VPN کلائنٹس کے لیے AD سائٹ میپنگ بمقابلہ ڈومین کنٹرولر کو پن کرنا

VPN پول پر دور سے رسائی رکھنے والے کلائنٹس بالآخر دنیا کے دوسرے سرے پر موجود ڈومین کنٹرولر سے بات کرنے لگ سکتے ہیں، اور اسے دو طریقوں سے ٹھیک کیا جا سکتا ہے: پول کو درست کنٹرولرز والی سائٹ سے منسلک Active Directory سب نیٹ کے طور پر بیان کریں، یا کلائنٹ یا ایپلیکیشن کو ایک مخصوص کنٹرولر پر پن کریں۔ پہلا طریقہ ٹوپولوجی کا ایک بیان ہے جس پر DC Locator عمل کر سکتا ہے۔ دوسرا طریقہ فی ایپلیکیشن اوور رائیڈ ہے جو ