Жижиг оффисын VPN: домэйн контроллероос хол байлгаарай

Оффисын цорын ганц Windows сервер VPN-ийг мөн дуусгах ёстой эсэхийг гурван нөхцөл шийднэ: каталог дээр интернетэд чиглэсэн хэдэн програм хангамж ажиллуулахад бэлэн байгаа, тэр үүрэггүйгээр алсын хэрэглэгчдийг баталгаажуулж чадах эсэх, хост дахин ачаалагдахад таны удирдлагын хандалтад юу тохиолдох. Гурвын аль нэг нь муу хариулттай бол үүргүүдийг тусгаарлаарай. Оффис бага байгаа нь төсвийг өөрчилнө, эрсдэлийг биш.

Домен дахь машин бүр домэйн контроллерт итгэдэг; VPN гарц руу интернет дэх хэн ч хүрч болно. Энэ тэгш бус байдал л бүх үндэслэл.

Хоёр өөр өртөлтийн профайлтай хоёр ажил

Гарц гаднаас холболт хүлээж авдаг тул түүний сонсогч, TLS стек, баталгаажуулалтын гадаргуу бүгд итгэмжлэгдэхгүй сүлжээнээс хүрч болно. Каталог бусад машин итгэдэг эрх мэдлийг эзэмшдэг тул Microsoft-ын бэхжүүлэх заавар домэйн контроллерын үүрэг болон түүний хостингийн орчныг онцгой мэдрэмтгий гэж үздэг. Энэ хост дээр нэмсэн үйлчилгээ бүр каталогийн итгэлийн байр суурийг өвлөж, өөрийн довтолгооны гадаргууг нэмдэг. Суулгацын тав тух итгэлийн хил биш.

Үүргүүдийг тусгаарлах нь хамаарлуудыг арилгахгүй. Алсын хэрэглэгчдэд баталгаажуулалт, маршрут, DNS болон хандалтын дүрэм хэрэгтэй хэвээр, эдгээрийг алгасах гарц илүү аюулгүй биш, зөвхөн бага хэрэгтэй.

Каталогийн үүрэггүйгээр баталгаажуулалт

Гарц нь дэмжигдсэн гадаад интеграцаар дамжуулан каталогийг өөрөө хостгүйгээр итгэмжлэлийг баталгаажуулж чадна. Тэр интеграц юу ч байсан, зорилгод тохирох эрхтэй бүртгэл өгөөрэй: баталгаажуулалтад шаардлагатай шинж чанаруудыг унших, үүнээс хэтрэхгүй. VPN хэрэглэгчдийг хүлээн авах нь тэдний энгийн бүртгэлийг домэйн администратор болгохыг хэзээ ч шаарддаггүй бөгөөд гарц каталогийн хуулбарыг хадгалахыг хэзээ ч шаарддаггүй.

Дараа нь алсын клиент үнэхээр шаарддаг сүлжээний замуудыг хязгаарлаарай. Нэг дотоод файлын үйлчилгээний хандалт, дээр нь тэр ажлын урсгал хамаардаг нэрийн шийдвэр болон таних үйлчилгээнүүд нь тодорхойлогдсон замын багц юм. Энэ нь VPN сангаас домэйн контроллерын бүх порт эсвэл бүх админ интерфейсийг зөвшөөрөх шалтгаан биш.

Нэг хост нэг алдааны домэйн хэвээр

Нэг хайпервизор дээрх хоёр зочин үйлдлийн системийн тохиргоог тусгаарладаг ч хувь заяаг тусгаарладаггүй. Хайпервизорын администраторууд, виртуал солилцоо, хадгалалт, нөөц хуулбарууд дизайны хэсэг хэвээр, хост дахин ачаалахад хоёр үйлчилгээ нэгэн зэрэг алга болно. Диаграмд хоёр VM харагдаж байгаа тул үүнийг өндөр хүртээмж гэж нэрлэх нь түгээмэл бөгөөд үнэтэй алдаа. Буцах цорын ганц зам тэр хост дээрх VPN-ээр дамждаг бол алдаа түүнийг засахад хэрэгтэй холболтыг авч оддог.

Тиймээс туннелээс хамааралгүй бие даасан удирдлагын зам төлөвлөж, засвар үйлчилгээний үеэр юу хүртээмжтэй хэвээр байгааг бичээрэй. Гарцын шинэчлэл ба каталогийн засварыг тусад нь төлөвлөж, тасалдал бүр ямар хэрэглэгч эсвэл аппликейшнд хүрч байгааг тэмдэглээрэй.

VPN-ийг засахын тулд VPN ассаар байхыг шаарддаг засварын цонх нь засварын цонх биш.

Өөрийгөө гадаа түгжихгүйгээр зөөгөөрэй

Үүргүүд аль хэдийн нэг суулгацыг хуваалцаж байгаа бол яаралтай алсын шилжилтээс зайлсхий. Гарц өнөөдөр эзэмшиж буй зүйлсийг жагсаа: хаягууд, дамжуулах дүрэм, NAT, DNS тохиргоо, баталгаажуулалтын тохиргоо, нийтэлсэн үйлчилгээнүүд. Сонсогчийг зөөх эсвэл анхдагч маршрутыг өөрчлөхөөс өмнө орлуулагч ба буцах замыг хоёуланг нь бэлдээрэй. Дараа нь шинэ хилийн дундуур энгийн алсын хэрэглэгчийн бодит ажлыг туршиж, шаардлагагүй админ хандалт хараахан бүтэлгүйтсээр байгааг батал.

Зорилго нь илүү гоё диаграм биш. Бүх оффисын каталогийн итгэлийг бэхлэж буй хайрцагт хүрэхгүйгээр VPN-ийг засах эсвэл дахин барих чадвар юм. Эдгээр нь өөр зорилго бөгөөд зөвхөн нэг нь л хоёр дахь сервер шаарддаг.

Шийдвэрийг ямар ч тохиолдолд тэмдэглэж, дахин нээх нөхцлүүдийг оруулаарай. Жижиг оффис өсдөг, нэг серверт тохирсон хариулт дараагийнханд тохирохгүй байж болно.