Lorsque l’on veut utiliser l’authentification AD dans des VM hébergées dans Azure, il y a un ensemble de précautions et de considérations à avoir en tête. Dans cette présentation ave Stanislas, revenons sur les aspects majeurs à considérer :
Un des prérequis est d’avoir une liaison site à site comme décrite ici :
Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :
Lorsque l’on veut interconnecter Windows Azure IaaS avec le datacenter d’entreprise, on a la possibilité d’utiliser le VPN site-à-site avec la passerelle Azure. Découvrez comment mettre cela en œuvre dans cette petite vidéo avec Stanislas !
Nous ne parlons pas dans cette démo de l’option MPLS, mais elle a été annoncée aux Etats Unis avec AT&T, on peut donc raisonnablement penser que cette option pourrait venir en Europe dans les mois prochains au fur et à mesure que des accords seront signés avec les opérateurs régionaux !
Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :
Windows Server 2012 R2 permet désormais de prendre des traces réseau et système à distance. Pour le mettre en œuvre vous devez d’abord télécharger Message Analyzer (le successeur de Network Monitor).
Ceci est possible grâce au tracing ETW (Event Tracing for Windows) pris en remoting WMI. Plutôt que de philosopher, regardons comment le mettre en place !
Première trace à distance
Au démarrage de MA, on sélectionne l’écran Capture/Trace et on obtient l’écran suivant :
On commence par spécifier l’hôte de capture. Par défaut c’est localhost mais on peut ajouter des machines Windows Server 2012 R2 (et Windows 8.1) distants comme ceci :
On fois l’hôte sélectionné, on spécifie les éléments que l’on veut tracer en sélectionnant le scénario (partie centrale de l’écran), ce qui a pour effet d’ajouter les composants à tracer dans la section de droite :
Dans cette liste on a le premier élément : Microsoft-Windows-NDIS-PacketCapture qui a une option Configure disponible :
On peut ainsi restreindre la capture :
a des machines virtuelles ou switch virtuel
a des cartes réseau physiques ou logiques
Mon petit conseil, n’oubliez pas de cocher la case “All layers” qui n’est pas mise par défaut. Si vous ne la cochez pas, la capture ne contiendra que les infos de bas niveau (udp/tcp). Une fois cela effectué, on lance la trace réseau avec le bouton Play et on génère un peu de trafic en utilisant le partage SMB sur mon serveur hyperspeed-2.
On obtient alors ce qui commence à ressembler à une trace réseau :
Pour ceux qui ont déjà mis en œuvre de l’Unified Tracing depuis Windows 7 cela devrait leur être familier car on a bien une trace réseau avec en plus des évènements de trace système.
De la couleur !
Si vous trouvez que la trace est un peu tristoune (c’est ce que beaucoup de clients reprochaient à Netmon, le manque de couleurs !!!), il y a maintenant par défaut un ensemble de filtres de couleurs pour discriminer rapidement les éléments d’une trace (le traffic Kerberos, les resets TCP, les débuts et fins de sessions TCP, etc.) :
Des Dashboards
Regardons rapidement quelques écrans intéressants de Message Analyzer comme les Dashboard de protocoles et les Flux SMB :
Voici le protocol Dashboard :
Celui-ci permet d’avoir un aperçu des trafic présents dans la trace, ainsi que de discriminer les volumes de trafic dans le temps. Il est interactif et permet par exemple de zoomer sur un protocole en particulier pour examiner les flux.
Le diagramme des flux SMB ressemble à ceci :
Ce deux vues par défaut ont été créées pour offrir une vue rapide sur les protocoles utilisées dans une conversation réseau ainsi que les fichiers échangés SMB dans une trace. Il existe bien d’autres subtilités dans Message Analyzer que nous découvrirons dans d’autres articles.
On est maintenant prêt à tracer à distance ce que se passe, sur une carte réseau physique ou virtuelle ou sur une VM ou un switch virtuel, et cela, c’est plutôt pratique !
Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :
IPAM (IP Address Management) est un service d’entreprise qui permet de gérer de manière centralisée, les informations concernant l’utilisation d’adresses IP au sein d’une organisation. Ceci se fait en en consolidant les informations provenant de l’Active Directory, du DHCP, du DNS, de NPS, de Virtual Machine Manager et même d’entrées manuelles (pour remplacer la bonne vieille fiche Excel de gestion des IP).
