Definition Was ist DirectAccess?

DirectAccess ist eine proprietäre Microsoft-Lösung. Sie ist in Windows-Umgebungen als Alternative zu konventionellen VPNs einsetzbar. Mit ihr lassen sich Remote-Clients sicher über das Internet mit zentralen Anwendungen verbinden. Microsoft rät inzwischen von der Verwendung ab und empfiehlt stattdessen das modernere und flexiblere Always On VPN.

DirectAccess ist eine Microsoft-Lösung für Windows-Umgebungen, mit der sich sichere und geschützte Verbindungen zu zentralen Ressourcen über das öffentliche Internet herstellen lassen. Die Lösung ist proprietär und in die Windows-Client- und Windows-Server-Betriebssysteme integriert.

DirectAccess stellt eine Alternative zu herkömmlichen VPN-Verbindungen dar. Die Kommunikation findet komplett verschlüsselt in IPsec-Tunneln statt. Für den Datenaustausch verwendet das Verfahren das IPv6-Protokoll. Steht IPv6 nicht oder nur beschränkt zur Verfügung, tunnelt DirectAccess die IPv6-Verbindungen über herkömmliches IPv4.

Die Clients bauen mit DirectAccess die Verbindung zum zentralen Netzwerk automatisch beim Start auf. Es muss keine separate Software auf den Endgeräten installiert werden und das Initiieren einer Verbindung durch den Anwender entfällt. Die Clients erkennen selbständig, ob sie sich innerhalb oder außerhalb des Zielnetzwerkes befinden. Je nach Ergebnis bauen sie direkte Verbindungen oder mit IPsec verschlüsselte Tunnel über das öffentliche Internet auf.

Das automatische Verbinden der Remote-Clients bietet Vorteile bei der Verwaltung der Rechner, da die Endgeräte prinzipiell immer erreichbar sind. Ist DirectAccess eingerichtet, sind keine Anwenderaktionen erforderlich. Die Anbindung verhält sich aus Anwendersicht transparent und zeigt außer eventueller Bandbreiteneinschränkungen aufgrund der Internetkonnektivität keine Unterschiede zu lokalen Netzwerkanbindungen. Für die Administratoren ist der mobile Client für Updates oder für den Support immer erreichbar.

Microsoft hat DirectAccess inzwischen abgekündigt und rät von der weiteren Verwendung dieser Lösung ab. Anstatt DirectAccess empfiehlt Microsoft für neue Bereitstellungen die modernere und flexiblere Lösung Always On VPN.

Was sind die Voraussetzungen für die Nutzung von DirectAccess?

Auf Client-Seite ist für DirectAccess eine kompatible Windows-Version ab Windows 7 Ultimate oder Enterprise Edition notwendig. Aktuelle Versionen wie Windows 10 oder Windows 11 Enterprise unterstützen DirectAccess ebenfalls. Auf der Server-Seite wird DirectAccess ab Windows Server 2008 R2 unterstützt. Nachfolgeversionen wie Windows Server 2012, 2016, 2019, 2022 und 2025 unterstützen DirectAccess ebenfalls. In zukünftigen Windows-Versionen soll die Unterstützung von DirectAccess gegebenenfalls nicht mehr enthalten sein.

Zu den weiteren Voraussetzungen zählen Active Directory, Gruppenrichtlinien, internes DNS für die Namensauflösung, eine PKI-Umgebung (Public-Key-Infrastruktur) und Zertifikate sowie aktivierte Windows-Firewalls. Sind die Voraussetzungen erfüllt, können in die Domäne eingebundene Clients Verbindungen mit DirectAccess herstellen.

Wie funktioniert DirectAccess?

Wird ein Client-Rechner mit DirectAccess-Funktion gestartet, versucht er im ersten Schritt einen definierten, im privaten Netz erreichbaren Server, den so genannten Network Location Server (NLS), zu kontaktieren. Ist der Server erreichbar, weiß der Client, dass er sich bereits im Unternehmensnetzwerk befindet, und muss keine weiteren Aktionen durchführen.

Kann der Server nicht erreicht werden, beginnt der Client den Verbindungsaufbau zum Unternehmensnetzwerk über einen gesicherten IPsec-Tunnel. Steht kein IPv6-Netzwerk für den Aufbau des Tunnels zur Verfügung, verpackt der Client IPv6 in IPv4. Ist die IPsec-Verbindung etabliert, kann sich der Anwender mit seinen Benutzerdaten an der Windows-Domäne wie in einem lokalen Netz anmelden.

