Αντιστοίχιση τοποθεσίας AD έναντι καρφιτσώματος ελεγκτή τομέα για πελάτες VPN

Οι πελάτες απομακρυσμένης πρόσβασης σε μια δεξαμενή VPN μπορεί να καταλήξουν να μιλούν με έναν ελεγκτή τομέα στην άλλη άκρη του κόσμου, και αυτό διορθώνεται με δύο τρόπους: να περιγράψετε τη δεξαμενή ως υποδίκτυο του Active Directory συνδεδεμένο με την τοποθεσία που έχει τους σωστούς ελεγκτές, ή να καρφιτσώσετε τον πελάτη ή την εφαρμογή σε έναν συγκεκριμένο ελεγκτή. Το πρώτο είναι μια δήλωση τοπολογίας πάνω στην οποία μπορεί να δράσει το DC Locator. Το δεύτερο είναι μια παράκαμψη ανά εφαρμογή που αγνοεί εντελώς την τοπολογία. Κοστίζουν διαφορετικά πράγματα, και το να αρπάξετε σήμερα το γρηγορότερο είναι ακριβώς το πώς μια ομάδα καταλόγου καταλήγει να συντηρεί και τα δύο.

Τι αλλάζει πραγματικά κάθε προσέγγιση

Ένα αντικείμενο υποδικτύου είναι μια εγγραφή καταλόγου που λέει σε ποια τοποθεσία ανήκει ένα εύρος διευθύνσεων. Με το module του Active Directory και μια υπάρχουσα τοποθεσία, η πράξη είναι αρκετά μικρή ώστε να προεπισκοπηθεί:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

Το -WhatIf προεπισκοπεί την εγγραφή στον κατάλογο. Δεν δημιουργεί το αντικείμενο και δεν ελέγχει αν ένας πελάτης σε αυτό το εύρος μπορεί να φτάσει κάτι, και αυτό ακριβώς περιμένουν οι άνθρωποι. Το DC Locator διαβάζει το μοντέλο τοποθεσιών όταν επιλύει τις εγγραφές υπηρεσίας, οπότε ένα ακριβές αντικείμενο υποδικτύου αλλάζει το τι προσφέρεται στον πελάτη.

Το καρφίτσωμα δουλεύει σε άλλο επίπεδο. Ένα σταθερό όνομα ελεγκτή στη διαμόρφωση μιας εφαρμογής, ένα αλφαριθμητικό LDAP με κεντρικό υπολογιστή μέσα, ή μια τιμή μητρώου που ονομάζει έναν προτιμώμενο διακομιστή, όλα αφαιρούν την ανακάλυψη από τη διαδρομή. Η εφαρμογή μιλά με αυτόν τον ελεγκτή μέχρι κάποιος να αλλάξει τη ρύθμιση, και η εναλλαγή σε αποτυχία είναι ό,τι υλοποιεί η ίδια η εφαρμογή.

Πού κερδίζει η αντιστοίχιση υποδικτύου

Η αντιστοίχιση της δεξαμενής περιγράφει τη θέση στο δίκτυο μία φορά, για κάθε πελάτη που χρησιμοποιεί το DC Locator. Όταν η δεξαμενή μεγαλώνει από ένα /24 σε τρία, το μοντέλο αλλάζει σε δύο ή τρία αντικείμενα αντί σε ένα κατάλογο εφαρμογών. Αυτό είναι όλο το πλεονέκτημα, και είναι μεγάλο όταν ο πληθυσμός των πελατών δεν είναι υπό τον έλεγχό σας.

Η παγίδα είναι ότι το αντικείμενο πρέπει να ταιριάζει με τη διεύθυνση που βλέπει πραγματικά ο ελεγκτής. Αν η πύλη VPN μεταφράζει κάθε πελάτη σε διεύθυνση κόμβου, η προσθήκη της αμετάφραστης δεξαμενής περιγράφει μια θέση δικτύου που κανένας ελεγκτής δεν παρατηρεί ποτέ. Αποφασίστε νωρίς αν η σχεδίαση διατηρεί τη διεύθυνση προέλευσης του πελάτη, και αν δεν τη διατηρεί, αντιστοιχίστε το μεταφρασμένο εύρος αντί της δεξαμενής που ρυθμίσατε στον διακομιστή VPN.

Ένα δεύτερο όριο: το μοντέλο τοποθεσιών είναι προτίμηση και δήλωση τοπολογίας. Δεν κάνει έναν ελεγκτή προσβάσιμο και δεν παρέχει τίποτα σε έναν χρήστη. Η προσβασιμότητα γίνεται με διαδρομές και πολιτική τείχους προστασίας· η εξουσιοδότηση με πολιτική λογαριασμών.

