Mapiranje AD lokacije nasuprot prikvačivanju kontrolera domena za VPN klijente

Klijenti udaljenog pristupa na VPN poolu mogu završiti u razgovoru sa kontrolerom domena na drugoj strani sveta, a to se popravlja na dva načina: opisati pool kao Active Directory podmrežu vezanu za lokaciju koja drži ispravne kontrolere, ili prikvačiti klijenta ili aplikaciju za jedan određeni kontroler. Prvo je izjava o topologiji na koju DC Locator može da deluje. Drugo je nadjačavanje po aplikaciji koje topologiju potpuno zanemaruje. Koštaju različito, a posezanje za bržim danas je upravo način na koji tim za imenik na kraju održava oboje.

Šta svaki pristup zapravo menja

Objekat podmreže je zapis u imeniku koji kaže kojoj lokaciji pripada raspon adresa. Uz modul Active Directory i postojeću lokaciju, operacija je dovoljno mala da se pregleda:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf pregleda upis u imenik. Ne stvara objekat i ne proverava može li klijent iz tog raspona doći do bilo čega, a to je deo koji ljudi očekuju. DC Locator čita model lokacija kada razrešava zapise usluga, pa tačan objekat podmreže menja ono što se klijentu nudi.

Prikvačivanje radi na drugom sloju. Fiksno ime kontrolera u konfiguraciji aplikacije, LDAP niz sa hostom u sebi ili vrednost registra koja imenuje preferirani server uklanjaju otkrivanje iz puta. Aplikacija razgovara sa tim kontrolerom dok neko ne promeni postavku, a prebacivanje pri otkazu je ono što ta aplikacija implementira.

Gde mapiranje podmreže pobeđuje

Mapiranje poola opisuje mrežnu lokaciju jednom, za svakog klijenta koji koristi DC Locator. Kada pool naraste sa jedne /24 na tri, model se menja u dva ili tri objekta umesto u inventaru aplikacija. To je cela prednost, i velika je kada populacija klijenata nije pod vašom kontrolom.

Kvaka je da objekat mora odgovarati adresi koju kontroler zaista vidi. Ako VPN gateway prevodi svakog klijenta u adresu koncentratora, dodavanje neprevedenog poola opisuje mrežnu lokaciju koju nijedan kontroler nikada ne opaža. Odlučite rano da li dizajn čuva izvornu adresu klijenta, i ako ne, mapirajte prevedeni raspon umesto poola koji ste konfigurisali na VPN serveru.

Drugo ograničenje: model lokacija je preferencija i izjava o topologiji. Ne čini kontroler dostupnim i ne daje korisniku ništa. Dostupnost rade rute i politika vatrozida; autorizaciju radi politika naloga.

Gde prikvačivanje pobeđuje

Prikvačivanje je pravi odgovor kada otkrivanje ne može da radi: zastarela aplikacija koja razrešava kontroler po imenu koje ne možete promeniti, filter koji dopušta tačno jednu adresu kontrolera, ili fiksni skup servera gde je kontroler deo dizajna aplikacije. U tim slučajevima prikvačivanje je dokumentacija stvarne granice, a ne prečica.

Njegova cena je suprotna mapiranju. Fiksno ime ne sledi pool, ne prebacuje se pri otkazu osim ako aplikacija zna kako, i ne preživljava preimenovanje ili povlačenje kontrolera bez pregleda inventara. Takođe skriva probleme topologije, jer svaki klijent koji prikvačuje izgleda zdrav dok model lokacija tiho trune.

Zamena uobičajenih adresnih zapisa domena jednim preferiranim serverom nije treća opcija. To lomi svakog potrošača koji očekuje normalni skup otkrivanja, i dalje ne kontroliše kako klijent svestan imenika bira lokaciju.

Birajte po tri uslova

Pitajte ih ovim redom i odluka se obično sama donese. Prvo, koristi li aplikacija DC Locator uopšte, ili već nosi adresu kontrolera? Drugo, vidi li kontroler adresu poola ili prevedenu? Treće, koliko se često pool menja u poređenju s tim na koliko bi mesta prikvačivanje trebalo ažurirati?

Aplikacije svesne imenika plus rutiranje koje čuva izvor plus pool koji se menja: mapirajte podmrežu. Aplikacija koja ne može da otkrije, ili filter koji dopušta jednu adresu: prikvačite je i zapišite zašto. Sve ostalo je slučaj za popravku topologije, a ne za dodavanje još jednog nadjačavanja.

Proverite sa VPN klijenta i držite ugovore odvojeno

Testirajte sa pravog udaljenog puta, ne sa LAN radne stanice koja već sedi na lokaciji. Merodavan je samo sopstveni pogled klijenta:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ako je prijavljena lokacija ona koju ste mapirali, objekat se poklapa. Ako klijent ne prijavi nikakvu lokaciju, adresa koju predstavlja ne pada ni u jedan objekat podmreže, što obično znači prevođenje ili zastareo prefiks. Zatim proverite da je izabrani kontroler onaj koji ste nameravali pre nego što pretpostavite da je mapiranje neuspešno, jer klijenti keširaju rezultate otkrivanja i prebacivanje pri otkazu može legitimno da izabere drugi kontroler.

Držite tri ugovora u jednom dokumentu: pool i njegove objekte podmreža, kontrolere dostupne sa VPN puta, i politiku koja odlučuje šta prijavljeni korisnik sme da radi. Lokacija nije pravilo vatrozida i nije granica izolacije, a sledeća promena poola tiho će odvojiti udaljene korisnike od mrežnog modela imenika ako se mapiranje, rute i dokumentovane alternative ne kreću zajedno.