VPN клиентүүдэд зориулсан AD сайтын зураглал эсвэл домэйн хянагчийг бэхлэх

VPN сан дахь алсын хандалтын клиентүүд эцэстээ дэлхийн нөгөө тал дахь домэйн хянагчтай ярьж болно, үүнийг хоёр аргаар засна: сангийг зөв хянагчтай сайтад холбосон Active Directory дэд сүлжээ гэж тодорхойлох, эсвэл клиент эсвэл програмыг нэг тодорхой хянагчид бэхлэх. Эхнийх нь DC Locator ажиллаж чадах топологийн мэдэгдэл. Хоёр дахь нь топологийг бүрмөсөн үл тоомсорлодог програм тус бүрийн дарж бичилт. Тэдний өртөг өөр, өнөөдөр илүү хурдан руу тэмүүлэх нь каталогийн баг эцэстээ хоёуланг нь арчлах шалтгаан болдог.

Арга бүр юу гэж өөрчилдөг вэ

Дэд сүлжээний объект гэдэг нь хаягийн муж аль сайтад хамаарахыг хэлдэг каталогийн бичлэг юм. Active Directory модуль болон одоо байгаа сайттай бол үйлдэл урьдчилан харахад хангалттай бага:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf каталогт бичихийг урьдчилан харуулна. Энэ нь объектыг үүсгэхгүй бөгөөд тухайн мужийн клиент ямар нэгэн зүйлд хүрч чадах эсэхийг шалгахгүй бөгөөд хүмүүсийн хүлээдэг хэсэг нь яг энэ. DC Locator сайтын загварыг үйлчилгээний бүртгэлийг шийдвэрлэх үед уншдаг тул нарийвчилсан дэд сүлжээний объект клиентэд санал болгох зүйлийг өөрчилдөг.

Бэхлэлт өөр түвшинд ажилладаг. Програмын тохиргоо дахь тогтмол хянагчийн нэр, дотор нь хост агуулсан LDAP мөр, эсвэл давуу эрхтэй серверийг нэрлэсэн бүртгэлийн утга — бүгд илрүүлэлтийг замаас хасдаг. Програм нь хэн нэгэн тохиргоог өөрчлөх хүртэл тэр хянагчтай ярьж, доголдлын үеийн шилжилт нь тухайн програмын хэрэгжүүлдэг зүйл юм.

Дэд сүлжээний зураглал хаана ялдаг

Сангийг зураглах нь DC Locator ашигладаг клиент бүрд сүлжээний байршлыг нэг удаа тодорхойлдог. Сан нэг /24-өөс гурав болж өсөхөд загвар нь програмын жагсаалтад биш, хоёр эсвэл гурван объектод өөрчлөгддөг. Энэ бол бүх давуу тал бөгөөд клиентийн тоо таны хяналтад байхгүй үед энэ нь том.

Саадлын зүйл нь объект нь хянагчийн үнэхээр харж буй хаягтай таарах ёстой. Хэрэв VPN гарц клиент бүрийг төвийн хаяг руу хөрвүүлдэг бол хөрвүүлээгүй санг нэмэх нь ямар ч хянагч хэзээ ч ажигладаггүй сүлжээний байршлыг тодорхойлно. Дизайн клиентийн эх хаягийг хадгалж байгаа эсэхийг эрт шийдэж, хадгалдаггүй бол VPN сервер дээр тохируулсан сангийн оронд хөрвүүлсэн мужийг зураглаарай.

Хоёр дахь хязгаар: сайтын загвар нь давуу эрх ба топологийн мэдэгдэл юм. Энэ нь хянагчийг хүртээмжтэй болгодоггүй бөгөөд хэрэглэгчид юу ч өгдөггүй. Хүртээмжийг маршрут болон галт хананы бодлого хийнэ; зөвшөөрлийг бүртгэлийн бодлого хийнэ.

