Uchoraji ramani wa tovuti ya AD dhidi ya kubandika kidhibiti cha kikoa kwa wateja wa VPN

Wateja wa ufikiaji wa mbali kwenye dimbwi la VPN wanaweza kuishia kuzungumza na kidhibiti cha kikoa kilicho upande wa pili wa dunia, na hilo linaweza kurekebishwa kwa njia mbili: eleza dimbwi kama subnet ya Active Directory iliyounganishwa na tovuti iliyo na vidhibiti sahihi, au bandika mteja au programu kwenye kidhibiti kimoja maalum. Ya kwanza ni tamko la topolojia ambalo DC Locator linaweza kufanyia kazi. Ya pili ni ubatilishaji kwa kila programu unaopuuza topolojia kabisa. Zinagharimu vitu tofauti, na kukamata ile ya haraka zaidi leo ndiyo njia ambayo timu ya saraka huishia kudumisha zote mbili.

Kila mbinu inabadilisha nini hasa

Kipengele cha subnet ni rekodi ya saraka inayosema safu ya anwani ni ya tovuti ipi. Kwa moduli ya Active Directory na tovuti iliyopo, operesheni ni ndogo vya kutosha kuonyeshwa kabla:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf huonyesha uandishi wa saraka kabla. Haiundi kipengele na haijaribu kama mteja aliye katika safu hiyo anaweza kufikia kitu chochote, na hicho ndicho sehemu ambayo watu wanatarajia. DC Locator husoma muundo wa tovuti inapotatua rekodi za huduma, kwa hivyo kipengele sahihi cha subnet hubadilisha kile anachopewa mteja.

Kubandika hufanya kazi katika tabaka lingine. Jina la kidhibiti lililowekwa maalum katika usanidi wa programu, mfuatano wa LDAP ulio na mwenyeji ndani, au thamani ya rejista inayotaja seva inayopendekezwa, zote huondoa ugunduzi kutoka kwenye njia. Programu huzungumza na kidhibiti hicho hadi mtu abadilishe mpangilio, na ubadilishaji wakati wa kushindwa ni kile ambacho programu hiyo yenyewe hutekeleza.

Mahali uchoraji wa subnet unashinda

Kuchora ramani ya dimbwi hufafanua eneo la mtandao mara moja, kwa kila mteja anayetumia DC Locator. Dimbi linapokua kutoka /24 moja hadi tatu, muundo hubadilika katika vipengele viwili au vitatu badala ya orodha ya programu. Hiyo ndiyo faida yote, na ni kubwa wakati idadi ya wateja haiko chini ya udhibiti wako.

Kizuizi ni kwamba kipengele lazima kioane na anwani ambayo kidhibiti huiona hasa. Ikiwa lango la VPN hutafsiri kila mteja kuwa anwani ya kitovu, kuongeza dimbwi lisilotafsiriwa hufafanua eneo la mtandao ambalo hakuna kidhibiti kinachowahi kuona. Amua mapema kama muundo unahifadhi anwani ya chanzo ya mteja, na ikiwa hauhifadhi, chora ramani ya safu iliyotafsiriwa badala ya dimbwi ulilosanidi kwenye seva ya VPN.

Kikomo cha pili: muundo wa tovuti ni upendeleo na tamko la topolojia. Haifanyi kidhibiti kifikike na haimpi mtumiaji chochote. Ufikikaji hufanywa na njia na sera ya kinga moto; idhini hufanywa na sera ya akaunti.

Mahali kubandika kunashinda

Kubandika ndiyo jibu sahihi wakati ugunduzi hauwezi kufanya kazi: programu ya zamani inayotatua kidhibiti kwa jina ambalo huwezi kubadilisha, kichujio kinachoruhusu anwani moja ya kidhibiti, au seti isiyobadilika ya seva ambapo kidhibiti ni sehemu ya muundo wa programu. Katika hali hizo kubandika ni uandishi wa kizuizi halisi, si njia ya mkato.

Gharama yake ni kinyume cha uchoraji. Jina lililobandikwa halifuati dimbwi, halibadiliki wakati wa kushindwa isipokuwa programu inajua jinsi, na haistahimili kubadilishwa jina kwa kidhibiti au kuondolewa kwenye huduma bila ukaguzi wa orodha. Pia huficha matatizo ya topolojia, kwa sababu kila mteja anayebandika anaonekana mzima huku muundo wa tovuti ukioza kimya kimya.

Kubadilisha rekodi za kawaida za anwani za kikoa na seva moja inayopendekezwa si chaguo la tatu. Huvunja kila mtumiaji anayetarajia seti ya kawaida ya ugunduzi, na bado haidhibiti jinsi mteja anayejua saraka anavyochagua tovuti.

Chagua kwa masharti matatu

Waulize kwa mpangilio huu na uamuzi kwa kawaida hujifanya wenyewe. Kwanza, programu inatumia DC Locator kabisa, au tayari inabeba anwani ya kidhibiti? Pili, kidhibiti kinaona anwani ya dimbwi, au iliyotafsiriwa? Tatu, dimbwi hubadilika mara ngapi ikilinganishwa na mahali ngapi kubandika kutahitaji kusasishwa?

Programu zinazojua saraka pamoja na uelekezaji unaohifadhi chanzo pamoja na dimbwi linalobadilika: chora ramani ya subnet. Programu isiyoweza kugundua, au kichujio kinachokubali anwani moja: bandika, na uandike kwa nini. Kila kitu kingine ni kesi ya kurekebisha topolojia badala ya kuongeza ubatilishaji mwingine.

Thibitisha kutoka kwa mteja wa VPN na tenga mikataba

Jaribu kutoka kwenye njia halisi ya mbali, si kutoka kituo cha kazi cha LAN ambacho tayari kiko kwenye tovuti. Maoni ya mteja mwenyewe peke yake ni muhimu:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Ikiwa tovuti iliyoripotiwa ni ile uliyochora ramani, kipengele kinalingana. Ikiwa mteja haripoti tovuti yoyote, anwani anayoleta haiingii ndani ya kipengele chochote cha subnet, ambayo kwa kawaida humaanisha tafsiri au kiambishi cha zamani. Kisha thibitisha kuwa kidhibiti kilichochaguliwa ni kile ulichokusudia kabla ya kudhani uchoraji umeshindwa, kwa sababu wateja huhifadhi matokeo ya ugunduzi na ubadilishaji wakati wa kushindwa unaweza kuchagua kidhibiti kingine kihalali.

Tenga mikataba mitatu katika hati moja: dimbwi na vipengele vyake vya subnet, vidhibiti vinavyofikika kutoka njia ya VPN, na sera inayoamua mtumiaji aliyeingia anaweza kufanya nini. Tovuti si kanuni ya kinga moto na si mpaka wa kuzuia, na badiliko lijalo la dimbwi litatenganisha kimya kimya watumiaji wa mbali na muundo wa mtandao wa saraka ikiwa uchoraji, njia na njia mbadala zilizoandikwa hazitembei pamoja.