Mapio safle AD yn erbyn pinio rheolydd parth ar gyfer cleientiaid VPN

Gall cleientiaid mynediad o bell ar bwll VPN orffen siarad a rheolydd parth ar ochr arall y byd, ac mae dwy ffordd i drwsio hynny: disgrifio’r pwll fel is-rwydwaith Active Directory sydd wedi’i rwymo at y safle sy’n dal y rheolyddion cywir, neu binio’r cleient neu’r rhaglen at un rheolydd penodol. Mae’r cyntaf yn ddatganiad topoleg y gall DC Locator weithredu arno. Mae’r ail yn drechraddoliad fesul rhaglen sy’n anwybyddu’r dopoleg yn gyfan gwbl. Maent yn costio pethau gwahanol, a chipio’r un cyflymaf heddiw yw’r ffordd y mae tîm cyfeiriadur yn gorffen cynnal y ddau.

Beth mae pob dull yn ei newid mewn gwirionedd

Mae gwrthrych is-rwydwaith yn gofnod yn y cyfeiriadur sy’n dweud i ba safle y perthyn ystod o gyfeiriadau. Gyda modiwl Active Directory a safle sy’n bodoli eisoes, mae’r gweithrediad yn ddigon bach i’w ragweld:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

Mae -WhatIf yn rhagweld y sgrifenedd yn y cyfeiriadur. Nid yw’n creu’r gwrthrych ac nid yw’n profi a all cleient yn yr ystod honno gyrraedd unrhyw beth, a dyna’r rhan y mae pobl yn ei disgwyl. Mae DC Locator yn darllen model y safleoedd pan fydd yn datrys cofnodion gwasanaeth, felly mae gwrthrych is-rwydwaith cywir yn newid yr hyn a gynigir i’r cleient.

Mae pinio’n gweithio ar haen wahanol. Enw rheolydd sefydlog mewn ffurfweddiad rhaglen, llinyn LDAP ag iddo westeiwr, neu werth cofrestr sy’n enwi gweinydd a ffefrir, i gyd yn tynnu’r darganfyddiad o’r llwybr. Mae’r rhaglen yn siarad â’r rheolydd hwnnw nes bydd rhywun yn newid y gosodiad, a’r troi drosodd ar fethiant yw’r hyn y mae’r rhaglen honno’n ei weithredu.

Lle mae mapio is-rwydwaith yn ennill

Mae mapio’r pwll yn disgrifio lleoliad rhwydwaith unwaith, ar gyfer pob cleient sy’n defnyddio DC Locator. Pan fydd y pwll yn tyfu o un /24 i dri, mae’r model yn newid mewn dau neu dri gwrthrych yn lle mewn rhestr raglenni. Dyna’r fantais gyfan, ac mae’n fawr pan nad yw’r boblogaeth gleientiaid o dan eich rheolaeth.

Y tric yw bod yn rhaid i’r gwrthrych gyd-fynd â’r cyfeiriad y mae’r rheolydd yn ei weld mewn gwirionedd. Os yw’r giât VPN yn cyfieithu pob cleient i gyfeiriad canolbwynt, mae ychwanegu’r pwll heb ei gyfieithu’n disgrifio lleoliad rhwydwaith nad yw unrhyw reolydd byth yn ei arsylwi. Penderfynwch yn gynnar a yw’r dyluniad yn cadw cyfeiriad ffynhonnell y cleient, ac os nad yw, mapiwch yr ystod gyfieithiedig yn lle’r pwll a ffurfweddwyd gennych ar y gweinydd VPN.

Ail derfyn: mae model y safleoedd yn ffafriaeth ac yn ddatganiad topoleg. Nid yw’n gwneud rheolydd yn gyrraeddadwy ac nid yw’n rhoi unrhyw beth i ddefnyddiwr. Llwybrau a pholisi tân sy’n gwneud y cyrraeddadwyedd; polisi cyfrifon sy’n gwneud yr awdurdodiad.

