การแมปไซต์ AD เทียบกับการปักหมุดคอนโทรลเลอร์โดเมนสำหรับไคลเอนต์ VPN

ไคลเอนต์การเข้าถึงระยะไกลบนพูล VPN อาจจบลงด้วยการพูดคุยกับคอนโทรลเลอร์โดเมนที่อยู่อีกฟากของโลก และสิ่งนี้แก้ได้สองวิธี: อธิบายพูลเป็นซับเน็ต Active Directory ที่ผูกกับไซต์ซึ่งมีคอนโทรลเลอร์ที่ถูกต้อง หรือปักหมุดไคลเอนต์หรือแอปพลิเคชันไว้กับคอนโทรลเลอร์หนึ่งตัวที่เฉพาะเจาะจง วิธีแรกคือข้อความเกี่ยวกับโทโพโลยีที่ DC Locator ใช้ดำเนินการได้ วิธีที่สองคือการแทนที่ระดับแอปพลิเคชันซึ่งเพิกเฉยต่อโทโพโลยีทั้งหมด ทั้งสองมีต้นทุนต่างกัน และการคว้าตัวที่เร็วกว่าในวันนี้คือวิธีที่ทีมไดเรกทอรีลงเอยด้วยการดูแลทั้งสองอย่าง

แต่ละวิธีเปลี่ยนอะไรจริง

ออบเจกต์ซับเน็ตคือระเบียนในไดเรกทอรีที่บอกว่าช่วงที่อยู่ใดเป็นของไซต์ใด เมื่อมีโมดูล Active Directory และไซต์ที่มีอยู่แล้ว การดำเนินการเล็กพอที่จะดูตัวอย่างได้:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf แสดงตัวอย่างการเขียนไดเรกทอรี ไม่ได้สร้างออบเจกต์และไม่ได้ทดสอบว่าไคลเอนต์ในช่วงนั้นเข้าถึงอะไรได้บ้าง และนั่นคือส่วนที่ผู้คนคาดหวัง DC Locator อ่านโมเดลไซต์เมื่อแปลงระเบียนบริการ ดังนั้นออบเจกต์ซับเน็ตที่แม่นยำจึงเปลี่ยนสิ่งที่เสนอให้ไคลเอนต์

การปักหมุดทำงานในอีกระดับหนึ่ง ชื่อคอนโทรลเลอร์แบบคงที่ในการกำหนดค่าแอปพลิเคชัน สตริง LDAP ที่มีโฮสต์อยู่ภายใน หรือค่ารีจิสทรีที่ระบุเซิร์ฟเวอร์ที่ต้องการ ล้วนนำการค้นหาออกจากเส้นทาง แอปพลิเคชันคุยกับคอนโทรลเลอร์นั้นจนกว่าจะมีคนเปลี่ยนการตั้งค่า และการสลับเมื่อล้มเหลวคือสิ่งที่แอปพลิเคชันนั้นนำไปใช้เอง

ที่ที่การแมปซับเน็ตชนะ

การแมปพูลอธิบายตำแหน่งเครือข่ายครั้งเดียว สำหรับทุกไคลเอนต์ที่ใช้ DC Locator เมื่อพูลขยายจากหนึ่ง /24 เป็นสาม โมเดลจะเปลี่ยนในออบเจกต์สองหรือสามออบเจกต์แทนที่จะเป็นรายการแอปพลิเคชัน นั่นคือข้อได้เปรียบทั้งหมด และมันใหญ่เมื่อจำนวนไคลเอนต์ไม่อยู่ในการควบคุมของคุณ

กับดักคือออบเจกต์ต้องตรงกับที่อยู่ที่คอนโทรลเลอร์เห็นจริง หากเกตเวย์ VPN แปลงทุกไคลเอนต์เป็นที่อยู่ฮับ การเพิ่มพูลที่ยังไม่แปลงจะอธิบายตำแหน่งเครือข่ายที่ไม่มีคอนโทรลเลอร์ใดเคยสังเกต ตัดสินใจตั้งแต่เนิ่นๆ ว่าการออกแบบรักษาที่อยู่ต้นทางของไคลเอนต์หรือไม่ และหากไม่รักษา ให้แมปช่วงที่แปลงแล้วแทนพูลที่คุณกำหนดค่าบนเซิร์ฟเวอร์ VPN

ขีดจำกัดที่สอง: โมเดลไซต์เป็นเพียงการตั้งค่าและข้อความเกี่ยวกับโทโพโลยี ไม่ได้ทำให้คอนโทรลเลอร์เข้าถึงได้และไม่ได้ให้สิ่งใดแก่ผู้ใช้ เส้นทางและนโยบายไฟร์วอลล์ให้การเข้าถึง ส่วนการอนุญาตเป็นหน้าที่ของนโยบายบัญชี

