步驟 3：設定多站台部署
設定多站台基礎結構之後，請遵循下列步驟來設定遠端存取多站台部署。
| Task | 描述 |
|---|---|
| 3.1. 設定遠端存取伺服器 | 設定其他遠端存取伺服器，方法是設定 IP 位址，將其加入網域，並安裝遠端存取角色。 |
| 3.2. 將存取權授與系統管理員 | 將其他遠端存取伺服器上的權限授與 DirectAccess 系統管理員。 |
| 3.3. 為多站台部署設定 IP-HTTPS | 設定在多站台部署中使用的 IP-HTTPS 憑證。 |
| 3.4. 為多站台部署設定網路位置伺服器 | 設定多站台部署中使用的網路位置伺服器憑證。 |
| 3.5. 為多站台部署設定 DirectAccess 用戶端 | 從 Windows 8 安全性群組移除 Windows 7 用戶端電腦。 |
| 3.6. 啟用多站台部署 | 在第一部遠端存取伺服器上啟用多站台部署。 |
| 3.7. 將進入點新增至多站台部署 | 將其他進入點新增至多站台部署。 |
注意
本主題包含可讓您用來將部分所述的程序自動化的 Windows PowerShell Cmdlet 範例。 如需詳細資訊，請參閱使用 Cmdlet.
3.1. 設定遠端存取伺服器
安裝「遠端存取」角色
確定每個遠端存取伺服器都已設定適當的部署拓撲 (邊緣、NAT 後方、單一網路介面)，以及對應的路由。
根據站台拓撲和貴組織的 IP 定址配置，在每個遠端存取伺服器上設定 IP 位址。
將每個遠端存取伺服器加入 Active Directory 網域。
在 [伺服器管理員] 主控台的 [儀表板] 中，按一下 [新增角色和功能]。
按 [下一步] 3 次，進入伺服器角色選擇畫面。
在 [選取伺服器角色] 對話方塊中，選取 [遠端存取]，然後按 [下一步]。
按 [下一步] 三次。
在 [選取角色服務] 對話方塊中，選取 [DirectAccess 和 VPN (RAS)]，然後按一下 [新增功能]。
選取 [路由]，選取 [Web 應用程式 Proxy]，按一下 [新增功能]，然後按 [下一步]。
按 [下一步] ，然後按一下 [安裝] 。
在 [安裝進度] 對話方塊中，確認安裝成功，然後按一下 [關閉]。
Windows PowerShell 對應的命令
步驟 1 - 3 必須手動執行，且不能使用此 Windows PowerShell Cmdlet 來完成。
下列 Windows PowerShell Cmdlet 執行與前述程序相同的功能。 在單一行中，輸入各個 Cmdlet (即使因為格式限制，它們可能會在這裡出現自動換行成數行)。
Install-WindowsFeature RemoteAccess -IncludeManagementTools
3.2. 將存取權授與系統管理員
將權限授與系統管理員
在遠端存取伺服器上的其他進入點：在 [開始] 畫面上，鍵入電腦管理，然後按 ENTER 鍵。
在左窗格中，按一下 [本機使用者和群組]。
按兩下 [群組]，然後按兩下 [系統管理員]。
在 [系統管理員內容] 對話方塊上，按一下 [新增]，然後在 [選取使用者、電腦、服務帳戶或群組] 對話方塊中，按一下 [位置]。
在 [位置] 對話方塊的 [位置] 樹狀目錄中，按一下包含 DirectAccess 系統管理員之使用者帳戶的位置，然後按一下 [確定]。
在 [輸入要選取的物件名稱] 中，輸入 DirectAccess 系統管理員的使用者名稱，然後按一下 [確定] 兩次。
在 [系統管理員內容] 對話方塊中，按一下 [確定]。
關閉 [電腦管理] 視窗。
在所有將成為多站台部署一部分的遠端存取伺服器上重複此程序。
3.3. 為多站台部署設定 IP-HTTPS
在將新增至多站台部署的每個遠端存取伺服器上，必須有 SSL 憑證，才能驗證與 IP-HTTPS 網頁伺服器的 HTTPS 連線。 您至少必須有本機 Administrators 群組的成員資格或同等權限，才能完成此程序。