Πού κερδίζει το καρφίτσωμα

Το καρφίτσωμα είναι η σωστή απάντηση όταν η ανακάλυψη δεν μπορεί να δουλέψει: μια παλιά εφαρμογή που επιλύει ελεγκτή με όνομα που δεν μπορείτε να αλλάξετε, ένα φίλτρο που επιτρέπει ακριβώς μία διεύθυνση ελεγκτή, ή ένα σταθερό σύνολο διακομιστών όπου ο ελεγκτής είναι μέρος της σχεδίασης της εφαρμογής. Σε αυτές τις περιπτώσεις το καρφίτσωμα είναι τεκμηρίωση ενός πραγματικού περιορισμού, όχι συντόμευση.

Το κόστος του είναι το αντίθετο της αντιστοίχισης. Ένα καρφιτσωμένο όνομα δεν ακολουθεί τη δεξαμενή, δεν εναλλάσσεται σε αποτυχία αν η εφαρμογή δεν ξέρει πώς, και δεν επιβιώνει από μετονομασία ή παροπλισμό ελεγκτή χωρίς σάρωση απογραφής. Κρύβει επίσης προβλήματα τοπολογίας, γιατί κάθε πελάτης που καρφιτσώνεται φαίνεται υγιής ενώ το μοντέλο τοποθεσιών σαπίζει σιωπηλά.

Η αντικατάσταση των συνηθισμένων εγγραφών διεύθυνσης του τομέα με έναν προτιμώμενο διακομιστή δεν είναι τρίτη επιλογή. Σπάει κάθε καταναλωτή που περιμένει το κανονικό σύνολο ανακάλυψης, και ακόμη δεν ελέγχει πώς ένας πελάτης που γνωρίζει τον κατάλογο επιλέγει τοποθεσία.

Επιλέξτε με τρεις συνθήκες

Ρωτήστε τις με αυτή τη σειρά και η απόφαση συνήθως παίρνεται μόνη της. Πρώτον, χρησιμοποιεί η εφαρμογή καθόλου το DC Locator, ή φέρει ήδη διεύθυνση ελεγκτή; Δεύτερον, βλέπει ο ελεγκτής τη διεύθυνση της δεξαμενής, ή μια μεταφρασμένη; Τρίτον, πόσο συχνά αλλάζει η δεξαμενή σε σύγκριση με το σε πόσα σημεία θα έπρεπε να ενημερωθεί ένα καρφίτσωμα;

Εφαρμογές που γνωρίζουν τον κατάλογο συν δρομολόγηση που διατηρεί την προέλευση συν μια δεξαμενή που αλλάζει: αντιστοιχίστε το υποδίκτυο. Μια εφαρμογή που δεν μπορεί να ανακαλύψει, ή ένα φίλτρο που δέχεται μία διεύθυνση: καρφιτσώστε το, και γράψτε γιατί. Όλα τα άλλα είναι υπόθεση για διόρθωση της τοπολογίας αντί για προσθήκη άλλης παράκαμψης.

Επαληθεύστε από τον πελάτη VPN και κρατήστε τα συμβόλαια χωριστά

Δοκιμάστε από την πραγματική απομακρυσμένη διαδρομή, όχι από σταθμό εργασίας LAN που βρίσκεται ήδη στην τοποθεσία. Μόνο η άποψη του ίδιου του πελάτη μετράει:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Αν η αναφερόμενη τοποθεσία είναι αυτή που αντιστοιχίσατε, το αντικείμενο ταιριάζει. Αν ο πελάτης δεν αναφέρει τοποθεσία, η διεύθυνση που παρουσιάζει δεν πέφτει μέσα σε κανένα αντικείμενο υποδικτύου, που συνήθως σημαίνει μετάφραση ή παλιό πρόθεμα. Έπειτα ελέγξτε ότι ο ελεγκτής που επιλέχθηκε είναι αυτός που σκοπεύατε πριν υποθέσετε ότι η αντιστοίχιση απέτυχε, γιατί οι πελάτες αποθηκεύουν προσωρινά τα αποτελέσματα ανακάλυψης και η εναλλαγή σε αποτυχία μπορεί νομίμως να επιλέξει άλλον ελεγκτή.

Κρατήστε τα τρία συμβόλαια σε ένα έγγραφο: τη δεξαμενή και τα αντικείμενα υποδικτύου της, τους ελεγκτές που είναι προσβάσιμοι από τη διαδρομή VPN, και την πολιτική που αποφασίζει τι επιτρέπεται να κάνει ένας συνδεδεμένος χρήστης. Η τοποθεσία δεν είναι κανόνας τείχους προστασίας και δεν είναι όριο περιορισμού, και η επόμενη αλλαγή της δεξαμενής θα αποσυνδέσει σιωπηλά τους απομακρυσμένους χρήστες από το μοντέλο δικτύου του καταλόγου, εκτός αν η αντιστοίχιση, οι διαδρομές και οι τεκμηριωμένες εναλλακτικές κινηθούν μαζί.