Супастаўленне сайтаў AD і замацаванне кантралёра дамена для VPN-кліентаў

Кліенты аддаленага доступу ў пуле VPN могуць у рэшце рэшт размаўляць з кантралёрам дамена на іншым канцы свету, і выправіць гэта можна дзвюма шляхамі: апісаць пул як падсетку Active Directory, прывязаную да сайта з патрэбнымі кантралёрамі, або замацаваць кліента ці праграму за адным пэўным кантралёрам. Першае — гэта заява пра тапалогію, з якой DC Locator можа працаваць. Другое — пераазначэнне на ўзроўні праграмы, якое цалкам ігнаруе тапалогію. Яны каштуюць па-рознаму, і менавіта спроба сёння ўзяць хутчэйшае прыводзіць да таго, што каманда каталога пачынае падтрымліваць абодва.

Што насамрэч змяняе кожны падыход

Аб’ект падсеткі — гэта запіс каталога, які паказвае, да якога сайта належыць дыяпазон адрасоў. З модулем Active Directory і існуючым сайтам аперацыя досыць малая, каб яе папярэдне прагледзець:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf папярэдне паказвае запіс у каталог. Ён не стварае аб’ект і не правярае, ці можа кліент з гэтага дыяпазону да чагосьці дабрацца, а менавіта гэтага людзі і чакаюць. DC Locator чытае мадэль сайтаў, калі вырашае запісы службаў, таму дакладны аб’ект падсеткі змяняе тое, што прапануецца кліенту.

Замацаванне працуе на іншым узроўні. Фіксаванае імя кантралёра ў канфігурацыі праграмы, радок LDAP з хастом унутры або значэнне рэестра, якое называе пераважны сервер, — усё гэта прыбірае выяўленне з шляху. Праграма размаўляе з гэтым кантралёрам, пакуль хтосьці не зменіць наладу, а пераключэнне пры збоі — гэта тое, што рэалізуе сама праграма.

Дзе выйграе супастаўленне падсетак

Супастаўленне пула апісвае сеткавае месца адзін раз, для кожнага кліента, які карыстаецца DC Locator. Калі пул вырастае з адной /24 да трох, мадэль змяняецца ў двух ці трох аб’ектах замест інвентара праграм. У гэтым уся перавага, і яна вялікая, калі колькасць кліентаў не пад вашай кантролем.

Праблема ў тым, што аб’ект мусіць адпавядаць адрасу, які кантралёр насамрэч бачыць. Калі VPN-шлюз перакладае кожнага кліента на адрас канцэнтратара, даданне неперакладзенага пула апісвае сеткавае месца, якога ніводзін кантралёр ніколі не назірае. Вырашыце загадзя, ці захоўвае дызайн зыходны адрас кліента, і калі не, супастаўляйце перакладзены дыяпазон замест пула, наладжанага на VPN-серверы.

Другое абмежаванне: мадэль сайтаў — гэта перавага і заява пра тапалогію. Яна не робіць кантралёр дасяжным і нічога не дае карыстальніку. Дасяжнасць забяспечваюць маршруты і палітыка брандмаўэра; аўтарызацыю — палітыка ўліковых запісаў.

Дзе выйграе замацаванне

Замацаванне — слушны адказ, калі выяўленне не можа працаваць: старая праграма, якая вырашае кантралёр па імені, якое вы не можаце змяніць, фільтр, што дазваляе роўна адзін адрас кантралёра, або фіксаваны набор сервераў, дзе кантралёр з’яўляецца часткай дызайну праграмы. У такіх выпадках замацаванне — гэта дакументаванне рэальнага абмежавання, а не хуткі абыход.

Яго кошт процілеглы супастаўленню. Замацаванае імя не ідзе за пулам, не пераключаецца пры збоі, калі праграма не ўмее, і не перажывае перайменаванне або вывад кантралёра з эксплуатацыі без перагляду інвентара. Яно таксама хавае праблемы тапалогіі, бо кожны замацаваны кліент выглядае здаровым, пакуль мадэль сайтаў ціха гніе.

Замена звычайных адрасных запісаў дамена адным пераважным серверам — не трэці варыянт. Гэта ламае кожнага спажыўца, які чакае звычайны набор выяўлення, і ўсё роўна не кіруе тым, як кліент, які ведае каталог, выбірае сайт.

Выбірайце па трох умовах

Спытайце іх у такім парадку, і рашэнне звычайна прыходзіць само. Па-першае, ці карыстаецца праграма DC Locator наогул, ці ўжо нясе адрас кантралёра? Па-другое, ці бачыць кантралёр адрас пула, ці перакладзены? Па-трэцяе, як часта змяняецца пул у параўнанні з тым, колькі месцаў трэба было б абнавіць пры замацаванні?

Праграмы, якія ведаюць каталог, плюс маршрутызацыя з захаваннем зыходнага адраса, плюс пул, што змяняецца: супастаўляйце падсетку. Праграма, якая не можа выявіць, або фільтр, што дапускае адзін адрас: замацуйце яе і запішыце чаму. Усё астатняе — гэта выпадак выправіць тапалогію, а не дадаць яшчэ адно пераазначэнне.

Правярайце з VPN-кліента і трымайце дагаворы асобна

Тэстуйце з рэальнага аддаленага шляху, а не з працоўнай станцыі LAN, якая ўжо знаходзіцца на сайце. Важны толькі ўласны погляд кліента:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Калі паведамлены сайт — той, які вы супаставілі, аб’ект адпавядае. Калі кліент не паведамляе ніводнага сайта, адрас, які ён прадстаўляе, не трапляе ні ў адзін аб’ект падсеткі, што звычайна азначае пераклад або састарэлы прэфікс. Затым праверце, што выбраны кантралёр — менавіта той, які вы мелі на ўвазе, перш чым меркаваць, што супастаўленне не ўдалося, бо кліенты кэшуюць вынікі выяўлення, і пераключэнне пры збоі можа цалкам законна выбраць іншы кантралёр.

Трымайце тры дагаворы ў адным дакуменце: пул і яго аб’екты падсетак, кантралёры, дасяжныя з шляху VPN, і палітыку, якая вызначае, што можа рабіць карыстальнік пасля ўваходу. Сайт — гэта не правіла брандмаўэра і не мяжа ізаляцыі, і наступная змена пула моўчкі аддзяліць аддаленых карыстальнікаў ад сеткавай мадэлі каталога, калі супастаўленне, маршруты і дакументаваныя альтэрнатывы не рухаюцца разам.