AD vietnes kartēšana pret domēna kontrollera piespraušanu VPN klientiem

Attālinātās piekļuves klienti VPN baseinā var nonākt sarunā ar domēna kontrolleri otrā pasaules malā, un to var labot divos veidos: aprakstīt baseinu kā Active Directory apakštīklu, kas piesaistīts vietnei ar pareizajiem kontrolleriem, vai piespraust klientu vai lietotni vienam konkrētam kontrollerim. Pirmais ir topoloģijas apgalvojums, ar ko DC Locator var strādāt. Otrais ir katras lietotnes pārraksts, kas topoloģiju pilnībā ignorē. Tie maksā atšķirīgi, un ķeršanās šodien pie ātrākā ir tieši tas, kā kataloga komanda galu galā uztur abus.

Ko patiesībā maina katra pieeja

Apakštīkla objekts ir kataloga ieraksts, kas norāda, kurai vietnei pieder adrešu diapazons. Ar Active Directory moduli un esošu vietni darbība ir pietiekami maza, lai to priekšskatītu:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf priekšskata rakstīšanu katalogā. Tas neizveido objektu un nepārbauda, vai klientam šajā diapazonā ir iespējams kaut ko sasniegt, un tieši to cilvēki sagaida. DC Locator nolasa vietņu modeli, kad atrisina servisa ierakstus, tāpēc precīzs apakštīkla objekts maina to, kas klientam tiek piedāvāts.

Piespraušana darbojas citā slānī. Fiksēts kontrollera nosaukums lietotnes konfigurācijā, LDAP virkne ar resursdatoru tajā vai reģistra vērtība, kas nosauc vēlamo serveri, visi izņem atklāšanu no ceļa. Lietotne runā ar šo kontrolleri, līdz kāds maina iestatījumu, un pārslēgšanās kļūmes gadījumā ir tas, ko šī lietotne pati ievieš.

Kur uzvar apakštīkla kartēšana

Baseina kartēšana apraksta tīkla atrašanās vietu vienreiz, katram klientam, kas izmanto DC Locator. Kad baseins izaug no viena /24 līdz trim, modelis mainās divos vai trijos objektos, nevis lietotņu sarakstā. Tas ir viss ieguvums, un tas ir liels, ja klientu skaits nav jūsu kontrolē.

Āķis ir tāds, ka objektam jāatbilst adresei, kuru kontrolleris patiešām redz. Ja VPN vārteja katru klientu pārtulko uz centrmezgla adresi, nepārtulkotā baseina pievienošana apraksta tīkla atrašanās vietu, kuru neviens kontrolleris nekad neievēro. Izlemiet agri, vai dizains saglabā klienta avota adresi, un, ja ne, kartējiet pārtulkoto diapazonu, nevis baseinu, ko konfigurējāt VPN serverī.

Otrs ierobežojums: vietņu modelis ir izvēle un topoloģijas apgalvojums. Tas nepadara kontrolleri sasniedzamu un nepiešķir lietotājam neko. Sasniedzamību nodrošina maršruti un ugunsmūra politika; atļauju nodrošina kontu politika.

Kur uzvar piespraušana

Piespraušana ir pareizā atbilde, kad atklāšana nevar darboties: veca lietotne, kas atrisina kontrolleri pēc nosaukuma, ko nevarat mainīt, filtrs, kas atļauj tieši vienu kontrollera adresi, vai fiksēta serveru kopa, kurā kontrolleris ir lietotnes dizaina daļa. Šādos gadījumos piespraušana ir reāla ierobežojuma dokumentēšana, nevis saīsne.

Tās cena ir pretēja kartēšanai. Piesprausts nosaukums neseko baseinam, nepārslēdzas kļūmes gadījumā, ja vien lietotne to nemāk, un neiztur kontrollera pārdēvēšanu vai izņemšanu no ekspluatācijas bez inventāra pārbaudes. Tas arī slēpj topoloģijas problēmas, jo katrs piespraustais klients izskatās vesels, kamēr vietņu modelis klusi pūst.

Aizstāt domēna parastos adrešu ierakstus ar vienu vēlamo serveri nav trešā iespēja. Tas salauž katru patērētāju, kas gaida parasto atklāšanas kopu, un joprojām nekontrolē, kā katalogu apzinošs klients izvēlas vietni.

Izvēlieties pēc trim nosacījumiem

Jautājiet tos šādā secībā, un lēmums parasti pieņemas pats. Pirmkārt, vai lietotne vispār izmanto DC Locator, vai tai jau ir kontrollera adrese? Otrkārt, vai kontrolleris redz baseina adresi vai pārtulkotu? Treškārt, cik bieži baseins mainās salīdzinājumā ar to, cik vietās piespraušana būtu jāatjaunina?

Katalogu apzinošas lietotnes plus avotu saglabājoša maršrutēšana plus mainīgs baseins: kartējiet apakštīklu. Lietotne, kas nevar atklāt, vai filtrs, kas pieļauj vienu adresi: piespraudiet to un pierakstiet, kāpēc. Viss pārējais ir gadījums topoloģijas labošanai, nevis vēl viena pārraksta pievienošanai.

Pārbaudiet no VPN klienta un turiet līgumus atsevišķi

Testējiet no īstā attālinātā ceļa, nevis no LAN darbstacijas, kas jau atrodas vietnē. Svarīgs ir tikai paša klienta skatījums:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ja ziņotā vietne ir tā, ko kartējāt, objekts atbilst. Ja klients neziņo nevienu vietni, tā piedāvātā adrese neietilpst nevienā apakštīkla objektā, kas parasti nozīmē tulkojumu vai novecojušu prefiksu. Pēc tam pārbaudiet, vai izvēlētais kontrolleris ir tas, ko bijāt iecerējis, pirms pieņemat, ka kartēšana neizdevās, jo klienti kešo atklāšanas rezultātus un pārslēgšanās kļūmes gadījumā var likumīgi izvēlēties citu kontrolleri.

Turiet trīs līgumus vienā dokumentā: baseinu un tā apakštīklu objektus, kontrollerus, kas sasniedzami no VPN ceļa, un politiku, kas izlemj, ko drīkst darīt pierakstījies lietotājs. Vietne nav ugunsmūra noteikums un nav izolācijas robeža, un nākamā baseina izmaiņa klusi atvienos attālinātos lietotājus no kataloga tīkla modeļa, ja kartēšana, maršruti un dokumentētās alternatīvas nekustas kopā.