Gestion des espaces d’adressages virtualisés avec la virtualisation de réseau de System Center Virtual Machine Manager
Synchronisation des réseaux avec la notion de sites Active Directory
Définition pour granulaire des rôles (administration, vue uniquement d’une partie de l’espace d’adressage ou de noms)
Statistiques détaillées par zones (pour environnement hautement concentrés)
Support de SQL Server pour stocker les informations (dans 2012, uniquement avec Windows Integrated Database)
Support de DHCP amélioré (support de DHCP failover, de l’attribution d’adresses par stratégie, des superscopes, des filtres et réservations)
Support de PowerShell étendu
L’interface est désormais constituée de 7 parties principales :
Server inventory management
IP address space management
Virtualized address space
Management and Monitoring of DHCP and DNS
Event Catalog
IP address tracking
Access Control
Comme on peut le voir sur la capture suivante :
Prenons un peu de temps pour étudier quelques aspects.
Améliorations pour le support de DHCP :
Désormais l’interface principale d’IPAM permet de gérer quasiment l’ensemble des informations relatives aux espaces d’adressages configurables dans les MMC de DHCP. On peut ainsi administrer les relations de failover entre serveurs DHCP, gérer les attributions d’adresses par stratégies, les réservations, filtres et les superscopes.
Voici quelques unes des options de gestion d’une étendue DHCP :
On peut par exemple désormais configurer les stratégies d’attribution d’adresses directement dans IPAM :
Nous avons également une vue et une gestion des réservations intégrée, en sélectionnant la vue “Reservations” de la partie DHCP Scopes :
Gestion des réseaux virtualisés de System Center Virtual Machine Manager 2012 :
La virtualisation de réseau permet, à partir de Windows Server 2012 et System Center 2012 SP1, de faire cohabiter sur un réseau IP de datacenter, plusieurs réseaux de clients qui potentiellement partageraient le même espace d’adressage. Pour plus de détails sur la mise en œuvre de cette technologie, nous vous invitons à vous référer à la série d’article que Stanislas et moi même avons écrit.
Comment activer la gestion des espaces d’adressage virtualisés
Pour activer le reporting d’informations de System Center Virtual Machine Manager, il faut modifier la configuration de la fabrique pour activer le composant IPAM qui est désormais intégré.
Ajout d’un service réseau dans la fabrique :
On ajoute ensuite un service que l’on nomme :
On doit spécifier un service de type Microsoft Windows Server IP Address Management :
On spécifie un compte avec des droits IPAM Administrator sur le serveur IPAM :
On spécifie ensuite le chemin de connexion (pour IPAM, c’est simple, c’est juste le nom du serveur) :
On teste la connexion et vérifie que l’on a bien un résultat “passed” et “implemented” :
On spécifie les groupes d’hyperviseurs que l’on souhaite inclure dans le scope du reporting IPAM :
On valide :
et on vérifie que le job s’effectue correctement !
Administration des espaces virtualisés
Lorsque l’environnement a été paramétré, on peut alors voir l’ensemble des informations relatives aux :
Espace d’adressage et adresses utilisées sur le réseau de Datacenter (provider addresses)
Espaces d’adressages et adresses des différents réseaux virtualisés (Customer addresses)
Vision sur l’espace d’adressage PA :
Avec la vue “IP address spaces”, on peut voir les différents espaces d’adressages utilisés dans le Datacenter pour la virtualisation de réseau (les adresses définies pour les logical network)
Utilisation des adresses PA:
Si on sélectionne la vue “IP addresses”, on peut alors voir quelles sont les IP attribuées aux hyperviseurs participants à la plateforme de virtualisation (les PA addresses)
Vision des espaces d’adressages CA :
Lorsque l’on selectionne la partie Customer IP Addresse en bas à gauche, on a la possibilité de voir l’ensemble des espaces d’adressage pour les différents VM networks définis dans l’ensemble de la configuration.
Utilisation des adresses CA :
La vue “IP addresses” permet de voir les IP utilisées par les différentes machines virtuelles dans les différents réseaux virtualisés (ici dans mon exemple, j’ai deux VM dans deux sous réseaux virtualisés du client BlueCorp. A noter que je peux filtrer par “tenant” (locataire). On peut également donner une vue plus restreinte (typiquement on peut offrir à un locataire une vue uniquement sur son espace d’adressage) en gérant les rôles et les vues comme nous le décrirons plus loin dans l’article.
Améliorations d’administration
Stockage des informations dans une base SQL
On peut désormais stocker les informations d’IPAM vers une base SQL, cela facilite grandement la gestion de bases notamment lors de scénarios de reprise après incident. Lors de la mise à jour d’un service IPAM vers 2012 R2, l’assistant de déploiement vous propose de migrer les informations depuis la base WID vers le serveur SQL que vous lui indiquez. Cette opération peut également être effectuée avec la commande PowerShell : Move-IpamDatabase.