取得 IP-HTTPS 憑證
在每個遠端存取伺服器上：在 [開始] 畫面上，鍵入 mmc，然後按 ENTER 鍵。 如果出現 [使用者帳戶控制] 對話方塊，請確認它所顯示的動作就是您所需的動作，然後按一下 [是]。
按一下 [檔案]，然後按一下 [新增/移除嵌入式管理單元]。
依序按一下 [憑證]、[新增]、[電腦帳戶]、[下一步]，選取 [本機電腦]，按一下 [完成]，然後按一下 [確定]。
在 [憑證] 嵌入式管理單元的主控台樹狀目錄中，開啟 [憑證 (本機電腦)\個人\憑證]。
以滑鼠右鍵按一下 [憑證]，指向 [所有工作]，然後按一下 [要求新憑證]。
按兩次 [下一步] 。
在 [要求憑證] 頁面上，按一下 [Web 伺服器憑證範本]，然後按一下 [需要更多資訊才能註冊此憑證]。
如果 Web 伺服器憑證範本未出現，請確保遠端存取伺服器電腦帳戶具有網頁伺服器憑證範本的註冊權限。 如需詳細資訊，請參閱設定網頁伺服器憑證範本的權限。
在 [憑證內容] 對話方塊的 [主體] 索引標籤上，於 [主體名稱] 中，針對 [類型] 選取 [一般名稱]。
在 [值] 中，鍵入遠端存取伺服器之網際網路名稱的完整網域名稱 (例如 Europe.contoso.com)，然後按一下 [新增]。
依序按一下 [確定] 和 [註冊]，然後按一下 [完成]。
在 [憑證] 嵌入式管理單元的詳細資料窗格中，驗證具有該 FQDN 的新憑證已註冊，且 [使用目的] 為 [伺服器驗證]。
以滑鼠右鍵按一下憑證，然後按一下 [內容]。
在 [自訂名稱] 中，鍵入 IP-HTTPS 憑證，然後按一下 [確定]。
提示
步驟 12 和 13 是選用步驟，但可讓您在設定遠端存取時，更輕鬆地選取 IP-HTTPS 的憑證。
在部署中的所有遠端存取伺服器上重複此程序。
3.4. 為多站台部署設定網路位置伺服器
如果您在設定第一部伺服器時選擇在遠端存取伺服器上設定網路位置伺服器網站，您新增的每個遠端存取伺服器都必須使用網頁伺服器憑證來設定，且該憑證的主體名稱與針對第一部伺服器的網路位置伺服器選取的主體名稱相同。 每部伺服器皆須使用憑證來驗證與網路位置伺服器的連線，而位於內部網路的用戶端電腦則必須能夠解析 DNS 中的網站名稱。
安裝網路位置的憑證
在遠端存取伺服器上：在 [開始] 畫面上，鍵入 mmc，然後按 ENTER 鍵。 如果出現 [使用者帳戶控制] 對話方塊，請確認它所顯示的動作就是您所需的動作，然後按一下 [是]。
按一下 [檔案]，然後按一下 [新增/移除嵌入式管理單元]。
依序按一下 [憑證]、[新增]、[電腦帳戶]、[下一步]，選取 [本機電腦]，按一下 [完成]，然後按一下 [確定]。
在 [憑證] 嵌入式管理單元的主控台樹狀目錄中，開啟 [憑證 (本機電腦)\個人\憑證]。
以滑鼠右鍵按一下 [憑證]，指向 [所有工作]，然後按一下 [要求新憑證]。
注意
您也可以為第一部遠端存取伺服器匯入用於網路位置伺服器的相同憑證。
按兩次 [下一步] 。
在 [要求憑證] 頁面上，按一下 [Web 伺服器憑證範本]，然後按一下 [需要更多資訊才能註冊此憑證]。
如果 Web 伺服器憑證範本未出現，請確保遠端存取伺服器電腦帳戶具有網頁伺服器憑證範本的註冊權限。 如需詳細資訊，請參閱設定網頁伺服器憑證範本的權限。
在 [憑證內容] 對話方塊的 [主體] 索引標籤上，於 [主體名稱] 中，針對 [類型] 選取 [一般名稱]。
在 [值] 中，鍵入針對第一部遠端存取伺服器之網路位置伺服器憑證設定的完整網域名稱 (例如 nls.corp.contoso.com)，然後按一下 [新增]。
依序按一下 [確定] 和 [註冊]，然後按一下 [完成]。
在 [憑證] 嵌入式管理單元的詳細資料窗格中，驗證具有該 FQDN 的新憑證已註冊，且 [使用目的] 為 [伺服器驗證]。
以滑鼠右鍵按一下憑證，然後按一下 [內容]。
