Mapiranje AD lokacija nasuprot fiksiranju kontrolera domene za VPN klijente

Klijenti udaljenog pristupa na VPN poolu mogu završiti u razgovoru s kontrolerom domene na drugom kraju svijeta, a to se može popraviti na dva načina: opisati pool kao Active Directory podmrežu vezanu za lokaciju koja drži ispravne kontrolere, ili fiksirati klijenta ili aplikaciju za jedan određeni kontroler. Prvo je izjava o topologiji na koju DC Locator može djelovati. Drugo je nadjačavanje po aplikaciji koje topologiju potpuno zanemaruje. Koštaju različito, a posezanje za bržim danas je način na koji tim za direktorij na kraju održava oboje.

Šta svaki pristup zaista mijenja

Objekt podmreže je zapis u direktoriju koji kaže kojoj lokaciji pripada raspon adresa. Uz modul Active Directory i postojeću lokaciju, operacija je dovoljno mala da se pregleda:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf pregleda upis u direktorij. Ne stvara objekt i ne provjerava može li klijent iz tog raspona doći do bilo čega, a to je dio koji ljudi očekuju. DC Locator čita model lokacija kada razrješava zapise usluga, pa tačan objekt podmreže mijenja ono što se klijentu nudi.

Fiksiranje radi na drugom sloju. Fiksno ime kontrolera u konfiguraciji aplikacije, LDAP niz s hostom u sebi ili vrijednost registra koja imenuje preferirani server uklanjaju otkrivanje iz puta. Aplikacija razgovara s tim kontrolerom dok neko ne promijeni postavku, a prebacivanje pri otkazu je ono što ta aplikacija implementira.

Gdje mapiranje podmreže pobjeđuje

Mapiranje poola opisuje mrežnu lokaciju jednom, za svakog klijenta koji koristi DC Locator. Kada pool naraste s jedne /24 na tri, model se mijenja u dva ili tri objekta umjesto u inventar aplikacija. To je cijela prednost, i velika je kada populacija klijenata nije pod vašom kontrolom.

Kvaka je da objekt mora odgovarati adresi koju kontroler zaista vidi. Ako VPN gateway prevodi svakog klijenta u adresu koncentratora, dodavanje neprevedenog poola opisuje mrežnu lokaciju koju nijedan kontroler nikada ne opaža. Odlučite rano da li dizajn čuva izvornu adresu klijenta, i ako ne, mapirajte prevedeni raspon umjesto poola koji ste konfigurisali na VPN serveru.

Drugo ograničenje: model lokacija je preferencija i izjava o topologiji. Ne čini kontroler dostupnim i ne daje korisniku ništa. Dostupnost rade rute i politika vatrozida; autorizaciju radi politika računa.

Gdje fiksiranje pobjeđuje

Fiksiranje je pravi odgovor kada otkrivanje ne može raditi: zastarjela aplikacija koja razrješava kontroler po imenu koje ne možete promijeniti, filter koji dopušta tačno jednu adresu kontrolera, ili fiksni skup servera gdje je kontroler dio dizajna aplikacije. U tim slučajevima fiksiranje je dokumentacija stvarne granice, a ne prečica.

Njegova cijena je suprotna mapiranju. Fiksno ime ne slijedi pool, ne prebacuje se pri otkazu osim ako aplikacija zna kako, i ne preživljava preimenovanje ili povlačenje kontrolera bez pregleda inventara. Također skriva probleme topologije, jer svaki klijent koji fiksira izgleda zdrav dok model lokacija tiho trune.

Zamjena uobičajenih adresnih zapisa domene jednim preferiranim serverom nije treća opcija. To lomi svakog potrošača koji očekuje normalni skup otkrivanja, i dalje ne kontroliše kako klijent svjestan direktorija bira lokaciju.

Birajte po tri uslova

Pitajte ih ovim redom i odluka se obično sama donese. Prvo, koristi li aplikacija DC Locator uopšte, ili već nosi adresu kontrolera? Drugo, vidi li kontroler adresu poola ili prevedenu? Treće, koliko često se pool mijenja u poređenju s tim na koliko bi mjesta fiksiranje trebalo ažurirati?

Aplikacije svjesne direktorija plus rutiranje koje čuva izvor plus pool koji se mijenja: mapirajte podmrežu. Aplikacija koja ne može otkriti, ili filter koji dopušta jednu adresu: fiksirajte je i zapišite zašto. Sve ostalo je slučaj za popravku topologije, a ne za dodavanje još jednog nadjačavanja.

Provjerite s VPN klijenta i držite ugovore odvojeno

Testirajte s pravog udaljenog puta, ne s LAN radne stanice koja već sjedi na lokaciji. Mjerodavan je samo vlastiti pogled klijenta:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ako je prijavljena lokacija ona koju ste mapirali, objekt se poklapa. Ako klijent ne prijavi nikakvu lokaciju, adresa koju predstavlja ne pada ni u jedan objekt podmreže, što obično znači prevođenje ili zastario prefiks. Zatim provjerite da je odabrani kontroler onaj koji ste namjeravali prije nego pretpostavite da je mapiranje neuspješno, jer klijenti keširaju rezultate otkrivanja i prebacivanje pri otkazu može legitimno odabrati drugi kontroler.

Držite tri ugovora u jednom dokumentu: pool i njegove objekte podmreža, kontrolere dostupne s VPN puta, i politiku koja odlučuje šta prijavljeni korisnik smije raditi. Lokacija nije pravilo vatrozida i nije granica izolacije, a sljedeća promjena poola tiho će odvojiti udaljene korisnike od mrežnog modela direktorija ako se mapiranje, rute i dokumentovane alternative ne kreću zajedno.