Мапирање AD локације наспрам закачињања контролера домена за VPN клијенте

Клијенти удаљеног приступа у VPN базену могу завршити у разговору са контролером домена на другој страни света, а то се поправља на два начина: описати базен као Active Directory подмрежу везану за локацију која има исправне контролере, или закачити клијента или апликацију за један одређени контролер. Прво је изјава о топологији на коју DC Locator може деловати. Друго је надјачавање по апликацији које топологију потпуно занемарује. Костају различито, а посезање за бржим данас је управо начин на који тим за именик на крају одржава оба.

Шта сваки приступ заправо мења

Објекат подмреже је запис у именику који каже којој локацији припада распон адреса. Уз модул Active Directory и постојећу локацију, операција је довољно мала да се прегледа:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf прегледа упис у именик. Не ствара објекат и не проверава може ли клијент из тог распона доћи до било чега, а то је део који људи очекују. DC Locator чита модел локација када разрешава записе услуга, па тачан објекат подмреже мења оно што се клијенту нуди.

Закачињање ради на другом слоју. Фиксно име контролера у конфигурацији апликације, LDAP низ са хостом у себи или вредност регистра која именује пожељни сервер уклањају откривање из пута. Апликација разговара са тим контролером док неко не промени поставку, а пребацивање при отказу је оно што та апликација имплементира.

Где мапирање подмреже побеђује

Мапирање базена описује мрежну локацију једном, за сваког клијента који користи DC Locator. Када базен нарасте са једне /24 на три, модел се мења у два или три објекта уместо у инвентару апликација. То је цела предност, и велика је када популација клијената није под вашом контролом.

Квака је да објекат мора одговарати адреси коју контролер заиста види. Ако VPN гејтвеј преводи сваког клијента у адресу концентратора, додавање непреведеног базена описује мрежну локацију коју ниједан контролер никада не опажа. Одлучите рано да ли дизајн чува изворну адресу клијента, и ако не, мапирајте преведени распон уместо базена који сте конфигурисали на VPN серверу.

Друго ограничење: модел локација је преференција и изјава о топологији. Не чини контролер доступним и не даје кориснику ништа. Доступност раде руте и политика заштитног зида; ауторизацију политика налога.

Где закачињање побеђује

Закачињање је прави одговор када откривање не може да ради: застарела апликација која разрешава контролер по имену које не можете променити, филтер који дозвољава тачно једну адресу контролера, или фиксни скуп сервера где је контролер део дизајна апликације. У тим случајевима закачињање је документовање стварног ограничења, а не пречица.

Његова цена је супротна мапирању. Фиксно име не следи базен, не пребацује се при отказу осим ако апликација зна како, и не преживљава преименовање или повлачење контролера без прегледа инвентара. Такође скрива проблеме топологије, јер сваки клијент који закачиња изгледа здрав док модел локација тихо труне.

Замена уобичајених адресних записа домена једним пожељним сервером није трећа опција. То ломи сваког потрошача који очекује нормалан скуп откривања, и даље не контролише како клијент свестан именика бира локацију.

Бирајте по три услова

Питајте их овим редом и одлука се обично сама донесе. Прво, користи ли апликација уопште DC Locator, или већ носи адресу контролера? Друго, види ли контролер адресу базена или преведену? Треће, колико се често базен мења у поређењу с тим на колико би места закачињање требало ажурирати?

Апликације свесне именика плус рутирање које чува извор плус базен који се мења: мапирајте подмрежу. Апликација која не може да открије, или филтер који допушта једну адресу: закачите је и запишите зашто. Све остало је случај за поправку топологије, а не за додавање још једног надјачавања.

Проверите са VPN клијента и држите уговоре одвојено

Тестирајте са правог удаљеног пута, не са LAN радне станице која већ седи на локацији. Меродаван је само сопствени поглед клијента:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ако је пријављена локација она коју сте мапирали, објекат се поклапа. Ако клијент не пријави никакву локацију, адреса коју представља не пада ни у један објекат подмреже, што обично значи превођење или застарео префикс. Затим проверите да је изабрани контролер онај који сте намеравали пре него што претпоставите да је мапирање неуспешно, јер клијенти кеширају резултате откривања и пребацивање при отказу може легитимно да изабере други контролер.

Држите три уговора у једном документу: базен и његове објекте подмрежа, контролере доступне са VPN пута, и политику која одлучује шта пријављени корисник сме да ради. Локација није правило заштитног зида и није граница изолације, а следећа промена базена тихо ће одвојити удаљене кориснике од мрежног модела именика ако се мапирање, руте и документоване алтернативе не крећу заједно.