在 [自訂名稱] 中，鍵入網路位置憑證，然後按一下 [確定]。
提示
步驟 12 和 13 是選用步驟，但可讓您在設定遠端存取時，更輕鬆地選取網路位置的憑證。
在部署中的所有遠端存取伺服器上重複此程序。
建立網路位置伺服器 DNS 記錄
在 DNS 伺服器上：在 [開始] 畫面上，鍵入 dnsmgmt.msc，然後按 ENTER 鍵。
在 [DNS 管理員] 主控台的 左窗格中，開啟內部網路的正向對應區域。 以滑鼠右鍵按一下相關區域，然後按一下 [新增主機 (A 或 AAAA)]。
在 [新增主機] 對話方塊的 [名稱] (如果空白時使用父系網域名稱) 方塊中，輸入為第一部遠端存取伺服器用於網路位置伺服器的名稱。 在 [IP 位址] 方塊中，輸入遠端存取伺服器的內部網路對應 IPv4 位址，然後按一下 [新增主機]。 在 [DNS] 對話方塊上，按一下 [確定]。
在 [新增主機] 對話方塊的 [名稱] (如果空白時使用父系網域名稱) 方塊中，輸入為第一部遠端存取伺服器用於網路位置伺服器的名稱。 在 [IP 位址] 方塊中，輸入遠端存取伺服器的內部網路對應 IPv6 位址，然後按一下 [新增主機]。 在 [DNS] 對話方塊上，按一下 [確定]。
針對部署中的每個遠端存取伺服器重複步驟 3 和 4。
按一下完成。
在將伺服器新增為部署中的其他進入點之前，請先重複此程序。
3.5. 為多站台部署設定 DirectAccess 用戶端
DirectAccess Windows 用戶端電腦必須是定義其 DirectAccess 關聯之安全性群組的成員。 啟用多站台之前，這些安全性群組可以同時包含 Windows 8 用戶端和 Windows 7 用戶端 (如果已選取適當的「舊版」模式)。 啟用多站台後，單一伺服器模式中現有的用戶端安全性群組只會轉換為 Windows 8 的安全性群組。 啟用多站台之後，必須將 DirectAccess Windows 7 用戶端電腦移至對應的專用 Windows 7 用戶端安全性群組 (與特定進入點相關聯)，否則它們無法透過 DirectAccess 連線。 您必須先從現在屬於 Windows 8 安全性群組的現有安全性群組中移除 Windows 7 用戶端。 注意：屬於 Windows 7 和 Windows 8 用戶端安全性群組成員的 Windows 7 用戶端電腦將會失去遠端連線，而未安裝 SP1 的 Windows 7 用戶端也會失去公司連線。 因此，必須從 Windows 8 安全性群組中移除所有 Windows 7 用戶端電腦。
從 Windows 8 安全性群組移除 Windows 7 用戶端
在主要網域控制站上，按一下 [啟動]，然後按一下 [Active Directory 使用者和電腦]。
若要從安全性群組移除電腦，請按兩下安全性群組，然後在 [<Group_Name> 內容] 對話方塊中，按一下 [成員] 索引標籤。
選取 Windows 7 用戶端電腦，然後按一下 [移除]。
重複此程序，從 Windows 8 安全性群組中移除 Windows 7 用戶端電腦。
重要
啟用遠端存取多站台設定時，所有用戶端電腦 (Windows 7 和 Windows 8) 都會失去遠端連線，直到它們能夠直接連線到公司網路或透過 VPN 更新其群組原則為止。 第一次啟用多站台功能時，以及停用多站台功能時都是如此。
3.6. 啟用多站台部署
若要設定多站台部署，請在現有的遠端存取伺服器上啟用多站台功能。 在部署中啟用多站台之前，請確定您具備下列資訊：
如果您想要對部署中所有進入點的 DirectAccess 用戶端連線進行負載平衡，則需要全域負載平衡器設定和 IP 位址。
如果您想要為 Windows 7 用戶端電腦啟用遠端存取，則需要包含 Windows 7 用戶端電腦作為部署中第一個進入點的安全性群組。
