AD gunearen mapaketa edo domeinu-kontrolatzaile bat finkatzea VPN bezeroentzat

VPN guneko urruneko sarbide bezeroek munduaren beste aldeko domeinu-kontrolatzaile batekin hitz egin dezakete, eta hori bi eratan konpon daiteke: gunea kontrolatzaile egokiak dituen tokiari lotutako Active Directory azpisare gisa deskribatzea, edo bezeroa edo aplikazioa kontrolatzaile zehatz batera finkatzea. Lehena DC Locatorrek erabili dezakeen topologia-adierazpena da. Bigarrena topologia erabat baztertzen duen aplikazio bakoitzeko gainidazketa da. Kostu desberdina dute, eta gaur egungo azkarrenari heltzea da direktorio-talde bat azkenean biak mantentzera eramaten duena.

Zer aldatzen duen benetan ikuspegi bakoitzak

Azpisare objektua direktorio-erregistro bat da, helbide-barruti bat zein tokirena den esaten duena. Active Directory moduluarekin eta lehendik dagoen toki batekin, eragiketa nahikoa txikia da aurrez ikusteko:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf direktorioko idazketa aurrez erakusten du. Ez du objektua sortzen eta ez du egiaztatzen barruti horretako bezero batek zerbaitengana irits daitekeen, eta hori da jendeak espero duen zatia. DC Locatorrek toki-eredua irakurtzen du zerbitzu-erregistroak ebazten dituenean, beraz azpisare objektu zehatz batek bezeroari eskaintzen zaiona aldatzen du.

Finkatzea beste geruza batean aritzen da. Aplikazio baten konfigurazioan kontrolatzaile-izen finkoa, ostalari bat duen LDAP katea edo zerbitzari hobetsi bat izendatzen duen erregistro-balioa: guztiek kentzen dute aurkikuntza bidetik. Aplikazioak kontrolatzaile horrekin hitz egiten du norbaitek ezarpena aldatu arte, eta hutsegitean aldatzea aplikazio horrek inplementatzen duena da.

Non irabazten duen azpisare-mapaketak

Gunea mapatzeak sare-kokapena behin deskribatzen du, DC Locator erabiltzen duen bezero bakoitzeko. Gunea /24 batetik hirura hazten denean, eredua bi edo hiru objektutan aldatzen da, aplikazio-inbentarioan beharrean. Hori da abantaila osoa, eta handia da bezero-kopurua zure kontrolpean ez dagoenean.

Kontua da objektuak kontrolatzaileak benetan ikusten duen helbidearekin bat egin behar duela. VPN ateak bezero bakoitza zentro-helbide batera itzultzen badu, itzuli gabeko gunea gehitzeak inongo kontrolatzailek inoiz ikusten ez duen sare-kokapen bat deskribatzen du. Erabaki goiz diseinuak bezeroaren iturburu-helbidea mantentzen duen, eta mantentzen ez badu, mapatu itzulitako barrutia VPN zerbitzarian konfiguratu duzun gunearen ordez.

Bigarren muga: toki-eredua lehentasuna eta topologia-adierazpena da. Ez du kontrolatzailea eskuragarri egiten eta ez dio erabiltzaileari ezer ematen. Ibilbideek eta suebaki-politikak egiten dute eskuragarritasuna; kontu-politikak egiten du baimena.

Non irabazten duen finkatzeak

Finkatzea erantzun zuzena da aurkikuntzak lan egin ezin duenean: alda ezin duzun izen baten bidez kontrolatzailea ebazten duen aplikazio zaharra, kontrolatzaile-helbide bat soilik onartzen duen iragazkia, edo kontrolatzailea aplikazioaren diseinuaren parte den zerbitzari-multzo finkoa. Kasu horietan finkatzea benetako murrizketa baten dokumentazioa da, ez lasterbidea.

Bere kostua mapaketaren kontrakoa da. Izen finkatuak ez du gunea jarraitzen, ez du hutsegitean aldatzen aplikazioak jakin ezean, eta ez du kontrolatzaile baten izen-aldaketa edo kentzea gainditzen inbentario-berrikusketa gabe. Topologia-arazoak ere ezkutatzen ditu, finkatzen duen bezero bakoitza osasuntsu dirudielako toki-eredua isilka usteltzen ari den bitartean.

Domeinuaren ohiko helbide-erregistroak zerbitzari hobetsi bakar batekin ordezkatzea ez da hirugarren aukera. Aurkikuntza-multzo normala espero duen kontsumitzaile oro hausten du, eta oraindik ez du kontrolatzen direktorioaz jabetzen den bezero batek nola hautatzen duen toki bat.

Aukeratu hiru baldintzaren arabera

Galdetu horrela ordenan eta erabakiak normalean bere burua hartzen du. Lehenik, aplikazioak DC Locator erabiltzen al du, edo jada kontrolatzaile-helbide bat darama? Bigarrenik, kontrolatzaileak guneko helbidea ikusten al du, edo itzulia? Hirugarrenik, zenbat aldiz aldatzen da gunea, finkatze batek zenbat tokitan eguneratu beharko lukeen alderatuta?

Direktorioaz jabetzen diren aplikazioak gehi iturburua mantentzen duen bideratzea gehi aldatzen den gunea: mapatu azpisarea. Aurkitu ezin duen aplikazioa, edo helbide bat onartzen duen iragazkia: finkatu, eta idatzi zergatik. Gainerako guztia topologia konpontzeko kasua da, beste gainidazketa bat gehitzekoa ez.

Egiaztatu VPN bezerotik eta mantendu kontratuak bereizita

Proba ezazu benetako urruneko bidetik, tokian dagoen LAN lanpostutik beharrean. Bezeroaren beraren ikuspegia da balio duen bakarra:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Jakinarazitako tokia mapatu zenuena bada, objektuak bat egiten du. Bezeroak ez badu tokirik jakinarazten, aurkezten duen helbidea ez da azpisare objektu batean ere sartzen, eta horrek normalean itzulpena edo aurrizki zaharkitua esan nahi du. Gero egiaztatu hautatutako kontrolatzailea nahi zenuena dela mapaketa huts egin zuela suposatu aurretik, bezeroek aurkikuntza-emaitzak cachean gordetzen dituztelako eta hutsegitean aldatzeak legez beste kontrolatzaile bat har dezakeelako.

Mantendu hiru kontratuak dokumentu bakarrean: gunea eta bere azpisare objektuak, VPN bidetik eskuragarri dauden kontrolatzaileak, eta saioa hasitako erabiltzaileak zer egin dezakeen erabakitzen duen politika. Toki bat ez da suebaki-araua eta ez da edukitzeko muga, eta hurrengo gune-aldaketak isilka deskonektatuko ditu urruneko erabiltzaileak direktorioaren sare-eredutik, mapaketak, ibilbideek eta dokumentatutako alternatibek elkarrekin mugitzen ez badira.