Immappjar tas-sit AD kontra t-twaħħil ta kontrollur tad-dominju għall-klijenti VPN

Il-klijenti tal-aċċess mill-bogħod fuq pool VPN jistgħu jispiċċaw jitkellmu ma kontrollur tad-dominju fuq in-naħa l-oħra tad-dinja, u dan jissewwa b żewġ modi: iddeskrivi l-pool bħala subnet ta Active Directory marbuta mas-sit li għandu l-kontrolluri t-tajba, jew waħħal il-klijent jew l-applikazzjoni ma kontrollur wieħed speċifiku. L-ewwel hija dikjarazzjoni tat-topoloġija li DC Locator jista jaġixxi fuqha. It-tieni hija sostituzzjoni għal kull applikazzjoni li tinjora t-topoloġija għal kollox. Jiswew affarijiet differenti, u li llum taqbad l-aktar mgħaġġla huwa eżattament kif tim tad-direttorju jispiċċa jżomm it-tnejn.

X jiġi verament mibdul b kull approċċ

L-oġġett tas-subnet huwa rekord fid-direttorju li jgħid liema sit hija tal-firxa tal-indirizzi. Mal-modulu Active Directory u sit li diġà jeżisti, l-operazzjoni hija żgħira biżżejjed biex taraha minn qabel:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf jara l-kitba fid-direttorju minn qabel. Ma joħloqx l-oġġett u ma jittestjax jekk klijent f dik il-firxa jistax jilħaq xi ħaġa, u dik hija eżattament il-parti li n-nies jistennew. DC Locator jaqra l-mudell tas-siti meta jsolvi r-rekords tas-servizz, għalhekk oġġett tas-subnet preċiż ibiddel dak li jiġi offrut lill-klijent.

It-twaħħil jaħdem f saff ieħor. Isem tal-kontrollur fiss fil-konfigurazzjoni tal-applikazzjoni, string LDAP b host ġo fih, jew valur tar-reġistru li jsemmi server preferut, kollha jneħħu l-iskoperta mill-passaġġ. L-applikazzjoni titkellem ma dak il-kontrollur sakemm xi ħadd ibiddel is-setting, u l-qbil waqt il-falliment huwa dak li timplimenta dik l-applikazzjoni stess.

Fejn jirbaħ l-immappjar tas-subnet

L-immappjar tal-pool jiddeskrivi l-post fin-netwerk darba, għal kull klijent li juża DC Locator. Meta l-pool jikber minn /24 wieħed għal tlieta, il-mudell jinbidel f żewġ oġġetti jew tlieta minflok f inventarju tal-applikazzjonijiet. Dan huwa l-vantaġġ kollu, u huwa kbir meta l-popolazzjoni tal-klijenti mhix taħt il-kontroll tiegħek.

L-imxekkla hija li l-oġġett irid jaqbel mal-indirizz li l-kontrollur verament jara. Jekk il-gateway VPN jittraduċi kull klijent f indirizz ta hub, iż-żieda tal-pool mhux tradott tiddeskrivi post fin-netwerk li ebda kontrollur qatt ma josserva. Iddeċiedi kmieni jekk id-disinn jippreservax l-indirizz tas-sors tal-klijent, u jekk le, immappja l-firxa tradotta minflok il-pool li kkonfigurajt fuq is-server VPN.

It-tieni limitu: il-mudell tas-siti huwa preferenza u dikjarazzjoni tat-topoloġija. Ma jagħmilx kontrollur aċċessibbli u ma jagħti xejn lill-utent. Ir-rotot u l-politika tal-firewall jagħtu l-aċċessibilità; il-politika tal-kontijiet tagħti l-awtorizzazzjoni.

Fejn jirbaħ it-twaħħil

It-twaħħil huwa t-tweġiba t-tajba meta l-iskoperta ma tistax taħdem: applikazzjoni antika li ssolvi kontrollur b isem li ma tistax tibdlu, filtru li jippermetti eżattament indirizz wieħed tal-kontrollur, jew sett fiss ta servers li fih il-kontrollur huwa parti mid-disinn tal-applikazzjoni. F dawk il-każijiet it-twaħħil huwa dokumentazzjoni ta restrizzjoni reali u mhux qasira.

L-ispiża tiegħu hija l-oppost tal-immappjar. Isem imwaħħal ma jsegwix il-pool, ma jaqbilx waqt il-falliment sakemm l-applikazzjoni tkun taf kif, u ma jgħixx meta l-kontrollur jinbidel ismu jew jiġi ddekummissjonat mingħajr skenn tal-inventarju. Huwa jaħbi wkoll problemi tat-topoloġija, għax kull klijent li jwaħħal jidher f saħħtu waqt li l-mudell tas-siti jitmermer bil-kwiet.

Li tissostitwixxi r-rekords tal-indirizz tas-soltu tad-dominju b server wieħed preferut mhix it-tielet għażla. Hija tkisser kull konsumatur li jistenna s-sett normali tal-iskoperta, u xorta ma tikkontrollax kif klijent konxju mid-direttorju jagħżel sit.

Agħżel fuq tliet kundizzjonijiet

Staqsihom f dan l-ordni u d-deċiżjoni normalment tieħu lilha nfisha. L-ewwel, l-applikazzjoni tuża DC Locator xejn, jew diġà ġġorr indirizz tal-kontrollur? It-tieni, il-kontrollur jara l-indirizz tal-pool, jew wieħed tradott? It-tielet, kemm-il darba jinbidel il-pool meta mqabbel ma kemm postijiet ikollu bżonn jiġu aġġornati t-twaħħil?

Applikazzjonijiet konxji mid-direttorju flimkien ma routing li jippreserva s-sors flimkien ma pool li jinbidel: immappja s-subnet. Applikazzjoni li ma tistax tiskopri, jew filtru li jammetti indirizz wieħed: waħħalha, u ikteb għaliex. Kull ħaġa oħra hija każ biex tissewwa t-topoloġija u mhux biex tiżdied sostituzzjoni oħra.

Ivverifika mill-klijent VPN u żomm il-kuntratti separati

Ittestja mill-passaġġ remot reali, mhux minn workstation LAN li diġà tinsab fis-sit. Timporta biss il-veduta tal-klijent innifsu:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Jekk is-sit irrappurtat huwa dak li mmappjajt, l-oġġett jaqbel. Jekk il-klijent ma jirrappurtax sit, l-indirizz li jippreżenta ma jaqax f ebda oġġett tas-subnet, li normalment ifisser traduzzjoni jew prefiss skadut. Imbagħad ivverifika li l-kontrollur magħżul huwa dak li kellek f moħħok qabel ma tassumi li l-immappjar falla, għax il-klijenti jaħżnu r-riżultati tal-iskoperta u l-qbil waqt il-falliment jista leġittimament jagħżel kontrollur ieħor.

Żomm it-tliet kuntratti f dokument wieħed: il-pool u l-oġġetti tas-subnet tiegħu, il-kontrolluri aċċessibbli mill-passaġġ VPN, u l-politika li tiddeċiedi x jista jagħmel utent illoggjat. Sit mhux regola tal-firewall u mhux fruntiera ta konteniment, u l-bidla li jmiss fil-pool se tiskonnette bil-kwiet lill-utenti remoti mill-mudell tan-netwerk tad-direttorju sakemm l-immappjar, ir-rotot u l-alternattivi dokumentati ma jiċċaqilqux flimkien.