如果您必須使用非預設群組原則物件，則需要群組原則物件名稱。需要支援 Windows 7 用戶端電腦時，這些物件會套用到作為部署中第一個進入點的 Windows 7 用戶端電腦。
啟用多站台設定
在現有的遠端存取伺服器上：在 [開始] 畫面上，鍵入 RAMgmtUI.exe，然後按 ENTER 鍵。 如果出現 [使用者帳戶控制] 對話方塊，請確認它所顯示的動作就是您所需的動作，然後按一下 [是]。
在 [遠端存取管理] 主控台中，按一下 [設定]，然後在 [工作] 窗格中，按一下 [啟用多站台]。
在 [啟用多站台部署] 精靈的 [開始之前] 頁面上，按 [下一步]。
在 [部署名稱] 頁面上的 [多站台部署名稱] 中，輸入部署的名稱。 在 [第一個進入點名稱] 中，輸入名稱以識別作為目前遠端存取伺服器的第一個進入點，然後按 [下一步]。
在 [選取進入點] 頁面上，執行下列其中一項動作：
按一下 [自動指派進入點並允許用戶端手動選取] 以自動將用戶端電腦路由傳送至最適合的進入點，同時允許用戶端電腦手動選取進入點。 手動進入點選取僅適用於 Windows 8 電腦。 按一下 [下一步] 。
按一下 [自動指派進入點] 以自動將用戶端電腦路由傳送至最適合的進入點，然後按 [下一步]。
在 [全域負載平衡] 頁面上，執行下列其中一項動作：
如果您不想要使用全域負載平衡，請按一下 [否，不要使用全域負載平衡]，然後按 [下一步]。
注意
選取此選項時，用戶端電腦會自動連線到最接近的進入點。
如果您想要在所有進入點之間對流量進行全域負載平衡，請按一下 [是，使用全域負載平衡]。 在 [鍵入所有進入點要使用的全域負載平衡 FQDN] 中，輸入全域負載平衡 FQDN，然後針對包含第一部遠端存取伺服器的進入點，在 [鍵入此進入點的全域負載平衡 IP 位址] 中輸入此進入點的全域負載平衡 IP 位址，然後按 [下一步]。
在 [用戶端支援] 頁面上，執行下列其中一項動作：
若要針對執行 Windows 8 或更新版本作業系統的用戶端電腦限制其存取，請按一下 [針對執行 Windows 8 或更新版本作業系統的用戶端電腦限制其存取]，然後按 [下一步]。
若要允許執行 Windows 7 的用戶端電腦存取此進入點，請按一下 [允許執行 Windows 7 的用戶端電腦存取此進入點]，然後按一下 [新增]。 在 [選取群組] 對話方塊中，選取包含 Windows 7 用戶端電腦的安全性群組，按一下 [確定]，然後按 [下一步]。
在 [用戶端 GPO 設定] 頁面上，接受此進入點的 Windows 7 用戶端電腦的預設 GPO，鍵入要自動建立遠端存取的 GPO 名稱，或按一下 [瀏覽] 以找出 Windows 7 用戶端電腦的 GPO，然後按 [下一步]。
注意
- 只有當您設定進入點以允許 Windows 7 用戶端電腦存取進入點時，才會顯示 [用戶端 GPO 設定] 頁面。
- 您可以選擇性地按一下 [驗證 GPO]，確保您對此進入點的一或多個選定 GPO 擁有適當的權限。 如果 GPO 不存在而將自動建立，則需要建立及連結權限。 如果已手動建立 GPO，則需要編輯、修改安全性和刪除權限。
在 [摘要] 頁面上，按一下 [認可]。
在 [啟用多站台部署] 對話方塊中，按一下 [關閉]，然後在 [啟用多站台部署] 精靈上，按一下 [關閉]。
Windows PowerShell 對應的命令
下列 Windows PowerShell Cmdlet 執行與前述程序相同的功能。 在單一行中，輸入各個 Cmdlet (即使因為格式限制，它們可能會在這裡出現自動換行成數行)。
若要在名為 'Edge1-US' 的第一個進入點上啟用名為 'Contoso' 的多站台部署。 部署可讓用戶端手動選取進入點，並且不會使用全域負載平衡器。
Enable-DAMultiSite -Name 'Contoso' -EntryPointName 'Edge1-US' -ManualEntryPointSelectionAllowed 'Enabled'
