Mapování lokalit AD versus připnutí řadiče domény pro klienty VPN

Klienti vzdáleného přístupu v poolu VPN mohou skončit v rozhovoru s řadičem domény na opačné straně světa a jde to opravit dvěma způsoby: popsat pool jako podsíť Active Directory svázanou s lokalitou, která má správné řadiče, nebo připnout klienta či aplikaci k jednomu konkrétnímu řadiči. První je tvrzení o topologii, se kterým umí DC Locator pracovat. Druhé je přepis na úrovni aplikace, který topologii úplně ignoruje. Stojí různé věci a sáhnout dnes po rychlejším je přesně to, jak tým pro adresář skončí údržbou obojího.

Co každý přístup skutečně mění

Objekt podsítě je záznam v adresáři, který říká, ke které lokalitě patří rozsah adres. S modulem Active Directory a existující lokalitou je operace dost malá na to, aby se dala zobrazit náhledem:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf zobrazí náhled zápisu do adresáře. Objekt nevytvoří a neověří, zda se klient z toho rozsahu na něco dostane, což je právě ta část, kterou lidé čekají. DC Locator čte model lokalit, když překládá záznamy služeb, takže přesný objekt podsítě mění to, co se klientovi nabízí.

Připnutí pracuje v jiné vrstvě. Pevné jméno řadiče v konfiguraci aplikace, řetězec LDAP s hostitelem uvnitř nebo hodnota registru, která pojmenovává preferovaný server, to vše odstraňuje z cesty vyhledávání. Aplikace mluví s tímto řadičem, dokud někdo nastavení nezmění, a přepnutí při výpadku je to, co daná aplikace implementuje.

Kde mapování podsítě vítězí

Namapování poolu popisuje síťové umístění jednou, pro každého klienta, který používá DC Locator. Když pool vyroste z jedné /24 na tři, model se změní ve dvou nebo třech objektech místo v inventáři aplikací. To je celá výhoda a je velká, když populace klientů není pod vaší kontrolou.

Háček je v tom, že objekt musí odpovídat adrese, kterou řadič skutečně vidí. Pokud VPN brána překládá každého klienta na adresu hubu, přidání nepřeloženého poolu popisuje síťové umístění, které žádný řadič nikdy nepozoruje. Rozhodněte brzy, zda návrh zachovává zdrojovou adresu klienta, a pokud ne, mapujte přeložený rozsah místo poolu, který jste nakonfigurovali na serveru VPN.

Druhý limit: model lokalit je preference a tvrzení o topologii. Neudělá řadič dostupným a uživateli nic nedá. Dostupnost dělají trasy a politika firewallu; autorizaci politika účtů.

Kde vítězí připnutí

Připnutí je správná odpověď, když vyhledávání nemůže fungovat: starší aplikace, která překládá řadič podle jména, jež nemůžete změnit, filtr, který povoluje přesně jednu adresu řadiče, nebo pevná sada serverů, kde je řadič součástí návrhu aplikace. V těch případech je připnutí dokumentací skutečného omezení, ne zkratkou.

Jeho cena je opakem mapování. Připnuté jméno nenásleduje pool, nepřepíná při výpadku, pokud to aplikace neumí, a nepřežije přejmenování nebo vyřazení řadiče bez inventurní kontroly. Také skrývá problémy topologie, protože každý připnutý klient vypadá zdravě, zatímco model lokalit tiše hnije.

Nahradit běžné adresní záznamy domény jedním preferovaným serverem není třetí možnost. Rozbíjí každého konzumenta, který očekává normální sadu pro vyhledávání, a stejně neřídí, jak klient znalý adresáře volí lokalitu.

Vybírejte podle tří podmínek

Ptejte se v tomto pořadí a rozhodnutí obvykle padne samo. Za prvé, používá aplikace DC Locator vůbec, nebo už nese adresu řadiče? Za druhé, vidí řadič adresu poolu, nebo přeloženou? Za třetí, jak často se pool mění ve srovnání s tím, na kolika místech by se muselo aktualizovat připnutí?

Aplikace znalé adresáře plus směrování zachovávající zdroj plus pool, který se mění: mapujte podsíť. Aplikace, která neumí vyhledávat, nebo filtr, který připouští jednu adresu: připněte ji a napište proč. Vše ostatní je případ pro opravu topologie, ne pro přidání dalšího přepisu.

Ověřujte z klienta VPN a držte smlouvy oddělené

Testujte ze skutečné vzdálené cesty, ne z pracovní stanice v LAN, která už v lokalitě sedí. Rozhoduje jediný pohled, a to ten klientův:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Pokud je hlášená lokalita ta, kterou jste namapovali, objekt odpovídá. Pokud klient nehlásí žádnou lokalitu, adresa, kterou předkládá, nespadá do žádného objektu podsítě, což obvykle znamená překlad nebo zastaralý prefix. Pak ověřte, že zvolený řadič je ten, který jste zamýšleli, než usoudíte, že mapování selhalo, protože klienti kešují výsledky vyhledávání a přepnutí při výpadku může legitimně zvolit jiný řadič.

Držte tři smlouvy v jednom dokumentu: pool a jeho objekty podsítí, řadiče dostupné z cesty VPN a politiku, která rozhoduje, co smí přihlášený uživatel dělat. Lokalita není pravidlo firewallu ani hranice izolace a příští změna poolu tiše odpojí vzdálené uživatele od síťového modelu adresáře, pokud se mapování, trasy a zdokumentované alternativy nepohnou společně.