“どこでも社内LAN”を実現する「DirectAccess」の実力|ネットワーク機器|トピックス|Computerworld

【最新モバイルPCとWindows 7で実現するビジネスの堅牢性　第3回】

“どこでも社内LAN”を実現する「DirectAccess」の実力

セキュアでシームレスなダイレクトアクセス!!

(2009年11月18日)

　Windows 7 Enterprise（およびUltimate）とWindows Server 2008 R2の組み合わせでできる「DirectAccess」は、これまでのリモート接続の概念をガラリと変える機能だ。同機能を活用すれば、クライアント側は複雑な設定をすることなく、外部のネットワークから社内LAN上のリソースにアクセスできる。「ビジネス・モバイル・ユーザーのための機能」と言っても過言ではない機能なのだ。

エンド・ユーザーの接続操作は一切不要

　現在、企業ネットワークへリモートからアクセスする手段は、VPNが主流である。しかし、Windows Server 2008 R2とWindows 7 Enterprise（およびUltimate）には、VPNとはまったく異なるテクノロジーである「DirectAccess」機能が提供されている。

　DirectAccessを導入すれば、エンドユーザー（クライアント）は社外のインターネット接続や、NATの背後からのプライベートIPアドレスによるインターネット接続など、どのようなネットワークからでも社内のLAN上にあるリソースに、シームレスにアクセスできる。

　設定は簡単だ。VPNのようにエンドユーザーが接続操作を行う必要はない。インターネット接続が有効な社外のクライアントは、ユーザーのログオン状態に関係なく、自動的にDirectAccessサーバを介して、社内LANにセキュアな状態で自動接続される。

　またクライアントがリモート環境であっても、Active Directoryドメインのクライアントとして機能するため、グループ・ポリシーの配布も受けることができる。もちろん、システム管理ツールによる管理対象としても認識される。エンドユーザーにとっても、システム管理者にとっても夢のような機能なのだ。

▲DirectAccessの利用イメージ

　とは言え、セキュリティ面で懸念を持つ人もいるだろう。DirectAccessで接続できるクライアントは、適切なIPSec証明書を持つ、Active Directoryドメインのクライアントに限定される。そのため、IPSecベースのVPN（L2TP/IPSecやIKEv2）と同等、あるいはそれ以上にセキュアな接続なのである。

　DirectAccessの利用に必要な構成のほとんどは、「DirectAccess管理コンソール」が生成する「グループポリシーオブジェクト（GPO）」によって設定され、サーバ／クライアントに展開される。もっとも、DirectAccessの利用設定はグループポリシーとして配布されるため、クライアント側で設定しなければならない項目は一切ない。