若要允許 Windows 7 用戶端電腦透過第一個進入點存取，請透過安全性群組 DA_Clients_US 並使用 GPO DA_W7_Clients_GPO_US。
Add-DAClient -EntrypointName 'Edge1-US' -DownlevelSecurityGroupNameList @('corp.contoso.com\DA_Clients_US') -DownlevelGpoName @('corp.contoso.com\DA_W7_Clients_GPO_US)
3.7. 將進入點新增至多站台部署
在部署中啟用多站台之後，您可以使用 [新增進入點] 精靈新增其他進入點。 新增進入點之前，請確定您具備下列資訊：
如果您使用全域負載平衡功能，則需要每個新進入點的全域負載平衡器 IP 位址。
如果您想要為 Windows 7 用戶端電腦啟用遠端存取，則需要包含 Windows 7 用戶端電腦作為將新增之每個進入點的安全性群組。
如果您必須使用非預設群組原則物件，則需要群組原則物件名稱。需要支援 Windows 7 用戶端電腦時，這些物件會套用到作為將新增之每個進入點的 Windows 7 用戶端電腦。
如果在組織網路中部署了 IPv6，您必須為新的進入點準備 IP-HTTPS 首碼。
將進入點新增至多站台部署
在現有的遠端存取伺服器上：在 [開始] 畫面上，鍵入 RAMgmtUI.exe，然後按 ENTER 鍵。 如果出現 [使用者帳戶控制] 對話方塊，請確認它所顯示的動作就是您所需的動作，然後按一下 [是]。
在 [遠端存取管理] 主控台中，按一下 [設定]，然後在 [工作] 窗格中，按一下 [新增進入點]。
在 [新增進入點] 精靈的 [進入點詳細資料] 頁面上，於 [遠端存取伺服器] 中，輸入要新增之伺服器的完整網域名稱 (FQDN)。 在 [進入點名稱] 中，輸入進入點的名稱，然後按 [下一步]。
在 [全域負載平衡設定] 頁面上，輸入此進入點的全域負載平衡 IP 位址，然後按 [下一步]。
注意
只有在多站台設定使用全域負載平衡器時，才會顯示 [全域負載平衡設定] 頁面。
在 [網路拓撲] 頁面上，按一下與您要新增的遠端存取伺服器網路拓撲對應的拓撲，然後按 [下一步]。
在 [網路名稱或 IP 位址] 頁面的 [鍵入用戶端用來連線到遠端存取伺服器的公用名稱或 IP 位址] 中，輸入用戶端用來連線到遠端存取伺服器所使用的公用名稱或 IP 位址。 公用名稱與 IP-HTTPS 憑證的主體名稱相對應。 如果已實作邊緣網路拓撲，IP 位址是遠端存取伺服器的外部介面卡的 IP 位址。 按一下 [下一步] 。
在 [網路介面卡] 頁面上，執行下列其中一項動作：
如果您要部署具有兩張網路介面卡的拓撲，請在 [外部介面卡] 中選取連線至外部網路的介面卡。 在 [內部介面卡] 中，選取連線到內部網路的介面卡。
如果您要部署具有一張網路介面卡的拓撲，請在 [網路介面卡] 中選取連線至內部網路的介面卡。
在 [網路介面卡] 頁面上，在 [選取用來驗證 IP-HTTPS 連線的憑證] 中，按一下 [瀏覽] 以找出並選取 IP-HTTPS 憑證。 按一下 [下一步] 。
如果在公司網路上設定 IPv6，請在 [首碼設定] 頁面的 [指派給用戶端電腦的 IPv6 首碼] 中輸入 IP-HTTPS 首碼，將 IPv6 位址指派給 DirectAccess 用戶端電腦，然後按 [下一步]。
在 [用戶端支援] 頁面上，執行下列其中一項動作：
若要針對執行 Windows 8 或更新版本作業系統的用戶端電腦限制其存取，請按一下 [針對執行 Windows 8 或更新版本作業系統的用戶端電腦限制其存取]，然後按 [下一步]。
若要允許執行 Windows 7 的用戶端電腦存取此進入點，請按一下 [允許執行 Windows 7 的用戶端電腦存取此進入點]，然後按一下 [新增]。 在 [選取群組] 對話方塊中，選取包含 Windows 7 用戶端電腦 (其連線到此進入點) 的安全性群組，按一下 [確定]，然後按 [下一步]。
