Mapovanie lokality AD verzus pripnutie radiča domény pre klientov VPN

Klienti vzdialeného prístupu v poole VPN môžu skončiť v rozhovore s radičom domény na opačnej strane sveta, a to sa dá opraviť dvoma spôsobmi: opísať pool ako podsiet Active Directory viazanú na lokalitu, ktorá má správne radiče, alebo pripnúť klienta či aplikáciu k jednému konkrétnemu radiču. Prvé je tvrdenie o topológii, s ktorým dokáže DC Locator pracovať. Druhé je prepis na úrovni aplikácie, ktorý topológiu úplne ignoruje. Stojí to rôzne veci a siahnutie po rýchlejšom dnes je presne to, ako tím pre adresár skončí údržbou oboch.

Čo každý prístup naozaj mení

Objekt podsiete je záznam v adresári, ktorý hovorí, ktorej lokalite patrí rozsah adries. S modulom Active Directory a existujúcou lokalitou je operácia dosť malá na to, aby sa dala zobraziť v náhľade:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf zobrazí náhľad zápisu do adresára. Objekt nevytvorí a neoverí, či sa klient z toho rozsahu na niečo dostane, a to je práve tá časť, ktorú ľudia čakajú. DC Locator číta model lokalít, keď prekladá záznamy služieb, takže presný objekt podsiete mení to, čo sa klientovi ponúka.

Pripnutie pôsobí v inej vrstve. Pevné meno radiča v konfigurácii aplikácie, reťazec LDAP s hostiteľom vnútri alebo hodnota registra, ktorá pomenúva preferovaný server, všetky odstraňujú z cesty vyhľadávanie. Aplikácia hovorí s týmto radičom, kým niekto nezmení nastavenie, a prepnutie pri výpadku je to, čo daná aplikácia implementuje.

Kde mapovanie podsiete vyhráva

Namapovanie poolu opisuje sieťové umiestnenie raz, pre každého klienta, ktorý používa DC Locator. Keď pool narastie z jednej /24 na tri, model sa zmení v dvoch alebo troch objektoch namiesto v inventári aplikácií. To je celá výhoda a je veľká, keď populácia klientov nie je pod vašou kontrolou.

Háčik je v tom, že objekt musí zodpovedať adrese, ktorú radič skutočne vidí. Ak VPN brána prekladá každého klienta na adresu hubu, pridanie nepreloženého poolu opisuje sieťové umiestnenie, ktoré žiadny radič nikdy nepozoruje. Rozhodnite skoro, či návrh zachováva zdrojovú adresu klienta, a ak nie, mapujte preložený rozsah namiesto poolu, ktorý ste nakonfigurovali na serveri VPN.

Druhý limit: model lokalít je preferencia a tvrdenie o topológii. Neurobí radič dostupným a používateľovi nič nedá. Dostupnosť zabezpečujú trasy a politika firewallu; autorizáciu politika účtov.

Kde pripnutie vyhráva

Pripnutie je správna odpoveď, keď vyhľadávanie nemôže fungovať: staršia aplikácia, ktorá prekladá radič podľa mena, ktoré nemôžete zmeniť, filter, ktorý povoľuje presne jednu adresu radiča, alebo pevná množina serverov, kde je radič súčasťou návrhu aplikácie. V tých prípadoch je pripnutie dokumentáciou skutočného obmedzenia, nie skratkou.

Jeho cena je opakom mapovania. Pripnuté meno nenasleduje pool, neprepína pri výpadku, ak to aplikácia nevie, a neprežije premenovanie alebo vyradenie radiča bez inventúrnej kontroly. Tiež skrýva problémy topológie, pretože každý pripnutý klient vyzerá zdravo, kým model lokalít ticho hnil.

Nahradiť bežné adresné záznamy domény jedným preferovaným serverom nie je tretia možnosť. Rozbíja každého konzumenta, ktorý očakáva normálnu množinu vyhľadávania, a stále nekontroluje, ako klient znalý adresára vyberá lokalitu.

Vyberajte podľa troch podmienok

Pýtajte sa v tomto poradí a rozhodnutie sa zvyčajne padne samo. Po prvé, používa aplikácia vôbec DC Locator, alebo už nesie adresu radiča? Po druhé, vidí radič adresu poolu, alebo preloženú? Po tretie, ako často sa pool mení v porovnaní s tým, na koľkých miestach by sa malo pripnutie aktualizovať?

Aplikácie znalé adresára plus smerovanie zachovávajúce zdroj plus pool, ktorý sa mení: mapujte podsiet. Aplikácia, ktorá nevie vyhľadávať, alebo filter, ktorý pripúšťa jednu adresu: pripnite ju a napíšte prečo. Všetko ostatné je prípad na opravu topológie, nie na pridanie ďalšieho prepisu.

Overujte z klienta VPN a držte zmluvy oddelene

Testujte zo skutočnej vzdialenej cesty, nie z pracovnej stanice LAN, ktorá už v lokalite sedí. Rozhoduje iba pohľad samotného klienta:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ak je hlásená lokalita tá, ktorú ste namapovali, objekt zodpovedá. Ak klient nehlási žiadnu lokalitu, adresa, ktorú predkladá, nepatrí do žiadneho objektu podsiete, čo zvyčajne znamená preklad alebo zastaraný prefix. Potom overte, že zvolený radič je ten, ktorý ste zamýšľali, skôr než usúdite, že mapovanie zlyhalo, pretože klienti kešujú výsledky vyhľadávania a prepnutie pri výpadku môže legitímne vybrať iný radič.

Držte tri zmluvy v jednom dokumente: pool a jeho objekty podsietí, radiče dostupné z cesty VPN a politiku, ktorá rozhoduje, čo smie prihlásený používateľ robiť. Lokalita nie je pravidlo firewallu ani hranica izolácie a nasledujúca zmena poolu ticho odpojí vzdialených používateľov od sieťového modelu adresára, ak sa mapovanie, trasy a zdokumentované alternatívy nepohnú spolu.