Pemetaan tapak AD berbanding penyematan pengawal domain untuk klien VPN

Klien akses jauh pada kolam VPN boleh berakhir bercakap dengan pengawal domain di sebelah sana dunia, dan itu boleh dibetulkan dengan dua cara: huraikan kolam sebagai subnet Active Directory yang terikat pada tapak yang mempunyai pengawal yang betul, atau sematkan klien atau aplikasi kepada satu pengawal tertentu. Yang pertama ialah pernyataan topologi yang boleh ditindaklanjuti oleh DC Locator. Yang kedua ialah penggantian setiap aplikasi yang mengabaikan topologi sepenuhnya. Kedua-duanya berbeza kos, dan merampas yang lebih pantas hari ini ialah cara pasukan direktori akhirnya menyelenggara kedua-duanya.

Apa yang sebenarnya diubah oleh setiap pendekatan

Objek subnet ialah rekod direktori yang menyatakan tapak mana yang memiliki julat alamat. Dengan modul Active Directory dan tapak yang sedia ada, operasinya cukup kecil untuk dipratonton:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf mempratonton penulisan direktori. Ia tidak mencipta objek itu dan tidak menguji sama ada klien dalam julat itu boleh mencapai apa-apa, dan bahagian itulah yang dijangka orang. DC Locator membaca model tapak apabila ia menyelesaikan rekod perkhidmatan, jadi objek subnet yang tepat mengubah apa yang ditawarkan kepada klien.

Penyematan berfungsi pada lapisan lain. Nama pengawal tetap dalam konfigurasi aplikasi, rentetan LDAP yang mengandungi hos, atau nilai registri yang menamakan pelayan pilihan, semuanya membuang penemuan daripada laluan. Aplikasi bercakap dengan pengawal itu sehingga seseorang mengubah tetapan, dan pengalihan semasa kegagalan ialah apa yang dilaksanakan oleh aplikasi itu sendiri.

Di mana pemetaan subnet menang

Memetakan kolam menerangkan lokasi rangkaian sekali, untuk setiap klien yang menggunakan DC Locator. Apabila kolam berkembang daripada satu /24 kepada tiga, model berubah dalam dua atau tiga objek dan bukannya dalam inventori aplikasi. Itulah keseluruhan kelebihan, dan ia besar apabila populasi klien tidak berada di bawah kawalan anda.

Masalahnya ialah objek itu mesti sepadan dengan alamat yang benar-benar dilihat oleh pengawal. Jika get laluan VPN menterjemah setiap klien kepada alamat hab, menambah kolam yang tidak diterjemah menerangkan lokasi rangkaian yang tidak pernah dicerap oleh mana-mana pengawal. Putuskan awal sama ada reka bentuk mengekalkan alamat sumber klien, dan jika tidak, petakan julat terjemahan itu dan bukannya kolam yang anda konfigurasikan pada pelayan VPN.

Had kedua: model tapak ialah keutamaan dan pernyataan topologi. Ia tidak menjadikan pengawal boleh dicapai dan tidak memberikan apa-apa kepada pengguna. Kebolehcapaian dibuat oleh laluan dan dasar tembok api; kebenaran dibuat oleh dasar akaun.

Di mana penyematan menang

Penyematan ialah jawapan yang betul apabila penemuan tidak dapat berfungsi: aplikasi lama yang menyelesaikan pengawal melalui nama yang tidak boleh anda ubah, penapis yang membenarkan tepat satu alamat pengawal, atau set pelayan tetap yang pengawalnya ialah sebahagian daripada reka bentuk aplikasi. Dalam kes itu penyematan ialah pendokumentasian kekangan sebenar, bukan jalan pintas.

Kosnya ialah kebalikan pemetaan. Nama yang disematkan tidak mengikut kolam, tidak beralih semasa kegagalan melainkan aplikasi tahu caranya, dan tidak bertahan apabila pengawal dinamakan semula atau dinyahkhidmatkan tanpa semakan inventori. Ia juga menyembunyikan masalah topologi, kerana setiap klien yang menyemat kelihatan sihat sementara model tapak mereput secara senyap.

Menggantikan rekod alamat biasa domain dengan satu pelayan pilihan bukan pilihan ketiga. Ia memecahkan setiap pengguna yang menjangka set penemuan biasa, dan ia masih tidak mengawal cara klien yang sedar direktori memilih tapak.

Pilih berdasarkan tiga syarat

Tanyakan dalam urutan ini dan keputusan biasanya mengambil keputusan sendiri. Pertama, adakah aplikasi menggunakan DC Locator sama sekali, atau adakah ia sudah membawa alamat pengawal? Kedua, adakah pengawal melihat alamat kolam, atau alamat yang diterjemah? Ketiga, berapa kerap kolam berubah berbanding berapa banyak tempat penyematan perlu dikemas kini?

Aplikasi yang sedar direktori serta penghalaan yang mengekalkan sumber serta kolam yang berubah: petakan subnet. Aplikasi yang tidak dapat menemui, atau penapis yang menerima satu alamat: sematkan, dan tuliskan sebabnya. Segala-galanya ialah kes untuk membaiki topologi dan bukannya menambah penggantian lain.

Sahkan dari klien VPN dan asingkan kontrak

Uji dari laluan jauh sebenar, bukan dari stesen kerja LAN yang sudah berada di tapak. Hanya pandangan klien itu sendiri yang penting:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Jika tapak yang dilaporkan ialah tapak yang anda petakan, objek itu sepadan. Jika klien tidak melaporkan sebarang tapak, alamat yang dikemukakannya tidak termasuk dalam mana-mana objek subnet, yang biasanya bermaksud terjemahan atau awalan usang. Kemudian sahkan bahawa pengawal yang dipilih ialah yang anda maksudkan sebelum menganggap pemetaan gagal, kerana klien menyimpan hasil penemuan dalam cache dan pengalihan semasa kegagalan boleh memilih pengawal lain secara sah.

Simpan ketiga-tiga kontrak dalam satu dokumen: kolam dan objek subnetnya, pengawal yang boleh dicapai dari laluan VPN, dan dasar yang memutuskan apa yang boleh dilakukan oleh pengguna yang telah log masuk. Tapak bukan peraturan tembok api dan bukan sempadan pengasingan, dan perubahan kolam seterusnya akan memutuskan pengguna jauh secara senyap daripada model rangkaian direktori melainkan pemetaan, laluan dan alternatif yang didokumenkan bergerak bersama.