AD-Säitemapping géint d Festleeën vun engem Domain-Controller fir VPN-Clienten

Remote-Access-Clienten op engem VPN-Pool kënnen am End mat engem Domain-Controller op der anerer Säit vun der Welt schwätzen, an dat léisst sech op zwéi Weeër flécken: de Pool als Active Directory-Subnetz beschreiwen, dat un de Site gebonnen ass, dee déi richteg Controlleren huet, oder de Client oder d Applikatioun un ee bestëmmte Controller festleeën. Déi éischt ass eng Topologie-Aussag, op déi den DC Locator ka reagéieren. Déi zweet ass eng Iwwerschreifung pro Applikatioun, déi d Topologie komplett ignoréiert. Si kaschte verschidden Saachen, an haut no der méi séierer ze gräifen ass just de Wee, wéi eng Verzeechnes-Ekipp am End béides ënnerhält.

Wat all Approche wierklech ännert

En Subnetz-Objet ass en Verzeechnes-Record, dee seet, zu wéi engem Site eng Adressberäich gehéiert. Mat dem Active Directory-Modul an engem bestännege Site ass d Operatioun kleng genuch fir se virun ze weisen:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf weist d Schreiwen an d Verzeechnes virun. Et erstellt den Objet net an et test net, ob e Client aus deem Beräich iergend eppes erreeche kann, an dat ass just deen Deel, deen d Leit erwaarden. Den DC Locator liest de Site-Modell, wann en Service-Recorden opléist, dofir ännert en akkurenten Subnetz-Objet, wat dem Client ugebuede gëtt.

Festleeën funktionéiert op enger anerer Schicht. En fixe Controller-Numm an der Applikatiouns-Konfiguratioun, en LDAP-String mat engem Host dran, oder en Registry-Wäert, deen ee beworrten Server nennt, huelen all d Entdeckung aus dem Wee. D Applikatioun schwätzt mat deem Controller, bis een d Astellung ännert, an de Failover ass dat, wat déi Applikatioun selwer ëmsetzt.

Wou d Subnetz-Mapping gewënnt

De Pool mappen beschreift de Netzwierk-Plaz eng Kéier, fir all Client, deen den DC Locator benotzt. Wann de Pool vun engem /24 op dräi wächst, ännert sech de Modell an zwee oder dräi Objeten amplaz an enger Applikatiouns-Lëscht. Dat ass de ganzen Avantage, an en ass grouss, wann d Client-Populatioun net ënner Ärer Kontroll ass.

De Knäppche ass, dass den Objet muss zu der Adress passen, déi den Controller wierklech gesäit. Waarm de VPN-Gateway all Client op eng Hub-Adress iwwersetzt, beschreift d Bäifügen vum net iwwersate Pool eng Netzwierk-Plaz, déi keen Controller jeemools observéiert. Entscheet fréi, ob den Design d Quell-Adress vum Client behält, an wann net, mappt deen iwwersaten Beräich amplaz vum Pool, deen Dir um VPN-Server konfiguréiert hutt.

Eng zweet Grenz: de Site-Modell ass eng Preferenz an eng Topologie-Aussag. Et mécht een Controller net erreechbar an et gëtt engem Benotzer näischt. Erreechbarkeet maachen d Router an d Firewall-Politik; d Autorisatioun mécht d Kont-Politik.

Wou d Festleeën gewënnt

Festleeën ass déi richteg Äntwert, wann d Entdeckung net ka funktionéieren: eng al Applikatioun, déi een Controller iwwer en Numm opléist, deen Dir net kënnt änneren, e Filter, deen exakt eng Controller-Adress erlaabt, oder eng fix Grupp vu Serveren, wou den Controller en Deel vum Applikatiouns-Design ass. An deene Fäll ass d Festleeë Dokumentatioun vun enger richtege Grenz an net eng Ofkierzung.

Säi Kascht ass d Géigendeel vum Mapping. En festgeluechten Numm follegt de Pool net, hie géi bei engem Feiler net iwwer, ausser d Applikatioun weess wéi, an hie iwwerlieft keng Ëmbenennung oder Ofschafung vun engem Controller ouni eng Inventur-Prüfung. Hie verstoppt och Topologie-Problemer, well all Client, deen festleet, gesond ausgesäit, wärend de Site-Modell stëll verfault.

D gewéinlech Adress-Recorde vum Domain duerch een eenzege beworrte Server ersetzen ass keng drëtt Optioun. Et brécht all Konsument, deen de normale Entdeckungs-Set erwaart, an et kontrolléiert nach ëmmer net, wéi en directory-bewusste Client e Site auswielt.

Wielt no dräi Konditiounen

Frot se an dëser Reihenfolg an d Entscheedung hëlt sech meeschtens selwer. Éischtens, benotzt d Applikatioun iwwerhaapt den DC Locator, oder dréit se schonn eng Controller-Adress? Zweetens, gesäit den Controller d Pool-Adress oder eng iwwersaten? Drëttens, wéi dacks ännert sech de Pool am Verglach dozou, wéi vill Plazen eng Festleeë misst aktualiséiert ginn?

Directory-bewusst Applikatiounen plus Quell-erhalend Routing plus e Pool, deen sech ännert: mappt d Subnetz. Eng Applikatioun, déi net kann entdecken, oder e Filter, deen eng Adress zouloft: leet se fest, a schreift op firwat. Alles anescht ass e Fall fir d Topologie ze flécken an net fir nach eng Iwwerschreifung derbäizesetzen.

Verifizéiert vum VPN-Client a haalt d Kontrakter getrennt

Test vum richtegen remote Wee, net vun enger LAN-Aarbechtsstation, déi schonn um Site sëtzt. Nëmmen d Siicht vum Client selwer zielt:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Wann de gemellte Site deen ass, deen Dir gemappt hutt, passt den Objet. Mellt de Client kee Site, fält d Adress, déi en duerstellt, an keen Subnetz-Objet, wat meeschtens eng Iwwersetzung oder e veralterte Prefix bedeit. Kontrolléiert duerno, dass den ausgewielten Controller deen ass, deen Dir gemengt hutt, ier Dir unhëlt, d Mapping wier fehlgeschloen, well d Clienten d Entdeckungsresultater cacheren an de Failover ka legitim en aneren Controller auswielen.

Haalt déi dräi Kontrakter an engem Dokument: de Pool an seng Subnetz-Objete, d Controlleren, déi vum VPN-Wee aus erreechbar sinn, an d Politik, déi decidéiert, wat en ageloggte Benotzer däerf. E Site ass keng Firewall-Regel an och keng Ofgrenzung, an déi nächst Pool-Ännerung wäert remote Benotzer stëll vum Netzwierk-Modell vum Verzeechnes ofkoppelen, wann d Mapping, d Router an déi dokumentéiert Alternativen net zesummen beweegen.