VPN кардарлары үчүн AD сайтын картага түшүрүү же домен контроллерун бекитүү

VPN бассейниндеги алыскы кирүү кардарлары акыры дүйнөнүн экинчи тарабындагы домен контроллеру менен сүйлөшүп калышы мүмкүн, жана муну оңдоонун эки жолу бар: бассейнди туура контроллерлору бар сайтка байланган Active Directory кошумча тармагы катары сүрөттөө, же кардарды же колдонмону бир конкреттүү контроллерго бекитүү. Биринчиси — DC Locator иштей ала турган топология билдирүүсү. Экинчиси — топологияны толугу менен этибарга албаган колдонмо боюнча кайра аныктоо. Алардын баасы башкача, жана бүгүн тезирээк болгонуна кармануу — каталог тобу акыры экөөнү тең кармап калышынын себеби.

Ар бир ыкма чындыгында эмнени өзгөртөт

Кошумча тармак объектиси — дарек диапазону кайсы сайтка таандык экенин айткан каталог жазуусу. Active Directory модулу жана бар болгон сайт менен операция алдын ала көрүүгө боло тургандай кичине:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf каталогго жазууну алдын ала көрсөтөт. Ал объектини түзбөйт жана ошол диапазондогу кардар бир нерсеге жете алабы, аны текшербейт, адамдар дал ошону күтүшөт. DC Locator сайт моделин кызмат жазууларын чечкенде окуйт, ошондуктан так кошумча тармак объектиси кардарга сунушталганды өзгөртөт.

Бекитүү башка катмарда иштейт. Колдонмо конфигурациясындагы бекитилген контроллер аты, ичинде хост бар LDAP сабы же артык көрүлгөн серверди атаган реестр мааниси — баары издөөнү жолдон алып салат. Колдонмо бирөө жөндөөнү өзгөрткөнгө чейин ошол контроллер менен сүйлөшөт, ал эми бузулуу учурундагы которулуу — ошол колдонмо өзү ишке ашырган нерсе.

Кошумча тармак картасы кайда жеңет

Бассейнди картага түшүрүү DC Locator колдонгон ар бир кардар үчүн тармактык жайгашкан жерди бир жолу сүрөттөйт. Бассейн бир /24төн үчкө чейин өскөндө модель колдонмолор тизмесинде эмес, эки же үч объектиде өзгөрөт. Бул — бүт артыкчылык, жана кардарлардын саны сиздин көзөмөлүңүздө болбосо, ал чоң.

Тоскоолдук — объект контроллер чындыгында көргөн дарекке дал келиши керек. VPN дарбазасы ар бир кардарды хаб дарегине которсо, которулбаган бассейнди кошуу эч бир контроллер эч качан байкабаган тармактык жайгашууну сүрөттөйт. Долбоор кардардын булак дарегин сактайбы, аны эрте чечиңиз, ал эми сактабаса, VPN серверинде конфигурацияланган бассейндин ордуна которулган диапазонду картага түшүрүңүз.

Экинчи чектөө: сайт модели — артыкчылык жана топология билдирүүсү. Ал контроллерди жеткиликтүү кылбайт жана колдонуучуга эч нерсе бербейт. Жеткиликтүүлүктү маршруттар жана брандмауэр саясаты камсыздайт; уруксатты эсеп саясаты.

Бекитүү кайда жеңет

Издөө иштей албаганда бекитүү туура жооп: контроллерди өзгөртө албаган ат менен чечкен эски колдонмо, так бир контроллер дарегине уруксат берген чыпка, же контроллер колдонмо долбоорунун бөлүгү болгон серверлердин туруктуу топтому. Мындай учурларда бекитүү — кыска жол эмес, чыныгы чектөөнү документтештирүү.

Анын баасы картага түшүрүүнүн тескериси. Бекитилген ат бассейнди ээрчибейт, колдонмо билбесе бузулуу учурунда которулбайт жана эсеп тизмесин текшерүүсүз контроллердин атын өзгөртүүгө же кызматтан чыгарууга туруштук бербейт. Ал топология маселелерин да жашырат, анткени бекиткен ар бир кардар ден соолуктуу көрүнөт, ал эми сайт модели унчукпай чирип баратат.

Домендин кадимки дарек жазууларын бир артык көрүлгөн сервер менен алмаштыруу үчүнчү вариант эмес. Ал кадимки издөө топтомун күткөн ар бир керектөөчүнү бузат жана каталогдон кабардар кардардын сайтты кантип тандаарын дагы эле көзөмөлдөбөйт.

Үч шарт боюнча тандаңыз

Аларды ушундай тартипте сураңыз, чечим көбүнчө өзү кабыл алынат. Биринчиден, колдонмо DC Locator колдонобу, же контроллер дарегин мурунтан алып жүрөбү? Экинчиден, контроллер бассейндин дарегин көрөбү, же которулганынбы? Үчүнчүдөн, бассейн канчалык тез-тез өзгөрөт, бекитүүнү канча жерде жаңыртуу керек болору менен салыштырганда?

Каталогдон кабардар колдонмолор кошуп, булакты сактаган маршруттоо кошуп, өзгөрүп турган бассейн: кошумча тармакты картага түшүрүңүз. Таба албаган колдонмо же бир дарекке уруксат берген чыпка: аны бекитиңиз жана эмне үчүн экенин жазыңыз. Калганынын баары дагы бир кайра аныктоо кошуу эмес, топологияны оңдоонун иши.

VPN кардарынан текшериңиз жана келишимдерди өзүнчө кармаңыз

Сайтта мурунтан бар LAN жумуш станциясынан эмес, чыныгы алыскы жолдон сынаңыз. Болгону кардардын өз көз карашы маанилүү:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Эгер билдирилген сайт сиз картага түшүргөн сайт болсо, объект дал келет. Эгер кардар эч кандай сайт билдирбесе, ал сунуш кылган дарек эч бир кошумча тармак объектисине кирбейт, бул көбүнчө которуу же эскирген префиксти билдирет. Андан кийин картага түшүрүү ишке ашпады деп ойлоого чейин тандалган контроллер көздөгөнүңүз экенин текшериңиз, анткени кардарлар издөө жыйынтыктарын кэштеп сакташат жана бузулуу учурундагы которулуу мыйзамдуу түрдө башка контроллерди тандашы мүмкүн.

Үч келишимди бир документте кармаңыз: бассейн жана анын кошумча тармак объектилери, VPN жолунан жеткиликтүү контроллерлор жана системага кирген колдонуучу эмне кыла аларын чечкен саясат. Сайт брандмауэр эрежеси да, обочолонуу чеги да эмес, ал эми бассейндин кийинки өзгөрүшү алыскы колдонуучуларды каталогдун тармактык моделине тийиштүү байланыштан унчукпай ажыратат, эгер карта, маршруттар жана документтештирилген альтернативалар чогуу кыймылдабаса.