تعيين موقع AD مقابل تثبيت وحدة تحكم مجال لعملاء VPN

قد ينتهي عملاء الوصول البعيد على تجمع VPN بالحديث مع وحدة تحكم مجال في الطرف الآخر من العالم، وهناك طريقتان لإصلاح ذلك: وصف التجمع كنطاق فرعي في Active Directory مرتبط بالموقع الذي يضم وحدات التحكم الصحيحة، أو تثبيت العميل أو التطبيق على وحدة تحكم واحدة محددة. الأولى بيان طوبولوجيا يستطيع DC Locator التعامل معه. الثانية تجاوز على مستوى كل تطبيق يتجاهل الطوبولوجيا كليًا. تكلفتهما مختلفة، واللجوء اليوم إلى الأسرع هو ما يجعل فريق الدليل ينتهي إلى صيانة الاثنين معًا.

ما يغيّره كل أسلوب فعليًا

كائن النطاق الفرعي سجل في الدليل يحدد الموقع الذي ينتمي إليه نطاق عناوين. مع وحدة Active Directory وموقع قائم، تكون العملية صغيرة بما يكفي لمعاينتها:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf يعاين الكتابة في الدليل. لا ينشئ الكائن ولا يختبر ما إذا كان عميل في ذلك النطاق يستطيع الوصول إلى أي شيء، وهذا هو الجزء الذي يتوقعه الناس. يقرأ DC Locator نموذج المواقع عندما يحل سجلات الخدمة، لذا فإن كائن نطاق فرعي دقيق يغيّر ما يُعرض على العميل.

التثبيت يعمل في طبقة مختلفة. اسم وحدة تحكم ثابت في إعداد تطبيق، أو سلسلة LDAP تحتوي على مضيف، أو قيمة في السجل تسمّي خادمًا مفضلًا، كلها تزيل الاكتشاف من المسار. يتحدث التطبيق إلى وحدة التحكم تلك حتى يغيّر أحدهم الإعداد، والتبديل عند الفشل هو ما ينفذه ذلك التطبيق.

أين يتفوق تعيين النطاق الفرعي

تعيين التجمع يصف الموقع الشبكي مرة واحدة، لكل عميل يستخدم DC Locator. عندما ينمو التجمع من نطاق /24 واحد إلى ثلاثة، يتغيّر النموذج في كائنين أو ثلاثة بدلًا من جرد التطبيقات. هذه هي الميزة كلها، وهي كبيرة عندما لا يكون عدد العملاء تحت سيطرتك.

المشكلة أن الكائن يجب أن يطابق العنوان الذي تراه وحدة التحكم فعليًا. إذا كانت بوابة VPN تترجم كل عميل إلى عنوان المحور، فإن إضافة التجمع غير المترجم تصف موقعًا شبكيًا لا تراه أي وحدة تحكم. قرر مبكرًا ما إذا كان التصميم يحافظ على عنوان المصدر للعميل، وإن لم يكن كذلك، عيّن النطاق المترجم بدلًا من التجمع الذي أعددته على خادم VPN.

حد ثانٍ: نموذج المواقع تفضيل وبيان طوبولوجيا. لا يجعل وحدة تحكم قابلة للوصول، ولا يمنح مستخدمًا أي شيء. المسارات وسياسة الجدار الناري توفران الوصول؛ وسياسة الحساب توفر التخويل.

أين يتفوق التثبيت

التثبيت هو الجواب الصحيح عندما لا يمكن للاكتشاف أن يعمل: تطبيق قديم يحل وحدة تحكم باسم لا يمكنك تغييره، أو مرشح يسمح بعنوان وحدة تحكم واحد فقط، أو مجموعة ثابتة من الخوادم تكون فيها وحدة التحكم جزءًا من تصميم التطبيق. في تلك الحالات يكون التثبيت توثيقًا لقيد حقيقي لا اختصارًا.

تكلفته عكس التعيين. الاسم المثبت لا يتبع التجمع، ولا يبدل عند الفشل إلا إذا كان التطبيق يعرف كيف، ولا يصمد أمام إعادة تسمية وحدة تحكم أو إخراجها من الخدمة دون مسح للجرد. كما يخفي مشكلات الطوبولوجيا، لأن كل عميل مثبت يبدو سليمًا بينما يتحلل نموذج المواقع بهدوء.

استبدال سجلات العناوين العادية في المجال بخادم مفضل واحد ليس خيارًا ثالثًا. يكسر كل مستهلك يتوقع مجموعة الاكتشاف المعتادة، ولا يتحكم بعد ذلك في كيفية اختيار عميل واعٍ بالدليل لموقع ما.

اختر وفق ثلاثة شروط

اسألها بهذا الترتيب وعادة ما يتخذ القرار نفسه. أولًا، هل يستخدم التطبيق DC Locator أصلًا، أم يحمل بالفعل عنوان وحدة تحكم؟ ثانيًا، هل ترى وحدة التحكم عنوان التجمع، أم عنوانًا مترجمًا؟ ثالثًا، كم مرة يتغيّر التجمع مقارنة بعدد المواضع التي يحتاج التثبيت إلى تحديثها؟

تطبيقات واعية بالدليل مع توجيه يحافظ على المصدر وتجمع يتغيّر: عيّن النطاق الفرعي. تطبيق لا يستطيع الاكتشاف، أو مرشح يقبل عنوانًا واحدًا: ثبّته، واكتب السبب. كل ما عدا ذلك حالة لإصلاح الطوبولوجيا بدلًا من إضافة تجاوز آخر.

تحقق من عميل VPN وافصل العقود

اختبر من المسار البعيد الفعلي، لا من محطة عمل LAN موجودة أصلًا في الموقع. رؤية العميل نفسه هي الوحيدة المهمة:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

إذا كان الموقع المُبلَّغ هو الذي عيّنته، فالكائن مطابق. إذا لم يبلّغ العميل عن أي موقع، فإن العنوان الذي يقدمه لا يقع داخل أي كائن نطاق فرعي، وهذا يعني عادة ترجمة أو بادئة قديمة. ثم تحقق من أن وحدة التحكم المختارة هي التي قصدتها قبل افتراض فشل التعيين، لأن العملاء يخزنون نتائج الاكتشاف وقد يختار التبديل عند الفشل وحدة تحكم أخرى بشكل مشروع.

احتفظ بالعقود الثلاثة في مستند واحد: التجمع وكائنات النطاق الفرعي الخاصة به، ووحدات التحكم التي يمكن الوصول إليها من مسار VPN، والسياسة التي تحدد ما يجوز لمستخدم مسجل الدخول فعله. الموقع ليس قاعدة جدار ناري ولا حدود احتواء، والتغيير التالي في التجمع سيفصل مستخدمي الوصول البعيد بصمت عن نموذج الشبكة في الدليل ما لم تتحرك الخريطة والمسارات والبدائل الموثقة معًا.