VPN fir e klengt Büro: hält se vum Domain-Controller ewech

Dräi Konditiounen entscheeden, ob deen eenzegen Windows-Server vum Büro och d'VPN soll ofschléissen: wéi vill internetorientéiert Software Dir op dem Verzeechnes wëllt lafen loossen, ob Dir Remote-Benotzer ouni dës Roll authentifizéiere kënnt, a wat mat Ärem Verwaltungszougang geschitt, wann den Host nei start. Wann ee vun den dräi eng schlecht Äntwert huet, trennt d'Rollen. Datt de Büro kleng ass, ännert de Budget, net de Risiko.

All Maschinn an der Domain vertraut engem Domain-Controller; e VPN-Gateway ass fir jiddereen am Internet erreechbar. Dës Asymmetrie ass de ganzen Argument.

Zwee Aufgaben mat zwee verschiddenen Ausgesetztheetsprofilen

Den Gateway hëlt Verbindungen vun dobaussen un, dofir sinn säi Listener, säin TLS-Stack an seng Authentifikatiounsoberfläch all aus net vertrauenswürdegen Netzwierker erreechbar. D'Verzeechnes huet eng Autoritéit, där aner Maschinne vertrauen, dofir behandelt dem Microsoft seng Härtungsrichtlinne d'Domain-Controller-Roll an hir Hostingëmgebung als besonnesch sensibel. All Service, deen op dësen Host bäikënnt, ierft d'Vertrauenspositioun vum Verzeechnes a bäisetzt seng eegen Ugriffsfläch. D'Bequemlechkeet vun der Installatioun ass keng Vertrauensgrenz.

D'Rollen ze trennen hëlt d'Ofhängegkeeten net ewech. Remote-Benotzer brauchen nach ëmmer Authentifikatioun, Routen, DNS an Zougangsregelen, an en Gateway, deen déi iwwerspréngt, ass net méi sécher, just manner nëtzlech.

Authentifikatioun ouni d'Verzeechnesroll

En Gateway kann Umeldungsinformatiounen iwwer eng ënnerstëtzt extern Integratioun validéieren ouni d'Verzeechnes selwer ze hosten. Wat dës Integratioun och ass, gitt hir en Kont, deem seng Rechter zum Zweck passen: d'Attributer liesen, déi fir d'Authentifikatioun noutwendeg sinn, net méi. D'Opnamen vu VPN-Benotzer verlaangt ni, hir gewéinlech Konten zu Domain-Administratoren ze maachen, an et verlaangt ni, datt den Gateway eng Kopie vum Verzeechnes hält.

Dann begrenzt d'Netzwierksweeër, déi de Remote-Client tatsächlech brauch. Den Zougang zu engem internen Dateiservice, plus d'Nimmopzeesung- an Identitéitsservicer, vun deenen dëse Workflow ofhänkt, ass eng definéiert Rei vu Weeër. Dat ass kee Grond, all Port vum Domain-Controller oder all administrativ Schnëttstell aus dem VPN-Pool zouzeloossen.

Een Host ass nach ëmmer eng Fehlerdomän

Zwee Gäscht op engem Hypervisor trennen hir Betribssystemkonfiguratioun a trennen net hire Schicksal. D'Administratore vum Hypervisor, virtuell Vermëttlung, Stockage a Backuppen bleiwen Deel vum Entworf, an e Neistart vum Host hëlt béid Servicer op eemol ewech. Dat als héich Disponibilitéit ze bezeechnen, well den Diagramm zwee VM weist, ass e verbreete a deier Feeler. Wann deen eenzegen zeréck-Wee iwwer d'VPN op deem Host leeft, hëlt eng Feeler d'Verbindung ewech, déi fir d'Reparatur néideg ass.

Also plangt en onofhängege Verwaltungswee, deen net vum Tunnel ofhänkt, a schreift op, wat während der Ënnerhaltung verfügbar bleift. Plangt Gateway-Updates an d'Verzeechnes-Ënnerhaltung getrennt, a notéiert, wéi eng Benotzer oder Applikatiounen all Ënnerbriechung beréiert.

En Ënnerhaltungsfënster, dat verlaangt, datt d'VPN un ass, fir d'VPN ze reparéieren, ass keng Ënnerhaltungsfënster.

Beweegt et, ouni Iech auszeschléissen

Wann d'Rollen schonn eng Installatioun deelen, vermeit eng iwwerhaast Remote-Migratioun. Inventariséiert, wat den Gateway haut besëtzt: Adressen, Weiderleeungsregelen, NAT, DNS-Astellungen, Authentifikatiounskonfiguratioun an all publizéiert Servicer. Bereet souwuel den Ersatz wéi och e Wee zeréck vir, ier Dir de Listener beweegt oder eng Standardroute ännert. Test dann déi richteg Aarbecht vun engem gewéinleche Remote-Benotzer iwwer déi nei Grenz, a bestätegt, datt onnéideg administrativ Zougang nach ëmmer feelt.

D'Zil ass keen méi schéinen Diagramm. Et ass d'Fäegkeet, d'VPN ze reparéieren oder nei opzebauen, ouni d'Këscht ze beréieren, déi d'Verzeechnesvertrauen fir de ganze Büro verankert. Dat sinn ënnerschiddlech Ziler, an nëmmen ee vun hinne brauch en zweeten Server.

Schreift d'Entscheedung op jiddwerfall op, inklusiv d'Konditiounen, déi se erëm opmaache géifen. E klengt Büro wiisst, an d'Äntwert, déi zu engem Server gepasst huet, passt vläicht net zum nächsten.