Pemetaan situs AD versus penyematan pengontrol domain untuk klien VPN

Klien akses jarak jauh pada kumpulan VPN bisa berakhir berbicara dengan pengontrol domain di belahan dunia lain, dan itu dapat diperbaiki dengan dua cara: gambarkan kumpulan sebagai subnet Active Directory yang terikat pada situs yang memiliki pengontrol tepat, atau sematkan klien atau aplikasi ke satu pengontrol tertentu. Yang pertama adalah pernyataan topologi yang dapat ditindaklanjuti DC Locator. Yang kedua adalah penggantian per aplikasi yang mengabaikan topologi sepenuhnya. Keduanya berbiaya berbeda, dan meraih yang lebih cepat hari ini adalah cara tim direktori akhirnya memelihara keduanya.

Apa yang sebenarnya diubah setiap pendekatan

Objek subnet adalah catatan direktori yang menyatakan situs mana yang memiliki suatu rentang alamat. Dengan modul Active Directory dan situs yang sudah ada, operasinya cukup kecil untuk dipratinjau:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf mempratinjau penulisan direktori. Itu tidak membuat objek dan tidak menguji apakah klien di rentang tersebut dapat mencapai apa pun, dan itulah bagian yang diharapkan orang. DC Locator membaca model situs ketika menyelesaikan catatan layanan, jadi objek subnet yang akurat mengubah apa yang ditawarkan kepada klien.

Penyematan bekerja pada lapisan lain. Nama pengontrol tetap dalam konfigurasi aplikasi, string LDAP yang memuat host, atau nilai registri yang menyebut server pilihan, semuanya menghapus penemuan dari jalur. Aplikasi berbicara dengan pengontrol itu sampai seseorang mengubah pengaturan, dan pengalihan saat gagal adalah apa yang diterapkan aplikasi tersebut.

Di mana pemetaan subnet menang

Memetakan kumpulan menggambarkan lokasi jaringan sekali, untuk setiap klien yang memakai DC Locator. Ketika kumpulan tumbuh dari satu /24 menjadi tiga, model berubah pada dua atau tiga objek alih-alih pada inventaris aplikasi. Itulah seluruh keuntungannya, dan besar ketika populasi klien tidak berada di bawah kendali Anda.

Jebakannya adalah objek harus cocok dengan alamat yang benar-benar dilihat pengontrol. Jika gateway VPN menerjemahkan setiap klien ke alamat hub, menambahkan kumpulan yang tidak diterjemahkan menggambarkan lokasi jaringan yang tidak pernah diamati pengontrol mana pun. Putuskan lebih awal apakah desain mempertahankan alamat sumber klien, dan jika tidak, petakan rentang terjemahan alih-alih kumpulan yang Anda konfigurasi di server VPN.

Batas kedua: model situs adalah preferensi dan pernyataan topologi. Itu tidak membuat pengontrol dapat dijangkau dan tidak memberi pengguna apa pun. Rute dan kebijakan firewall memberi keterjangkauan; kebijakan akun memberi otorisasi.

Di mana penyematan menang

Penyematan adalah jawaban yang tepat ketika penemuan tidak dapat bekerja: aplikasi lama yang menyelesaikan pengontrol dengan nama yang tidak dapat Anda ubah, filter yang mengizinkan tepat satu alamat pengontrol, atau kumpulan server tetap yang di dalamnya pengontrol adalah bagian dari desain aplikasi. Dalam kasus itu penyematan adalah dokumentasi kendala nyata, bukan jalan pintas.

Biayanya adalah kebalikan dari pemetaan. Nama yang disematkan tidak mengikuti kumpulan, tidak beralih saat gagal kecuali aplikasi tahu caranya, dan tidak bertahan saat pengontrol diganti nama atau dinonaktifkan tanpa penyisiran inventaris. Itu juga menyembunyikan masalah topologi, karena setiap klien yang menyematkan tampak sehat sementara model situs diam-diam membusuk.

Mengganti catatan alamat biasa domain dengan satu server pilihan bukan pilihan ketiga. Itu merusak setiap konsumen yang mengharapkan kumpulan penemuan normal, dan tetap tidak mengendalikan bagaimana klien yang sadar direktori memilih situs.

Pilih berdasarkan tiga syarat

Tanyakan dalam urutan ini dan keputusannya biasanya mengambil sendiri. Pertama, apakah aplikasi memakai DC Locator sama sekali, atau sudah membawa alamat pengontrol? Kedua, apakah pengontrol melihat alamat kumpulan, atau alamat yang diterjemahkan? Ketiga, seberapa sering kumpulan berubah dibandingkan dengan berapa banyak tempat penyematan perlu diperbarui?

Aplikasi sadar direktori ditambah perutean yang mempertahankan sumber ditambah kumpulan yang berubah: petakan subnet. Aplikasi yang tidak dapat menemukan, atau filter yang mengizinkan satu alamat: sematkan, dan tuliskan alasannya. Semua hal lain adalah kasus untuk memperbaiki topologi alih-alih menambah penggantian lain.

Verifikasi dari klien VPN dan pisahkan kontraknya

Uji dari jalur jarak jauh sebenarnya, bukan dari stasiun kerja LAN yang sudah berada di situs. Hanya pandangan klien itu sendiri yang penting:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Jika situs yang dilaporkan adalah yang Anda petakan, objeknya cocok. Jika klien tidak melaporkan situs apa pun, alamat yang disajikannya tidak berada di dalam objek subnet mana pun, yang biasanya berarti terjemahan atau prefiks usang. Lalu periksa bahwa pengontrol yang dipilih adalah yang Anda maksud sebelum menganggap pemetaan gagal, karena klien menyimpan hasil penemuan di cache dan pengalihan saat gagal dapat secara sah memilih pengontrol lain.

Simpan tiga kontrak dalam satu dokumen: kumpulan dan objek subnetnya, pengontrol yang dapat dijangkau dari jalur VPN, dan kebijakan yang memutuskan apa yang boleh dilakukan pengguna yang masuk. Situs bukan aturan firewall dan bukan batas penahanan, dan perubahan kumpulan berikutnya akan diam-diam melepaskan pengguna jarak jauh dari model jaringan direktori kecuali pemetaan, rute, dan alternatif yang didokumentasikan bergerak bersama.