Si vous faites une promotion depuis un environnement vierge, on vous propose alors d’entrer les informations de connexion :
Gestion des accès basé sur les rôles
La gestion des accès basé sur les rôles utilisateur est fondamentale lorsque l’environnement tend à grandir et être adopté à l’échelle de l’entreprise.
En lieu et place des quelques rôles basiques présents dans Windows Server 2012, on peut désormais définir des :
rôles : un ensemble d’opérations qui peuvent être permises et associées à des utilisateurs.
étendues d’accès : un ensemble d’objets auxquels un utilisateur a accès (par défaut l’étendue Global inclus l’ensemble des ressources, il est possible d’en personnaliser par géographie ou par locataire de réseau virtualisé par exemple).
stratégies d’accès : une combinaison de rôles et d’étendues d’accès.
Il existe un ensemble de rôles par défaut :
On peut voir par exemple que le rôle “DNS Record Administrator Role”, peut créer et supprimer des enregistrements.
Il est possible de paramétrer tout cela très finement pour répondre aux besoins d’audits et de séparation des rôles telle que toute bonne RSSI vous le recommandera !
En résumé, IPAM dans Windows Server 2012 R2, c’est plus de fonctionnalités pour rendre la plateforme plus robuste à l’échelle de l’organisation.
Pour tester Windows Server 2012 R2 et Hyper-V, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme : – d'une image ISO : https://aka.ms/jeveuxwindows2012r2 – d'un fichier VHD avec un système préinstallé : https://aka.ms/jeveuxwindows2012r2
Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :
Dans une série d’articles, Stanislas décrit comment mettre en place la virtualisation de réseau avec Hyper-V (HNV). C’est une technique fondamentale qui permet de faire cohabiter sur un réseau IP de Datacenter de multiples réseaux IP (de clients d’un cloud par exemple).
Pour cela, nous utilisons dans Windows Server 2012 (R2) et System Center Virtual Machine Manager 2012 SP1/R2 l’encapsulation NVGRE (voir mon article précédent)
Puisque la vocation principale de HNV est de virtualiser et d’isoler les réseaux, lorsque nos machines isolées doivent communiquer avec l’extérieur, il faudra donc utiliser une passerelle qui permettra décapsuler/encapsuler pour envoyer ces paquets à :
Destination d’un réseau physique de Datacenter
Destination d’un autre protocole de virtualisation (VXLAN, ou autre)
Destination d’un réseau distant (VPN site-à-site, etc. )
Le but de cet article est de mettre en œuvre, étape par étape le composant Windows Server Gateway de Windows Server 2012 R2, avec l’aide de Virtual Machine Manager 2012 R2. Dans un prochain article, on décrira la mise en œuvre dans un VM Network et son utilisation.
Prérequis
Pour mettre en œuvre ces fonctionnalités du point de vue de nos machines virtuelles, il nous faut System Center Virtual Machine Manager 2012 R2.
Pour utiliser le rôle de passerelle “Windows Server Gateway” de Windows Server 2012 R2, ils nous faut deux choses :
un hyperviseur Windows Server 2012 R2 Hyper-V :
Cet Hyperviseur ne doit pas héberger de machines virtuelles utilisant la virtualisation de réseau (mais il peut héberger des VM classiques)
une machine virtuelle Windows Server 2012 R2 avec le rôle d’accès distant activé. C’est celle qui fera réellement toutes les opérations réseau et fera le rôle de passerelle de manière active.
Voici la plateforme que j’utilise :
Cette machine virtuelle/passerelle HNV nécessite 3 interfaces réseaux virtuelles :
une carte réseau dans le réseau virtualisé HNV (la carte qui est sur le réseau provider/Datacenter, dans l’espace d’adressage PA),
une carte réseau sur le réseau extérieur (le réseau physique classique du Datacenter)
optionnellement (vraiment?) une carte réseau d’administration
1. Paramétrage de l’hyperviseur pour les opérations de passerelle
La première étape se déroule dans System Center 2012 R2 VMM et consiste à configurer l’hyperviseur pour activer le rôle de passerelle, on va donc pour cela dans les propriétés de l’hyperviseur dans la partie Fabric pour activer l’option This host is a dedicated network virtualisation Gateway… :
Une fois cela validé, on va ajouter le couple hyperviseur/machine virtuelle dans notre configuration.
