬機上運行時的 I/O 性能。此外，遠程訪問還通過支持 IPSec 硬件卸載功能，提高了服務器主機整體的可擴展性，這一功能被廣泛應用在很多服務器的接口卡上，實現了硬件層面的數據包加密和解密。

使用 IPSec 提供的加密功能實現 IP-HTTPS 的優化改進。這種優化，消除了對安全套接字（SSL）加密環境的需求，提高了可擴展性和性能。