Lle mae pinio yn ennill

Pinio yw’r ateb cywir pan na all darganfod weithio: hen raglen sy’n datrys rheolydd drwy enw na allwch ei newid, hidlydd sy’n caniatáu un cyfeiriad rheolydd yn union, neu set sefydlog o weinyddion lle mae’r rheolydd yn rhan o ddyluniad y rhaglen. Yn yr achosion hynny mae’r pin yn ddogfennaeth o gyfyngiad go iawn yn hytrach na llwybr byr.

Mae ei gost yn groes i’r mapio. Nid yw enw wedi’i binio yn dilyn y pwll, nid yw’n troi drosodd ar fethiant oni bai bod y rhaglen yn gwybod sut, ac nid yw’n goroesi ailenwi neu ddatgomisiynu rheolydd heb arolwg o’r rhestr eiddo. Mae hefyd yn cuddio problemau topoleg, oherwydd mae pob cleient sy’n pinio yn edrych yn iach tra bo model y safleoedd yn pydru’n dawel.

Nid yw disodli cofnodion cyfeiriad arferol y parth ag un gweinydd a ffefrir yn drydydd opsiwn. Mae’n torri pob defnyddiwr sy’n disgwyl y set arferol o ddarganfyddiad, ac nid yw hyd yn oed yn rheoli sut y mae cleient sy’n ymwybodol o’r cyfeiriadur yn dewis safle.

Dewiswch ar dri amod

Gofynnwch iddynt yn y drefn hon ac mae’r penderfyniad fel arfer yn gwneud ei hun. Yn gyntaf, a yw’r rhaglen yn defnyddio DC Locator o gwbl, neu a yw eisoes yn cario cyfeiriad rheolydd? Yn ail, a yw’r rheolydd yn gweld cyfeiriad y pwll, neu un cyfieithiedig? Yn drydydd, pa mor aml y mae’r pwll yn newid o i gymharu â sawl man y byddai angen diweddaru pin?

Rhaglenni sy’n ymwybodol o’r cyfeiriadur ynghyd â llwybro sy’n cadw’r ffynhonnell ynghyd â phwll sy’n newid: mapiwch yr is-rwydwaith. Rhaglen na all ddarganfod, neu hidlydd sy’n derbyn un cyfeiriad: piniwch ef, ac ysgrifennwch pam. Popeth arall yw achos dros drwsio’r dopoleg yn hytrach na chyflwyno trechraddoliad arall.

Gwiriwch o’r cleient VPN a chedwch y contractau ar wahân

Profwch o’r llwybr o bell go iawn, nid o waithfa LAN sydd eisoes yn y safle. Golygfa’r cleient ei hun yw’r unig un sy’n cyfrif:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Os mai’r safle a adroddwyd yw’r un a fapiwyd gennych, mae’r gwrthrych yn cyfateb. Os nad yw’r cleient yn adrodd unrhyw safle, nid yw’r cyfeiriad y mae’n ei gyflwyno yn syrthio o fewn unrhyw wrthrych is-rwydwaith, sydd fel arfer yn golygu cyfieithiad neu ragddodiad darfodedig. Yna gwiriwch mai’r rheolydd a ddewiswyd yw’r un a fwriadwyd gennych cyn tybio bod y mapio wedi methu, oherwydd mae cleientiaid yn cacheio canlyniadau darganfod a gall troi drosodd ar fethiant ddewis rheolydd arall yn gyfreithlon.

Cedwch y tri chontract mewn un ddogfen: y pwll a i wrthrychau is-rwydwaith, y rheolyddion sy’n gyrraeddadwy o lwybr VPN, a’r polisi sy’n penderfynu beth y caiff defnyddiwr sydd wedi mewngofnodi ei wneud. Nid yw safle yn rheol tân ac nid yw’n ffin cyfyngiant, a bydd y newid nesaf yn y pwll yn datgysylltu defnyddwyr o bell yn dawel oddi wrth fodel rhwydwaith y cyfeiriadur oni bai bod y mapio, y llwybrau a’r dewisiadau a ddogfennwyd yn symud gyda i gilydd.