在 [用戶端 GPO 設定] 頁面上，接受此進入點的 Windows 7 用戶端電腦的預設 GPO，鍵入您要自動建立遠端存取的 GPO 名稱，或按一下 [瀏覽] 以找出 Windows 7 用戶端電腦的 GPO，然後按 [下一步]。
注意
- 只有當您設定進入點以允許 Windows 7 用戶端電腦存取進入點時，才會顯示 [用戶端 GPO 設定] 頁面。
- 您可以選擇性地按一下 [驗證 GPO]，確保您對此進入點的一或多個選定 GPO 擁有適當的權限。 如果 GPO 不存在而將自動建立，則需要建立及連結權限。 如果已手動建立 GPO，則需要編輯、修改安全性和刪除權限。
在 [伺服器 GPO 設定] 頁面上，接受此遠端存取伺服器的預設 GPO，鍵入您要自動建立遠端存取的 GPO 名稱，或按一下 [瀏覽] 以找出此伺服器的 GPO，然後按 [下一步]。
在 [網路位置伺服器] 頁面上，按一下 [瀏覽] 以選取在遠端存取伺服器上執行的網路位置伺服器網站的憑證，然後按 [下一步]。
注意
只有在遠端存取伺服器上執行網路位置伺服器網站時，才會顯示 [網路位置伺服器] 頁面。
在 [摘要] 頁面上檢閱進入點設定，然後按一下 [認可]。
在 [新增進入點] 對話方塊中，按一下 [關閉]，然後在 [新增進入點] 精靈上，按一下 [關閉]。
注意
如果新增的進入點位於與現有進入點或用戶端電腦不同的樹系中，則必須按一下 [工作] 窗格中的 [重新整理管理伺服器]，以探索新樹系中的網域控制站和 Configuration Manager。
針對您要新增至多站台部署的每個進入點，從步驟 2 重複此程序。
Windows PowerShell 對應的命令
下列 Windows PowerShell Cmdlet 執行與前述程序相同的功能。 在單一行中，輸入各個 Cmdlet (即使因為格式限制，它們可能會在這裡出現自動換行成數行)。
將電腦 edge2 從 corp2 網域新增為名為 Edge2-Europe 的第二個進入點。 進入點設定為：用戶端 IPv6 首碼 '2001:db8:2:2000::/64'、連線至位址 (edge2 電腦上的 IP-HTTPS 憑證) 'edge2.contoso.com'、名為 「DirectAccess 伺服器設定 - Edge2-Europe」的伺服器 GPO，以及分別名為 Internet 和 Corpnet2 的內部和外部介面：
Add-DAEntryPoint -RemoteAccessServer 'edge2.corp2.corp.contoso.com' -Name 'Edge2-Europe' -ClientIPv6Prefix '2001:db8:2:2000::/64' -ConnectToAddress 'Europe.contoso.com' -ServerGpoName 'corp2.corp.contoso.com\DirectAccess Server Settings - Edge2-Europe' -InternetInterface 'Internet' -InternalInterface 'Corpnet2'
若要允許 Windows 7 用戶端電腦透過第二個進入點存取，請透過安全性群組 DA_Clients_Europe 並使用 GPO DA_W7_Clients_GPO_Europe。
Add-DAClient -EntrypointName 'Edge2-Europe' -DownlevelGpoName @('corp.contoso.com\ DA_W7_Clients_GPO_Europe') -DownlevelSecurityGroupNameList @('corp.contoso.com\DA_Clients_Europe')