AD-staðarkortlagning á móti festingu lénsstýringar fyrir VPN-biðlara

Fjartengingarbiðlarar á VPN-laug geta endað á að tala við lénísstýringu hinum megin við heiminn, og það er hægt að laga á tvo vegu: lýsa lauginni sem Active Directory undirneti sem er bundið við staðinn þar sem réttu stýringarnar eru, eða festa biðlarann eða forritið við eina tiltekna stýringu. Sú fyrri er fullyrðing um netgerð sem DC Locator getur unnið með. Sú seinni er yfirskrift fyrir hvert forrit sem hunsar netgerðina algjörlega. Þær kosta ólíka hluti, og að grípa í þá hraðari í dag er einmitt hvernig skráadeild endar á að viðhalda báðum.

Hvað hvor aðferðin breytir í raun

Undirnetshlutur er færsla í skránni sem segir hvaða stað tiltekið netfangasvið tilheyrir. Með Active Directory einingunni og stað sem fyrir er er aðgerðin nógu lítil til að forskoða:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf forskoðar skrifin í skránna. Það býr ekki til hlutinn og prófar ekki hvort biðlari á því sviði komist að nokkru, og það er einmitt sá hluti sem fólk býst við. DC Locator les staðalíkanið þegar það leysir þjónustufærslur, svo nákvæmur undirnetshlutur breytir því sem biðlarinn fær boðið.

Festing virkar á öðru lagi. Fast stýringarheiti í stillingum forrits, LDAP-strengur með hýsli í, eða skráargildi sem nefnir valinn þjón, fjarlægja öll uppgötvunina af leiðinni. Forritið talar við þá stýringu þar til einhver breytir stillingunni, og yfirtaka við bilun er það sem forritið sjálft útfærir.

Hvar undirnetskortlagning vinnur

Að kortleggja laugina lýsir nettstað einu sinni, fyrir hvern biðlara sem notar DC Locator. Þegar laugin stækkar úr einu /24 í þrjú breytist líkanið í tveimur eða þremur hlutum í stað forritaskrár. Það er allur ávinningurinn, og hann er mikill þegar biðlarahópurinn er ekki undir þinni stjórn.

Gildran er sú að hluturinn verður að passa við netfangið sem stýringin sér í raun. Ef VPN-gáttin þýðir hvern biðlara yfir í miðstöðvarfang lýsir viðbót óþýddu laugarinnar nettstað sem engin stýring fylgist nokkurn tíma með. Ákveddu snemma hvort hönnunin varðveitir upprunanetfang biðlarans, og ef ekki skaltu kortleggja þýdda sviðið í stað laugarinnar sem þú stilltir á VPN-þjóninum.

Önnur takmörk: staðalíkanið er forgangur og fullyrðing um netgerð. Það gerir stýringu ekki aðgengilega og veitir notanda ekkert. Leiðir og eldveggsstefna sjá um aðgengið; reikningsstefna sér um heimildina.

Hvar festing vinnur

Festing er rétta svarið þegar uppgötvun getur ekki unnið: gamalt forrit sem leysir stýringu eftir heiti sem þú getur ekki breytt, sía sem leyfir nákvæmlega eitt stýringarfang, eða fast safn þjóna þar sem stýringin er hluti af hönnun forritsins. Í þeim tilvikum er festingin skjölun á raunverulegri takmörkun en ekki flýtileið.

Kostnaður hennar er andhverfa kortlagningarinnar. Fast heiti fylgir lauginni ekki, tekur ekki yfir við bilun nema forritið viti hvernig, og lifir ekki endurnefningu eða niðurlagningu stýringar án yfirferðar á skrá. Hún felur einnig vandamál í netgerð, því hver festur biðlari lítur heilbrigður út á meðan staðalíkanið hrörnar í kyrrþey.

Að skipta venjulegum netfangafærslum lénísins út fyrir einn valinn þjón er ekki þriðji kosturinn. Það brýtur hvern þann sem býst við venjulega uppgötvunarsettinu, og stýrir samt ekki hvernig skráavitur biðlari velur stað.

Veldu eftir þremur skilyrðum

Spurðu þeirra í þessari röð og ákvörðunin tekur sig yfirleitt sjálf. Í fyrsta lagi, notar forritið DC Locator yfirleitt, eða ber það þegar stýringarfang? Í öðru lagi, sér stýringin laugarfang eða þýtt eitt? Í þriðja lagi, hversu oft breytist laugin miðað við hversu marga staði þyrfti að uppfæra vegna festingar?

Skráavit forrit auk leiðsögnar sem varðveitir uppruna auk laugar sem breytist: kortleggðu undirnetið. Forrit sem getur ekki uppgötvað, eða sía sem leyfir eitt fang: festu það, og skrifaðu hvers vegna. Allt annað er mál um að laga netgerð í stað þess að bæta við enn einni yfirskrift.

Sannprófaðu frá VPN-biðlaranum og haltu samningunum aðskildum

Prófaðu frá raunverulegri fjartengdri leið, ekki frá LAN-vinnustöð sem situr þegar á staðnum. Aðeins eigin sýn biðlarans skiptir máli:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ef tilkynnti staðurinn er sá sem þú kortlagðir passar hluturinn. Ef biðlarinn tilkynnir engan stað fellur fangið sem hann leggur fram ekki innan neins undirnetshlutar, sem þýðir yfirleitt þýðingu eða úrelt forskeyti. Athugaðu þá að valda stýringin sé sú sem þú ætlaðir áður en þú gerir ráð fyrir að kortlagningin hafi mistekist, því biðlarar skyggja á uppgötvunarniðurstöður og yfirtaka við bilun getur lögmætlega valið aðra stýringu.

Haltu þremur samningunum í einu skjali: lauginni og undirnetshlutum hennar, stýringunum sem næst frá VPN-leiðinni, og stefnunni sem ákveður hvað innskráður notandi má gera. Staður er ekki eldveggsregla og ekki afmörkunarmörk, og næsta breyting á lauginni mun í kyrrþey aftengja fjarnotendur frá netlíkani skrárinnar nema kortlagningin, leiðirnar og skjöluðu valkostirnir hreyfist saman.