VPN istemcileri için AD sitesi eşlemesi ile etki alanı denetleyicisi sabitleme karşılaştırması

Bir VPN havuzundaki uzak erişim istemcileri sonunda dünyanın öbür ucundaki bir etki alanı denetleyicisiyle konuşmak durumunda kalabilir ve bu iki şekilde düzeltilir: havuzu doğru denetleyicilerin bulunduğu siteye bağlı bir Active Directory alt ağı olarak tanımlamak veya istemciyi ya da uygulamayı tek bir belirli denetleyiciye sabitlemek. Birincisi DC Locator un üzerinde işlem yapabileceği bir topoloji bildirimidir. İkincisi topolojiyi tamamen yok sayan uygulama başına bir geçersiz kılmadır. Farklı maliyetleri vardır ve bugün daha hızlı olana sarılmak, bir dizin ekibinin sonunda ikisini birlikte sürdürmesine yol açar.

Her yaklaşım gerçekte neyi değiştirir

Alt ağ nesnesi, bir adres aralığının hangi siteye ait olduğunu söyleyen bir dizin kaydıdır. Active Directory modülü ve var olan bir siteyle işlem önizlenebilecek kadar küçüktür:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf dizin yazımını önizler. Nesneyi oluşturmaz ve o aralıktaki bir istemcinin bir yere ulaşıp ulaşamayacağını test etmez, insanların beklediği kısım da tam olarak budur. DC Locator site modelini hizmet kayıtlarını çözerken okur, bu yüzden doğru bir alt ağ nesnesi istemciye sunulanı değiştirir.

Sabitleme başka bir katmanda çalışır. Bir uygulama yapılandırmasındaki sabit denetleyici adı, içinde ana makine bulunan bir LDAP dizesi veya tercih edilen sunucuyu adlandıran bir kayıt defteri değeri, hepsi keşfi yoldan çıkarır. Uygulama biri ayarı değiştirene kadar o denetleyiciyle konuşur ve hata anında geçiş, o uygulamanın kendi gerçekleştirdiği şeydir.

Alt ağ eşlemesinin kazandığı yer

Havuzu eşlemek, DC Locator kullanan her istemci için ağ konumunu bir kez tanımlar. Havuz bir /24 ten üçe büyüdüğünde model, uygulama envanterinde değil iki veya üç nesnede değişir. Bütün avantaj budur ve istemci sayısı sizin denetiminizde olmadığında büyüktür.

Pürüz, nesnenin denetleyicinin gerçekte gördüğü adresle eşleşmesi gerektiğidir. VPN geçidi her istemciyi bir merkez adresine çeviriyorsa, çevrilmemiş havuzu eklemek hiçbir denetleyicinin asla gözlemlemediği bir ağ konumunu tanımlar. Tasarımın istemcinin kaynak adresini koruyup korumadığına erken karar verin ve korumuyorsa VPN sunucusunda yapılandırdığınız havuz yerine çevrilen aralığı eşleyin.

İkinci sınır: site modeli bir tercih ve bir topoloji bildirimidir. Bir denetleyiciyi erişilebilir kılmaz ve kullanıcıya hiçbir şey vermez. Erişilebilirliği yollar ve güvenlik duvarı ilkesi sağlar; yetkilendirmeyi hesap ilkesi sağlar.

Sabitlemenin kazandığı yer

Sabitleme, keşfin çalışamadığı durumda doğru yanıttır: denetleyiciyi değiştiremeyeceğiniz bir adla çözen eski bir uygulama, tam olarak tek bir denetleyici adresine izin veren bir filtre veya denetleyicinin uygulama tasarımının parçası olduğu sabit bir sunucu kümesi. Bu durumlarda sabitleme, kısa yol değil gerçek bir kısıtın belgelenmesidir.

Maliyeti eşlemenin tersidir. Sabitlenmiş ad havuzu izlemez, uygulama bilmiyorsa hata anında geçiş yapmaz ve bir denetleyicinin yeniden adlandırılmasını veya hizmetten çıkarılmasını envanter taraması olmadan atlatamaz. Ayrıca topoloji sorunlarını gizler, çünkü sabitleyen her istemci sağlıklı görünürken site modeli sessizce çürür.

Etki alanının olağan adres kayıtlarını tek bir tercih edilen sunucuyla değiştirmek üçüncü bir seçenek değildir. Normal keşif kümesini bekleyen her tüketiciyi bozar ve dizin farkında olan bir istemcinin siteyi nasıl seçtiğini yine denetlemez.

Üç koşula göre seçin

Bu sırayla sorun, karar genellikle kendiliğinden verilir. Birincisi, uygulama DC Locator kullanıyor mu, yoksa zaten bir denetleyici adresi taşıyor mu? İkincisi, denetleyici havuz adresini mi görüyor, çevrilmiş bir adresi mi? Üçüncüsü, sabitlemenin kaç yerde güncellenmesi gerekeceğine kıyasla havuz ne sıklıkla değişiyor?

Dizin farkında uygulamalar artı kaynağı koruyan yönlendirme artı değişen havuz: alt ağı eşleyin. Keşfedemeyen bir uygulama veya tek adrese izin veren bir filtre: sabitleyin ve nedenini yazın. Geri kalan her şey başka bir geçersiz kılma eklemek değil, topolojiyi düzeltmek meselesidir.

VPN istemcisinden doğrulayın ve sözleşmeleri ayrı tutun

Zaten sitede oturan bir LAN iş istasyonundan değil, gerçek uzak yoldan test edin. Yalnızca istemcinin kendi görüşü önemlidir:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Bildirilen site eşlediğiniz siteyse nesne uyuşuyor. İstemci hiçbir site bildirmiyorsa sunduğu adres hiçbir alt ağ nesnesine girmiyor, bu genellikle bir çeviri veya eski bir önek anlamına gelir. Ardından eşlemenin başarısız olduğunu varsaymadan önce seçilen denetleyicinin amaçladığınız denetleyici olduğunu doğrulayın, çünkü istemciler keşif sonuçlarını önbelleğe alır ve hata anındaki geçiş meşru olarak başka bir denetleyici seçebilir.

Üç sözleşmeyi tek bir belgede tutun: havuz ve alt ağ nesneleri, VPN yolundan erişilebilen denetleyiciler ve oturum açmış bir kullanıcının ne yapabileceğine karar veren ilke. Site bir güvenlik duvarı kuralı değildir ve bir sınırlama sınırı değildir; eşleme, yollar ve belgelenmiş alternatifler birlikte hareket etmezse havuzdaki bir sonraki değişiklik uzak kullanıcıları dizinin ağ modelinden sessizce koparacaktır.