Мапирање AD локација наспроти закачување контролер на домен за VPN клиенти

Клиентите за далечински пристап во VPN базен можат да завршат во разговор со контролер на домен од другата страна на светот, а тоа се поправа на два начина: да се опише базенот како Active Directory подмрежа врзана за локацијата што ги има вистинските контролери, или да се закачи клиентот или апликацијата за еден конкретен контролер. Првото е изјава за топологија врз која DC Locator може да дејствува. Второто е препишување по апликација што топологијата целосно ја игнорира. Тие чинат различно, а посегнувањето по побрзото денес е токму начинот на кој тимот за именик на крајот одржува и двете.

Што всушност менува секој пристап

Објектот на подмрежа е запис во именикот што кажува на која локација припаѓа опсег на адреси. Со модулот Active Directory и постоечка локација, операцијата е доволно мала за да се прегледа:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf го прегледува запишувањето во именикот. Тој не го создава објектот и не проверува дали клиент од тој опсег може да дојде до нешто, а токму тоа луѓето го очекуваат. DC Locator го чита моделот на локации кога ги решава записите за услуги, па точниот објект на подмрежа го менува она што му се нуди на клиентот.

Закачувањето работи на друг слој. Фиксно име на контролер во конфигурација на апликација, LDAP низа со хост во неа или вредност во регистарот што именува претпочитан сервер, сите го отстрануваат откривањето од патеката. Апликацијата разговара со тој контролер додека некој не ја смени поставката, а префрлањето при отказ е она што самата апликација го спроведува.

Каде мапирањето на подмрежа победува

Мапирањето на базенот ја опишува мрежната локација еднаш, за секој клиент што користи DC Locator. Кога базенот ќе порасне од една /24 на три, моделот се менува во два или три објекти наместо во список на апликации. Тоа е целата предност, и таа е голема кога популацијата клиенти не е под ваша контрола.

Замката е што објектот мора да одговара на адресата што контролерот навистина ја гледа. Ако VPN портата го преведува секој клиент во адреса на концентратор, додавањето на непреведениот базен опишува мрежна локација што ниту еден контролер никогаш не ја набљудува. Одлучете рано дали дизајнот ја зачувува изворната адреса на клиентот, и ако не, мапирајте го преведениот опсег наместо базенот што го конфигуриравте на VPN серверот.

Второ ограничување: моделот на локации е претпочитање и изјава за топологија. Тој не го прави контролерот достапен и не му дава ништо на корисникот. Достапноста ја прават рутите и политиката на огнениот ѕид; овластувањето политиката на сметки.

Каде закачувањето победува

Закачувањето е вистинскиот одговор кога откривањето не може да работи: стара апликација што го решава контролерот по име што не можете да го смените, филтер што дозволува точно една адреса на контролер, или фиксен сет сервери каде контролерот е дел од дизајнот на апликацијата. Во тие случаи закачувањето е документирање на вистинско ограничување, а не кратенка.

Неговата цена е спротивна на мапирањето. Закаченото име не го следи базенот, не се префрла при отказ освен ако апликацијата знае како, и не преживува преименување или повлекување на контролер без проверка на пописот. Исто така ги крие проблемите со топологијата, бидејќи секој клиент што закачува изгледа здрав додека моделот на локации тивко гние.

Замената на вообичаените адресни записи на доменот со еден претпочитан сервер не е трета опција. Тоа го крши секој потрошувач што го очекува нормалниот сет за откривање, и се уште не контролира како клиент свесен за именикот избира локација.

Изберете по три услови

Прашајте ги во овој редослед и одлуката обично се носи сама. Прво, дали апликацијата воопшто користи DC Locator, или веќе носи адреса на контролер? Второ, дали контролерот ја гледа адресата на базенот или преведена? Трето, колку често се менува базенот во споредба со тоа на колку места закачувањето би требало да се ажурира?

Апликации свесни за именикот плус рутирање што го чува изворот плус базен што се менува: мапирајте ја подмрежата. Апликација што не може да открие, или филтер што допушта една адреса: закачете ја и запишете зошто. Сето друго е случај за поправка на топологијата, а не за додавање уште едно препишување.

Проверете од VPN клиентот и држете ги договорите одделно

Тестирајте од вистинската далечинска патека, не од LAN работна станица што веќе седи на локацијата. Важен е само сопствениот поглед на клиентот:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ако пријавената локација е онаа што сте ја мапирале, објектот се совпаѓа. Ако клиентот не пријави никаква локација, адресата што ја презентира не паѓа во ниту еден објект на подмрежа, што обично значи превод или застарен префикс. Потоа проверете дали избраниот контролер е оној што сте го имале на ум пред да претпоставите дека мапирањето не успеало, бидејќи клиентите ги кешираат резултатите од откривањето и префрлањето при отказ може законски да избере друг контролер.

Држете ги трите договори во еден документ: базенот и неговите објекти на подмрежи, контролерите достапни од патеката на VPN, и политиката што одлучува што смее да прави најавен корисник. Локацијата не е правило на огнен ѕид и не е граница на изолација, а следната промена на базенот тивко ќе ги одвои далечинските корисници од мрежниот модел на именикот ако мапирањето, рутите и документираните алтернативи не се движат заедно.