Poprawnie – usługa RRAS (Routing and Remote Access Service) w Windows Server 2019 służy przede wszystkim do zapewniania zdalnego dostępu, w tym połączeń VPN dla użytkowników i całych oddziałów firmy. W praktyce oznacza to, że serwer z włączonym i poprawnie skonfigurowanym RRAS może pełnić rolę serwera VPN, przez który pracownicy łączą się z siecią firmową z domu, z delegacji czy z innej lokalizacji, jakby fizycznie byli w biurze. Moim zdaniem to jedna z kluczowych usług w małych i średnich firmach, gdzie nie zawsze stosuje się dedykowane urządzenia VPN klasy enterprise. RRAS obsługuje różne protokoły tunelowania, m.in. SSTP, L2TP/IPsec, IKEv2 czy nawet starszy PPTP (choć ten ostatni nie jest już zalecany ze względów bezpieczeństwa). Dobra praktyka jest taka, żeby zawsze łączyć VPN z silnym uwierzytelnianiem (np. certyfikaty, MFA) i stosować protokoły zgodne z aktualnymi rekomendacjami bezpieczeństwa Microsoftu i branży. Poza samym VPN, RRAS potrafi też realizować routing między podsieciami, NAT, a nawet prosty firewall oparty o reguły routingu – ale w kontekście tego pytania najważniejsza jest właśnie funkcja zdalnego dostępu. W typowym scenariuszu konfiguruje się serwer Windows 2019 w roli „Remote Access”, wybiera opcję „VPN”, integruje z Active Directory i NPS (RADIUS) i dopiero wtedy klienci Windows, Linux czy nawet urządzenia mobilne mogą zestawiać bezpieczne tunele do sieci firmowej. To jest zgodne z dobrymi praktykami: centralizacja zdalnego dostępu, kontrola uprawnień użytkowników i logowanie połączeń w jednym miejscu.
Usługa RRAS w Windows Server 2019 bywa często mylona z innymi mechanizmami systemu, bo jej nazwa brzmi dosyć ogólnie: „Routing and Remote Access Service”. W rzeczywistości jej głównym zadaniem jest realizacja routingu oraz zapewnienie zdalnego dostępu, przede wszystkim poprzez połączenia VPN i dial-up, a nie wykonywanie kopii zapasowych, zarządzanie logowaniem czy szyfrowanie plików. To typowy błąd, że jak coś jest „zdalne”, to od razu kojarzy się ludziom z wszelkimi operacjami na danych, w tym kopiami plików. Kopie zapasowe i ich transfer między serwerem a klientem obsługują zupełnie inne rozwiązania: narzędzia backupowe (np. Windows Server Backup, Veeam, Bacula), usługi typu File Server, czy systemy DPM. RRAS może co najwyżej zapewnić kanał komunikacyjny (VPN), przez który backup będzie przesyłany, ale sam nie planuje, nie wykonuje ani nie zarządza kopiami zapasowymi. Podobnie sprawa wygląda z tworzeniem restrykcji logowania użytkowników. Kontrola logowania, uprawnień, polityk haseł czy godzin logowania to domena usług katalogowych, głównie Active Directory Domain Services oraz zasad grup (Group Policy). RRAS może współpracować z NPS/RADIUS i AD, żeby autoryzować połączenia zdalne, ale nie jest narzędziem do ogólnego zarządzania logowaniem użytkowników w domenie. Często miesza się też RRAS z funkcjami bezpieczeństwa plików. Szyfrowanie danych na serwerze realizują takie mechanizmy jak EFS (Encrypting File System) czy BitLocker, ewentualnie zewnętrzne systemy DLP lub szyfrowanie na poziomie aplikacji. RRAS nie szyfruje plików na dysku; on szyfruje ruch sieciowy w tunelu VPN, co jest zupełnie innym poziomem ochrony. Typowy błąd myślowy polega na wrzuceniu „wszystkiego co bezpieczne i zdalne” do jednego worka. Dobra praktyka administracyjna jest taka, żeby rozróżniać warstwę sieciową (VPN, routing – RRAS) od warstwy danych (backup, szyfrowanie plików) i od warstwy tożsamości (logowanie, uprawnienia – AD, GPO). Zrozumienie tej separacji ról bardzo pomaga przy projektowaniu poprawnej i bezpiecznej infrastruktury.