Microsoft setzt bei DirectAccess konsequent auf die Verwendung des IPv6-Protokolls. Bei nativen IPv6-Verbindungen entfallen die aus dem IPv4-Umfeld bekannten und teilweise hinderlichen Techniken wie NAT oder VPN-Tunnel. Um DirectAccess auch verwenden zu können, wenn keine durchgängige IPv6-Unterstützung besteht, kann DirectAccess IPv6 über IPv4-Netzwerke tunneln. Microsoft hat hierfür das Teredo-Protokoll (RFC 4380) als IPv6-Übergangsmechanismus implementiert und an dessen Entwicklung maßgeblich mitgearbeitet. Teredo kapselt IPv6-Daten über UDP in IPv4. Selbst IPv6-Verbindungen hinter einem Router ohne IPv6-Unterstützung, der Network Address Translation (NAT) nutzt, sind dank Teredo möglich. Teredo funktioniert zudem über öffentliche WLANs oder Mobilfunknetze. Für die Überbrückung von IPv4-Strecken kann alternativ das Netzwerk-Tunneling-Protokoll IP-HTTPS (IP over HTTPS) zum Einsatz kommen.

Eine Besonderheit von DirectAccess ist, dass für die Kommunikation mindestens zwei Tunnel eingerichtet werden. Beim ersten Tunnel handelt es sich um einen IPsec-ESP-Tunnel (Encapsulating Security Payload) für den Zugriff auf einen DNS-Server und den Domänencontroller. Der Tunnel nutzt ein Computerzertifikat und ermöglicht das Herunterladen von Gruppenrichtlinien auf den Rechner. Mithilfe dieser Richtlinien kann die Authentifizierung des Benutzers angefordert werden.

Der zweite Tunnel ist ebenfalls ein IPsec-ESP-Tunnel, verwendet aber Zertifikat- und Anmeldeinformationen des Benutzers. Dieser Tunnel ist für die eigentliche Authentifizierung und den Zugriff auf die benötigten Ressourcen oder Server vorgesehen. Grundsätzlich bestehen zwei Möglichkeiten, wie sich ein Client mit einem Server verbinden kann. Es sind End-to-End- oder End-to-Edge-Verbindungen möglich.

Bei der End-to-End-Verbindung besteht ein durchgängiger IPsec-Schutz zwischen Client und Anwendungsserver. Das stellt den größtmöglichen Schutz sicher. Die End-to-Edge-Verbindung terminiert den IPsec-Schutz auf dem DirectAccess-Server. Von dort aus leitet der DirectAccess-Server den Datenverkehr ohne besonderen Schutz an die Anwendungsserver weiter. Da es sich auf dem zweiten Verbindungsabschnitt in der Regel um das geschützte Intranet handelt, ist eine gesonderte Verschlüsselung nicht zwingend erforderlich.

Welche Vorteile bietet DirectAccess im Vergleich zu konventionellen VPNs?

DirectAccess bietet gegenüber konventionellen VPNs einige Vorteile. Anstatt per Einwahl über einen VPN-Client verbindet sich der betreffende Rechner direkt beim Starten automatisch mit den Firmenrechnern. Dadurch ist der mobile Client zentralseitig immer erreichbar und kann beispielsweise mit Updates oder neuen Gruppenrichtlinien versorgt werden. Auch die aus der VPN-Welt bekannten Probleme mit Rechnern hinter NAT-Routern werden mit DirectAccess vermieden. Auf dem Client selbst muss keine spezielle Software wie ein VPN-Client installiert sein, da alle benötigten Komponenten direkt im Windows-Betriebssystem integriert sind.

Die Clients verbinden sich über das Internet mit einer Windows-Domäne und profitieren von allen Vorteilen des Active Directory. Die komplette Verbindung ist verschlüsselt und funktioniert auch über Firewalls hinweg. Ist die DirectAccess-Umgebung einmal eingerichtet, sind weder vom Administrator noch vom Anwender Aktionen für die Verbindung mit der Windows-Domäne und den Anwendungsservern notwendig.

Administratoren können die Clients komfortabel aus der Ferne verwalten, ohne dass der Anwender eingreifen muss. Ein weiterer Vorteil ist, dass der Client selbständig erkennt, ob er sich im Firmennetz oder im Internet befindet. Handelt es sich um Laptops, die sowohl unterwegs als auch direkt in der Firma verwendet werden, sind sie ohne weitere Konfigurationen oder Userinteraktionen in beiden Umgebungen voll nutzbar.

Abkündigung von DirectAccess und die empfohlene Alternative Always On VPN

Microsoft hat DirectAccess 2024 offiziell als veraltete, nicht mehr weiterentwickelte Funktion gekennzeichnet und damit quasi abgekündigt. Die Unterstützung von DirectAccess ist in zukünftigen Betriebssystemversionen nicht mehr gesichert. Sie wird dort entfernt werden. Anstatt DirectAccess empfiehlt Microsoft für neue Bereitstellungen die Migration auf Always On VPN. Always On VPN wurde mit Windows Server 2016 und Windows 10 als Nachfolgeprodukt von DirectAccess eingeführt. Die Lösung gilt als moderner, flexibler, leistungsfähiger und zukunftssicherer. Sie unterstützt moderne Authentifizierungsmethoden, ist nativ über IPv4 oder IPv6 einsetzbar, bietet eine größere VPN-Protokollauswahl, integriert sich in Entra ID und lässt sich granularer steuern. Always On VPN eignet sich insbesondere auch sehr gut in Azure-Umgebungen oder Hybrid-Szenarien.

(ID:44790473)