ที่ที่การปักหมุดชนะ

การปักหมุดคือคำตอบที่ถูกต้องเมื่อการค้นหาไม่สามารถทำงานได้: แอปพลิเคชันเก่าที่แปลงคอนโทรลเลอร์ด้วยชื่อที่คุณเปลี่ยนไม่ได้ ตัวกรองที่อนุญาตที่อยู่คอนโทรลเลอร์เพียงหนึ่งเดียว หรือชุดเซิร์ฟเวอร์คงที่ซึ่งคอนโทรลเลอร์เป็นส่วนหนึ่งของการออกแบบแอปพลิเคชัน ในกรณีเหล่านั้นการปักหมุดคือเอกสารของข้อจำกัดจริง ไม่ใช่ทางลัด

ต้นทุนของมันตรงข้ามกับการแมป ชื่อที่ปักหมุดไว้ไม่ตามพูล ไม่สลับเมื่อล้มเหลวเว้นแต่แอปพลิเคชันจะรู้วิธี และไม่รอดจากการเปลี่ยนชื่อหรือปลดระวางคอนโทรลเลอร์โดยไม่มีการตรวจสอบสินค้าคงคลัง นอกจากนี้ยังซ่อนปัญหาโทโพโลยี เพราะทุกไคลเอนต์ที่ปักหมุดดูแข็งแรง ในขณะที่ โมเดลไซต์เน่าเปื่อยอย่างเงียบๆ

การแทนที่ระเบียนที่อยู่ปกติของโดเมนด้วยเซิร์ฟเวอร์ที่ต้องการเพียงตัวเดียวไม่ใช่ทางเลือกที่สาม มันทำลายผู้ใช้ทุกรายที่คาดหวังชุดการค้นหาปกติ และยังคงไม่ควบคุมว่าไคลเอนต์ที่รู้จักไดเรกทอรีเลือกไซต์อย่างไร

เลือกด้วยสามเงื่อนไข

ถามตามลำดับนี้และการตัดสินใจมักเกิดขึ้นเอง ข้อแรก แอปพลิเคชันใช้ DC Locator หรือไม่ หรือมีที่อยู่คอนโทรลเลอร์อยู่แล้ว ข้อสอง คอนโทรลเลอร์เห็นที่อยู่ของพูลหรือที่อยู่ที่แปลงแล้ว ข้อสาม พูลเปลี่ยนบ่อยเพียงใดเมื่อเทียบกับจำนวนจุดที่การปักหมุดต้องอัปเดต

แอปพลิเคชันที่รู้จักไดเรกทอรี บวกกับการกำหนดเส้นทางที่รักษาต้นทาง บวกกับพูลที่เปลี่ยนแปลง: แมปซับเน็ต แอปพลิเคชันที่ไม่สามารถค้นหา หรือตัวกรองที่ยอมรับที่อยู่เดียว: ปักหมุดมันไว้ และเขียนเหตุผล ที่เหลือทั้งหมดเป็นกรณีของการซ่อมโทโพโลยี ไม่ใช่การเพิ่มการแทนที่อีกชั้น

ตรวจสอบจากไคลเอนต์ VPN และแยกสัญญาออกจากกัน

ทดสอบจากเส้นทางระยะไกลจริง ไม่ใช่จากเวิร์กสเตชัน LAN ที่อยู่ในไซต์แล้ว มีเพียงมุมมองของไคลเอนต์เองเท่านั้นที่สำคัญ:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

หากไซต์ที่รายงานคือไซต์ที่คุณแมปไว้ ออบเจกต์ก็ตรงกัน หากไคลเอนต์ไม่รายงานไซต์ใด ที่อยู่ที่มันนำเสนอไม่ตกอยู่ในออบเจกต์ซับเน็ตใด ซึ่งโดยปกติหมายถึงการแปลงหรือคำนำหน้าที่ล้าสมัย จากนั้นตรวจสอบว่าคอนโทรลเลอร์ที่เลือกคือตัวที่คุณตั้งใจก่อนสันนิษฐานว่าการแมปล้มเหลว เพราะไคลเอนต์แคชผลการค้นหาและการสลับเมื่อล้มเหลวอาจเลือกคอนโทรลเลอร์อื่นได้อย่างชอบธรรม

เก็บสัญญาทั้งสามไว้ในเอกสารเดียว: พูลและออบเจกต์ซับเน็ตของมัน คอนโทรลเลอร์ที่เข้าถึงได้จากเส้นทาง VPN และนโยบายที่ตัดสินว่าผู้ใช้ที่ลงชื่อเข้าใช้ทำอะไรได้ ไซต์ไม่ใช่กฎไฟร์วอลล์และไม่ใช่ขอบเขตการกักกัน และการเปลี่ยนแปลงพูลครั้งถัดไปจะตัดผู้ใช้ระยะไกลออกจากโมเดลเครือข่ายของไดเรกทอรีอย่างเงียบๆ เว้นแต่การแมป เส้นทาง และทางเลือกที่บันทึกไว้จะเคลื่อนที่ไปด้วยกัน