2. Configuration des cartes réseau de la VM
Démarrons la machine virtuelle de la passerelle et vérifions l’état des connexions réseau, on doit avoir :
une carte sur le réseau physique extérieur (elle obtiendra son adresse IP par le DHCP du réseau physique ou par configuration manuelle).
une carte d’administration dans l’espace d’adressage du Datacenter (la machine doit pouvoir contacter des contrôleurs de domaine de l’organisation). Dans mon cas, le réseau d’administration et le réseau extérieur sont les mêmes, je n’ai que deux cartes.
une carte sur le réseau NVGRE (on devra configurer l’adresse IP manuellement dans la VM, on la laisse dans l’état déconnecté au moment du setup pour la repérer.)
La configuration de la carte NVGRE doit se faire via SCVMM, la difficulté est qu’il faut la connecter à un réseau logique sans la connecter à un VM Network, alors que cette option n’est pas présentée dans l’interface graphique !
Il faut alors :
Dans les propriétés de la carte réseau non connectée, on sélectionne l’option VM Network et on clique sur Clear Selection comme suit :
On vérifie alors que la carte est connectée sur le réseau NVGRE, appelé dans notre cas LogicalSwitch-CloudProvider.
On valide et continue la configuration.
3. Déploiement de la passerelle dans VMM 2012 R2
Allons maintenant déclarer la passerelle comme ressource de la fabrique. Nous allons donc pour cela dans la console Fabric :
Nous spécifions ensuite le type de service réseau que nous ajoutons :
Il s’agit ici de la passerelle implémentée dans Windows Server 2012 R2.
Nous devons ensuite spécifier un compte d’action qui a des droits administratifs :
sur l’hyperviseur physique
sur la machine virtuelle qui sert de passerelle
Nous spécifions ensuite la chaine de connexion à la plateforme. Cette chaine se compose comme suit : VMHost=serveurPhysiqueHyperV;RRASServer=VMquiTourneLeServiceRRASS
A l’étape étape test, on va se connecter à la machine physique et la machine virtuelle pour vérifier les différentes capacités de virtualisation.
On spécifie ensuite pour quels groupes d’hyperviseurs est disponible la passerelle.
Validons la création.
Une fois l’ajout validé, on obtient alors l’écran de résumé de la passerelle. On peut alors constater qu’une passerelle HNV peut supporter dans cette version :
50 routing domains (VM Networks)
500 sous-réseaux virtuels (sous réseaux dans les VM networks)
200 connections VPN site à site
Normalement, en situation de production, on devrait avoir saturé le lien avant d’avoir atteint ces chiffres.
Lorsque la passerelle est ajoutée, il nous faut ensuite la configurer pour l’environnement.
4. Paramétrage de la passerelle
L’étape de paramétrage est assez simple et va permettre de déterminer à quels usages sont destinées différentes cartes réseaux de la VM et du serveur physique.
Nous devons à cette étape déterminer les interfaces réseau et leurs bindings :
front-end : interface connectée au réseau traditionnel (ici, ma carte réseau appelée “Dehors”). J’ai crée un réseau logique pour le réseau extérieur (InternetLogical), pour configurer dans VMM l’existence mon réseau physique Internet, j’y ai également ajouté un IP Pool, dans la plage 192.168.0.0/24, pour plus de détails sur le réseau logique et sa création, voir l’article de Stanislas)
back-end : interface connectée au réseau virtualisé HNV (réseau PA) (ici ma carte réseau appelée NVGRE, sur le site Paris du réseau logicque NetCloudPRovider)
A cette étape, il se passe en fait plusieurs choses, le paramétrage des cartes réseaux virtuelles pour le service RAS, et le paramétrage du mode multi-locataire sur la carte virtuelle. On peut vérifier cela avec la commande PowerShell :
Get-VMNetworkAdapterIsolation
Dans cet article, nous configurons la plateforme de base, dans un article suivant, nous configurerons les VM networks pour tirer partie de la passerelle ! Stay tuned !
Pour revenir aux premiers articles qui décrivent l’installation de la plateforme pas à pas :
Pour tester Windows Server 2012 R2 et Hyper-V, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme : – d'une image ISO : https://aka.ms/jeveuxwindows2012r2 – d'un fichier VHD avec un système préinstallé : https://aka.ms/jeveuxwindows2012r2
Et si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps : https://aka.ms/itCampFr. La liste des IT Camps de septembre 2013 à juin 2014 sera bientôt en ligne. Attention, il n’y aura qu’une date par sujet et par semestre par ville et le nombre de place est limité.
