Mapiranje AD lokacije nasuprot prikvačivanju kontrolera domene za VPN klijente

Klijenti udaljenog pristupa na VPN poolu mogu završiti u razgovoru s kontrolerom domene na drugom kraju svijeta, a to se popravlja na dva načina: opisati pool kao Active Directory podmrežu vezanu uz lokaciju koja drži ispravne kontrolere, ili prikvačiti klijenta ili aplikaciju za jedan određeni kontroler. Prvo je izjava o topologiji na koju DC Locator može djelovati. Drugo je nadjačavanje po aplikaciji koje topologiju posve zanemaruje. Koštaju različito, a posezanje za bržim danas je upravo način na koji tim za imenik na kraju održava oboje.

Što svaki pristup zapravo mijenja

Objekt podmreže je zapis u imeniku koji kaže kojoj lokaciji pripada raspon adresa. Uz modul Active Directory i postojeću lokaciju, operacija je dovoljno mala da se pregleda:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf pregledava upis u imenik. Ne stvara objekt i ne provjerava može li klijent iz tog raspona doći do bilo čega, a to je dio koji ljudi očekuju. DC Locator čita model lokacija kada razrješava zapise usluga, pa točan objekt podmreže mijenja ono što se klijentu nudi.

Prikvačivanje radi na drugom sloju. Fiksno ime kontrolera u konfiguraciji aplikacije, LDAP niz s hostom u sebi ili vrijednost registra koja imenuje preferirani poslužitelj uklanjaju otkrivanje iz puta. Aplikacija razgovara s tim kontrolerom dok netko ne promijeni postavku, a prebacivanje pri otkazu je ono što ta aplikacija implementira.

Gdje mapiranje podmreže pobjeđuje

Mapiranje poola opisuje mrežnu lokaciju jednom, za svakog klijenta koji koristi DC Locator. Kada pool naraste s jedne /24 na tri, model se mijenja u dva ili tri objekta umjesto u inventaru aplikacija. To je cijela prednost, i velika je kada populacija klijenata nije pod vašom kontrolom.

Kvaka je da objekt mora odgovarati adresi koju kontroler stvarno vidi. Ako VPN gateway prevodi svakog klijenta u adresu koncentratora, dodavanje neprevedenog poola opisuje mrežnu lokaciju koju nijedan kontroler nikada ne opaža. Odlučite rano čuva li dizajn izvornu adresu klijenta, i ako ne, mapirajte prevedeni raspon umjesto poola koji ste konfigurirali na VPN poslužitelju.

Drugo ograničenje: model lokacija je preferencija i izjava o topologiji. Ne čini kontroler dostupnim i ne daje korisniku ništa. Dostupnost rade rute i politika vatrozida; autorizaciju radi politika računa.

Gdje prikvačivanje pobjeđuje

Prikvačivanje je pravi odgovor kada otkrivanje ne može raditi: zastarjela aplikacija koja razrješava kontroler po imenu koje ne možete promijeniti, filtar koji dopušta točno jednu adresu kontrolera, ili fiksni skup poslužitelja gdje je kontroler dio dizajna aplikacije. U tim slučajevima prikvačivanje je dokumentacija stvarne granice, a ne prečac.

Njegova cijena je suprotna mapiranju. Fiksno ime ne slijedi pool, ne prebacuje se pri otkazu osim ako aplikacija zna kako, i ne preživljava preimenovanje ili povlačenje kontrolera bez pregleda inventara. Također skriva probleme topologije, jer svaki klijent koji prikvačuje izgleda zdrav dok model lokacija tiho trune.

Zamjena uobičajenih adresnih zapisa domene jednim preferiranim poslužiteljem nije treća opcija. To lomi svakog potrošača koji očekuje normalni skup otkrivanja, i dalje ne kontrolira kako klijent svjestan imenika bira lokaciju.

Birajte po tri uvjeta

Pitajte ih ovim redom i odluka se obično sama donese. Prvo, koristi li aplikacija DC Locator uopće, ili već nosi adresu kontrolera? Drugo, vidi li kontroler adresu poola ili prevedenu? Treće, koliko se često pool mijenja u usporedbi s tim na koliko bi mjesta prikvačivanje trebalo ažurirati?

Aplikacije svjesne imenika plus rutiranje koje čuva izvor plus pool koji se mijenja: mapirajte podmrežu. Aplikacija koja ne može otkriti, ili filtar koji dopušta jednu adresu: prikvačite je i zapišite zašto. Sve ostalo je slučaj za popravak topologije, a ne za dodavanje još jednog nadjačavanja.

Provjerite s VPN klijenta i držite ugovore odvojeno

Testirajte s pravog udaljenog puta, ne s LAN radne stanice koja već sjedi na lokaciji. Mjerodavan je samo vlastiti pogled klijenta:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ako je prijavljena lokacija ona koju ste mapirali, objekt se podudara. Ako klijent ne prijavi nikakvu lokaciju, adresa koju predstavlja ne pada ni u jedan objekt podmreže, što obično znači prevođenje ili zastarjeli prefiks. Zatim provjerite da je odabrani kontroler onaj koji ste namjeravali prije nego pretpostavite da je mapiranje neuspješno, jer klijenti keširaju rezultate otkrivanja i prebacivanje pri otkazu može legitimno odabrati drugi kontroler.

Držite tri ugovora u jednom dokumentu: pool i njegove objekte podmreža, kontrolere dostupne s VPN puta, i politiku koja odlučuje što prijavljeni korisnik smije raditi. Lokacija nije pravilo vatrozida i nije granica izolacije, a sljedeća promjena poola tiho će odvojiti udaljene korisnike od mrežnog modela imenika ako se mapiranje, rute i dokumentirane alternative ne kreću zajedno.