VPN клиенттері үшін AD сайтын картаға түсіру немесе домен контроллерін бекіту

VPN пулындағы қашықтан қатынау клиенттері ақырында әлемнің арғы жағындағы домен контроллерімен сөйлесуі мүмкін және мұны түзетудің екі жолы бар: пулды дұрыс контроллерлері бар сайтқа байланған Active Directory қосымша желісі ретінде сипаттау немесе клиентті не қолданбаны бір нақты контроллерге бекіту. Біріншісі — DC Locator әрекет ете алатын топология мәлімдемесі. Екіншісі — топологияны мүлдем елемейтін қолданба бойынша қайта анықтау. Олардың құны әртүрлі және бүгін жылдамыраққа жармасу — каталог тобының ақырында екеуін де ұстап тұруының себебі.

Әр тәсіл шын мәнінде нені өзгертеді

Қосымша желі нысаны — мекенжай ауқымы қай сайтқа тиесілі екенін айтатын каталог жазбасы. Active Directory модулімен және бұрыннан бар сайтпен операция алдын ала қарауға болатындай шағын:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf каталогқа жазуға алдын ала қарайды. Ол нысанды жасамайды және сол ауқымдағы клиент бірдеңеге жете ала ма, соны тексермейді, ал адамдар дәл осы бөлікті күтеді. DC Locator сайт моделін қызмет жазбаларын шешкенде оқиды, сондықтан дәл қосымша желі нысаны клиентке ұсынылатынды өзгертеді.

Бекіту басқа қабатта жұмыс істейді. Қолданба конфигурациясындағы бекітілген контроллер аты, ішінде хост бар LDAP жолы немесе артық көрілетін серверді атайтын тіркеу мәні — барлығы табуды жолдан алып тастайды. Қолданба біреу параметрді өзгертпейінше сол контроллермен сөйлеседі, ал ақаулық кезінде ауысу — сол қолданбаның өзі іске асыратын нәрсе.

Қосымша желі картасы қайда жеңеді

Пулды картаға түсіру желілік орынды DC Locator қолданатын әр клиент үшін бір рет сипаттайды. Пул бір /24-тен үшке өскенде модель қолданбалар тізімінде емес, екі немесе үш нысанда өзгереді. Бүкіл артықшылық осы және клиент саны сіздің бақылауыңызда болмағанда ол үлкен.

Кедергі — нысан контроллер шын мәнінде көретін мекенжайға сәйкес болуы керек. VPN шлюзі әр клиентті хаб мекенжайына аударса, аударылмаған пулды қосу ешбір контроллер ешқашан байқамайтын желілік орынды сипаттайды. Дизайн клиенттің бастапқы мекенжайын сақтай ма, соны ерте шешіңіз, ал сақтамаса, VPN серверінде конфигурацияланған пулдың орнына аударылған ауқымды картаға түсіріңіз.

Екінші шектеу: сайт моделі — артықшылық және топология мәлімдемесі. Ол контроллерді қолжетімді етпейді және пайдаланушыға ештеңе бермейді. Қолжетімділікті маршруттар мен брандмауэр саясаты қамтамасыз етеді; рұқсатты тіркелгі саясаты.

Бекіту қайда жеңеді

Бекіту — табу жұмыс істей алмағанда дұрыс жауап: контроллерді өзгерте алмайтын атпен шешетін ескі қолданба, дәл бір контроллер мекенжайына рұқсат беретін сүзгі немесе контроллер қолданба дизайнының бөлігі болып табылатын серверлердің тіркелген жиынтығы. Мұндай жағдайларда бекіту — қысқа жол емес, нақты шектеуді құжаттау.

Оның құны картаға түсірудің керісінше. Бекітілген ат пулға ілеспейді, қолданба білмесе ақаулық кезінде ауыспайды және түгендеуді тексерусіз контроллердің атын өзгертуге немесе қызметтен шығаруға төтеп бермейді. Ол топология мәселелерін де жасырады, өйткені бекіткен әр клиент сау көрінеді, ал сайт моделі тыныш шіриді.

Доменнің кәдімгі мекенжай жазбаларын бір артық көрілетін сервермен алмастыру үшінші нұсқа емес. Ол кәдімгі табу жиынтығын күтетін әр тұтынушыны бұзады және каталогтан хабардар клиенттің сайтты қалай таңдайтынын әлі де бақыламайды.

Үш шарт бойынша таңдаңыз

Оларды осы ретпен сұраңыз, шешім әдетте өзі қабылданады. Біріншіден, қолданба DC Locator қолдана ма, әлде контроллер мекенжайын бұрыннан алып жүр ме? Екіншіден, контроллер пул мекенжайын көре ме, әлде аударылғанын ба? Үшіншіден, пул қаншалықты жиі өзгереді, бекітуді қанша жерде жаңарту керек болатынымен салыстырғанда?

Каталогтан хабардар қолданбалар қосып, бастау көзін сақтайтын маршруттау қосып, өзгеретін пул: қосымша желіні картаға түсіріңіз. Таба алмайтын қолданба немесе бір мекенжайға рұқсат беретін сүзгі: оны бекітіңіз және себебін жазыңыз. Қалғанының бәрі тағы бір қайта анықтау қосудың емес, топологияны түзетудің ісі.

VPN клиентінен тексеріңіз және шарттарды бөлек ұстаңыз

Сайтта бұрыннан бар LAN жұмыс станциясынан емес, нақты қашықтағы жолдан сынаңыз. Тек клиенттің өз көзқарасы маңызды:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Егер хабарланған сайт сіз картаға түсірген сайт болса, нысан сәйкес келеді. Егер клиент ешбір сайт хабарламаса, ол ұсынатын мекенжай ешбір қосымша желі нысанына кірмейді, бұл әдетте аударманы немесе ескірген префиксті білдіреді. Содан кейін картаға түсіру сәтсіз болды деп есептемес бұрын таңдалған контроллердің көздегеніңіз екенін тексеріңіз, өйткені клиенттер табу нәтижелерін кэштейді және ақаулық кезінде ауысу заңды түрде басқа контроллерді таңдауы мүмкін.

Үш шартты бір құжатта ұстаңыз: пул және оның қосымша желі нысандары, VPN жолынан қолжетімді контроллерлер және жүйеге кірген пайдаланушының не істей алатынын шешетін саясат. Сайт брандмауэр ережесі де, оқшаулау шекарасы да емес, ал келесі пул өзгерісі қашықтағы пайдаланушыларды каталогтың желілік моделінен тыныш ажыратады, егер карта, маршруттар және құжатталған баламалар бірге қозғалмаса.