Preslikava mesta AD proti pripetju krmilnika domene za odjemalce VPN

Odjemalci oddaljenega dostopa v bazenu VPN lahko končajo v pogovoru s krmilnikom domene na drugi strani sveta, in to je mogoče popraviti na dva načina: bazen opisati kot podomrežje Active Directory, vezano na mesto s pravimi krmilniki, ali odjemalca oziroma aplikacijo pripeti na en določen krmilnik. Prvo je izjava o topologiji, na katero lahko DC Locator deluje. Drugo je prepis na ravni aplikacije, ki topologijo popolnoma ignorira. Stanejo različno, in poseganje po hitrejšem danes je prav to, kako ekipa za imenik na koncu vzdržuje oboje.

Kaj vsak pristop v resnici spremeni

Objekt podomrežja je zapis v imeniku, ki pove, kateremu mestu pripada obseg naslovov. Z modulom Active Directory in obstoječim mestom je operacija dovolj majhna za predogled:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf prikaže predogled pisanja v imenik. Objekta ne ustvari in ne preveri, ali lahko odjemalec iz tega obsega do česa pride, in prav to ljudje pričakujejo. DC Locator bere model mest, ko razrešuje zapise storitev, zato natančen objekt podomrežja spremeni, kaj se odjemalcu ponudi.

Pripetje deluje na drugi plasti. Fiksno ime krmilnika v konfiguraciji aplikacije, niz LDAP z gostiteljem v njem ali vrednost v registru, ki poimenuje prednostni strežnik, vsi odstranijo odkrivanje s poti. Aplikacija govori s tem krmilnikom, dokler nekdo ne spremeni nastavitve, preklop ob napaki pa je tisto, kar ta aplikacija sama izvede.

Kje zmaga preslikava podomrežja

Preslikava bazena opisuje omrežno lokacijo enkrat, za vsakega odjemalca, ki uporablja DC Locator. Ko bazen zraste z enega /24 na tri, se model spremeni v dveh ali treh objektih namesto v seznamu aplikacij. To je vsa prednost in je velika, ko število odjemalcev ni pod vašim nadzorom.

Past je v tem, da se mora objekt ujemati z naslovom, ki ga krmilnik resnično vidi. Če prehod VPN vsakega odjemalca prevede v naslov vozlišča, dodajanje neprevedenega bazena opisuje omrežno lokacijo, ki je noben krmilnik nikoli ne opazi. Odločite se zgodaj, ali zasnova ohrani izvorni naslov odjemalca, in če ga ne, preslikajte prevedeni obseg namesto bazena, ki ste ga nastavili na strežniku VPN.

Druga meja: model mest je preferenca in izjava o topologiji. Krmilnika ne naredi dosegljivega in uporabniku ne da ničesar. Dosegljivost zagotavljata usmerjanje in politika požarnega zidu; dovoljenje politika računov.

Kje zmaga pripetje

Pripetje je pravi odgovor, ko odkrivanje ne more delovati: stara aplikacija, ki razreši krmilnik po imenu, ki ga ne morete spremeniti, filter, ki dovoli natanko en naslov krmilnika, ali fiksni nabor strežnikov, kjer je krmilnik del zasnove aplikacije. V teh primerih je pripetje dokumentiranje resnične omejitve, ne bližnjica.

Njegova cena je nasprotje preslikave. Pripeto ime ne sledi bazenu, se ob napaki ne preklopi, razen če aplikacija to zna, in ne preživi preimenovanja ali umika krmilnika brez pregleda inventarja. Skriva tudi težave s topologijo, ker je vsak pripeti odjemalec videti zdrav, medtem ko model mest tiho gnije.

Zamenjava običajnih naslovnih zapisov domene z enim prednostnim strežnikom ni tretja možnost. Poruši vsakega porabnika, ki pričakuje običajni nabor odkrivanja, in še vedno ne nadzoruje, kako odjemalec, ki pozna imenik, izbere mesto.

Izberite po treh pogojih

Vprašajte jih v tem vrstnem redu in odločitev se običajno sprejme sama. Prvič, ali aplikacija sploh uporablja DC Locator ali že nosi naslov krmilnika? Drugič, ali krmilnik vidi naslov bazena ali prevedenega? Tretjič, kako pogosto se bazen spremeni v primerjavi s tem, na koliko mestih bi bilo treba posodobiti pripetje?

Aplikacije, ki poznajo imenik, plus usmerjanje, ki ohranja izvor, plus bazen, ki se spreminja: preslikajte podomrežje. Aplikacija, ki ne zna odkriti, ali filter, ki dopusti en naslov: pripnite jo in zapišite zakaj. Vse drugo je primer za popravljanje topologije, ne za dodajanje še enega prepisa.

Preverite z odjemalca VPN in držite pogodbe ločeno

Testirajte s prave oddaljene poti, ne z delovne postaje LAN, ki že sedi na mestu. Šteje le pogled odjemalca samega:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Če je sporočeno mesto tisto, ki ste ga preslikali, se objekt ujema. Če odjemalec ne sporoči nobenega mesta, naslov, ki ga predstavi, ne pade v noben objekt podomrežja, kar običajno pomeni prevod ali zastarel predpono. Nato preverite, ali je izbrani krmilnik tisti, ki ste ga nameravali, preden sklepate, da je preslikava spodletela, ker odjemalci predpomnijo rezultate odkrivanja in preklop ob napaki lahko zakonito izbere drug krmilnik.

Držite tri pogodbe v enem dokumentu: bazen in njegove objekte podomrežij, krmilnike, dosegljive s poti VPN, in politiko, ki odloča, kaj sme prijavljeni uporabnik početi. Mesto ni pravilo požarnega zidu in ni meja izolacije, naslednja sprememba bazena pa bo tiho odklopila oddaljene uporabnike od omrežnega modela imenika, če se preslikava, poti in dokumentirane alternative ne premaknejo skupaj.