AD svetainės susiejimas arba srities valdiklio prisegimas VPN klientams

Nuotolinės prieigos klientai VPN baseine gali galiausiai kalbėtis su srities valdikliu kitame pasaulio gale, ir tai galima ištaisyti dviem būdais: aprašyti baseiną kaip Active Directory potinklį, susietą su svetaine, kurioje yra tinkami valdikliai, arba prisegti klientą ar programą prie vieno konkretaus valdiklio. Pirmasis yra topologijos teiginys, su kuriuo DC Locator gali dirbti. Antrasis yra kiekvienos programos nepaisymas, visiškai ignoruojantis topologiją. Jų kaina skirtinga, o šiandien griebtis greitesniojo yra būtent tai, kaip katalogo komanda galiausiai prižiūri abu.

Ką iš tikrųjų keičia kiekvienas metodas

Potinklio objektas yra katalogo įrašas, nurodantis, kuriai svetainei priklauso adresų diapazonas. Su Active Directory moduliu ir esama svetaine operacija yra pakankamai maža, kad ją būtų galima peržiūrėti:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf peržiūri rašymą į katalogą. Jis nesukuria objekto ir netikrina, ar to diapazono klientas gali ką nors pasiekti, o būtent to žmonės ir tikisi. DC Locator skaito svetainių modelį, kai sprendžia paslaugų įrašus, todėl tikslus potinklio objektas pakeičia tai, kas siūloma klientui.

Prisegimas veikia kitame sluoksnyje. Fiksuotas valdiklio pavadinimas programos konfigūracijoje, LDAP eilutė su prieglobos serveriu arba registro reikšmė, nurodanti pageidaujamą serverį, visi pašalina aptikimą iš kelio. Programa kalba su tuo valdikliu, kol kas nors nepakeičia nustatymo, o perjungimas gedimo metu yra tai, ką įgyvendina pati programa.

Kur laimi potinklio susiejimas

Baseino susiejimas aprašo tinklo vietą vieną kartą, kiekvienam klientui, kuris naudoja DC Locator. Kai baseinas išauga nuo vieno /24 iki trijų, modelis keičiasi dviejuose arba trijuose objektuose, o ne programų sąraše. Tai yra visas privalumas, ir jis didelis, kai klientų skaičius nėra jūsų kontroliuojamas.

Kliūtis ta, kad objektas turi atitikti adresą, kurį valdiklis iš tikrųjų mato. Jei VPN šliuzas kiekvieną klientą verčia koncentratoriaus adresu, nekonvertuoto baseino pridėjimas aprašo tinklo vietą, kurios joks valdiklis niekada nepastebi. Nuspręskite anksti, ar dizainas išsaugo kliento šaltinio adresą, o jei ne, susiekite konvertuotą diapazoną vietoj baseino, kurį sukonfigūravote VPN serveryje.

Antra riba: svetainių modelis yra nuostata ir topologijos teiginys. Jis nepadaro valdiklio pasiekiamo ir nieko nesuteikia naudotojui. Pasiekiamumą užtikrina maršrutai ir užkardos politika; įgaliojimą – paskyrų politika.

Kur laimi prisegimas

Prisegimas yra teisingas atsakymas, kai aptikimas negali veikti: sena programa, kuri išsprendžia valdiklį vardu, kurio negalite pakeisti, filtras, leidžiantis tiksliai vieną valdiklio adresą, arba fiksuotas serverių rinkinys, kuriame valdiklis yra programos dizaino dalis. Tokiais atvejais prisegimas yra tikro apribojimo dokumentavimas, o ne apėjimas.

Jo kaina priešinga susiejimui. Prisegtas vardas neseka baseino, nepersijungia gedimo metu, jei programa nemoka, ir neišgyvena valdiklio pervadinimo ar išėmimo iš eksploatacijos be inventorizacijos patikros. Jis taip pat slepia topologijos problemas, nes kiekvienas prisegtas klientas atrodo sveikas, kol svetainių modelis tyliai pūva.

Pakeisti įprastus srities adresų įrašus vienu pageidaujamu serveriu nėra trečia galimybė. Tai sugriauna kiekvieną vartotoją, kuris tikisi įprasto aptikimo rinkinio, ir vis tiek nekontroliuoja, kaip katalogą išmanantis klientas pasirenka svetainę.

Rinkitės pagal tris sąlygas

Klauskite jų šia tvarka ir sprendimas dažniausiai priimamas pats. Pirma, ar programa apskritai naudoja DC Locator, ar jau turi valdiklio adresą? Antra, ar valdiklis mato baseino adresą, ar konvertuotą? Trečia, kaip dažnai baseinas keičiasi, palyginti su tuo, kiek vietų reikėtų atnaujinti prisegimą?

Katalogą išmanančios programos plius šaltinį išsaugantis maršrutizavimas plius kintantis baseinas: susiekite potinklį. Programa, kuri negali aptikti, arba filtras, priimantis vieną adresą: prisekite ją ir parašykite kodėl. Visa kita yra atvejis taisyti topologiją, o ne pridėti dar vieną nepaisymą.

Tikrinkite iš VPN kliento ir laikykite sutartis atskirai

Bandykite iš tikro nuotolinio kelio, o ne iš LAN darbo stoties, kuri jau yra svetainėje. Svarbus tik paties kliento požiūris:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Jei pranešta svetainė yra ta, kurią susiejote, objektas atitinka. Jei klientas nepraneša jokios svetainės, jo pateikiamas adresas nepatenka į jokį potinklio objektą, o tai paprastai reiškia vertimą arba pasenusį priešdėlį. Tada patikrinkite, ar pasirinktas valdiklis yra tas, kurį ketinote, prieš manydami, kad susiejimas nepavyko, nes klientai talpina aptikimo rezultatus podėlyje, o perjungimas gedimo metu gali teisėtai pasirinkti kitą valdiklį.

Laikykite tris sutartis viename dokumente: baseiną ir jo potinklio objektus, valdiklius, pasiekiamus iš VPN kelio, ir politiką, kuri nusprendžia, ką gali daryti prisijungęs naudotojas. Svetainė nėra užkardos taisyklė ir nėra izoliavimo riba, o kitas baseino pakeitimas tyliai atskirs nuotolinius naudotojus nuo katalogo tinklo modelio, jei susiejimas, maršrutai ir dokumentuotos alternatyvos nejudės kartu.