Бэхлэлт хаана ялдаг

Илрүүлэлт ажиллаж чадахгүй үед бэхлэлт зөв хариулт болно: хянагчийг өөрчилж чадахгүй нэрээр шийдвэрлэдэг хуучин програм, яг нэг хянагчийн хаягийг зөвшөөрдөг шүүлтүүр, эсвэл хянагч нь програмын дизайны хэсэг болсон тогтмол серверийн багц. Ийм тохиолдолд бэхлэлт нь богино зам биш, бодит хязгаарлалтын баримт бичиг юм.

Түүний өртөг нь зураглалын эсрэг. Бэхэлсэн нэр санг дагахгүй, програм мэдэхгүй бол доголдлын үед шилжихгүй, мөн бүртгэлийн хяналтгүйгээр хянагчийн нэрийг өөрчлөх эсвэл ашиглалтаас гаргахыг даахгүй. Энэ нь топологийн асуудлыг бас нуудаг, учир нь бэхэлсэн клиент бүр эрүүл харагдах боловч сайтын загвар чимээгүй ялзарч байдаг.

Домэйны энгийн хаягийн бүртгэлийг нэг давуу эрхтэй серверээр солих нь гурав дахь сонголт биш. Энэ нь энгийн илрүүлэлтийн багцыг хүлээдэг хэрэглэгч бүрийг эвдэж, каталог мэддэг клиент сайтыг хэрхэн сонгохыг одоо ч хянадаггүй.

Гурван нөхцлөөр сонго

Тэднээс энэ дарааллаар асуу, шийдвэр ихэвчлэн өөрөө гардаг. Нэгд, програм DC Locator ашигладаг уу, эсвэл хянагчийн хаягийг аль хэдийн зөөж байна уу? Хоёрт, хянагч сангийн хаягийг харж байна уу, эсвэл хөрвүүлсэнийг үү? Гуравт, сан хэр олон удаа өөрчлөгдөх нь бэхлэлтийг хэдэн газарт шинэчлэх шаардлагатайтай харьцуулахад?

Каталог мэддэг програмууд дээр эх сурвалжийг хадгалсан маршрутлалт дээр өөрчлөгддөг сан: дэд сүлжээг зурагла. Илрүүлж чадахгүй програм, эсвэл нэг хаягийг зөвшөөрдөг шүүлтүүр: бэхлэж, яагаад гэдгийг бич. Бусад бүхэн нь өөр нэг дарж бичилт нэмэх биш, топологийг засах асуудал.

VPN клиентээс шалгаж, гэрээг тусдаа бариарай

Сайт дээр аль хэдийн байгаа LAN ажлын станцаас биш, бодит алсын замаас туршаарай. Зөвхөн клиентийн өөрийн харц л чухал:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Мэдээлсэн сайт нь таны зурагласан сайт бол объект таарч байна. Хэрэв клиент ямар ч сайт мэдээлэхгүй бол түүний танилцуулж буй хаяг ямар ч дэд сүлжээний объектод орохгүй, энэ нь ихэвчлэн хөрвүүлэлт эсвэл хуучирсан угтвар гэсэн үг. Дараа нь зураглал бүтэлгүйтсэн гэж үзэхийн өмнө сонгосон хянагч таны зорьсон нэгэн мөн эсэхийг шалга, учир нь клиентүүд илрүүлэлтийн үр дүнг кэш хийдэг бөгөөд доголдлын үеийн шилжилт хуулийн дагуу өөр хянагч сонгож болно.

Гурван гэрээг нэг баримтад бариарай: сан ба түүний дэд сүлжээний объектууд, VPN замаас хүртээмжтэй хянагчид, мөн нэвтэрсэн хэрэглэгч юу хийж болохыг шийддэг бодлого. Сайт нь галт хананы дүрэм ч биш, тусгаарлалтын хил ч биш бөгөөд дараагийн сангийн өөрчлөлт нь зураглал, маршрут, баримтжуулсан хувилбарууд хамт хөдлөхгүй бол алсын хэрэглэгчдийг каталогийн сүлжээний загвараас чимээгүй салгах болно.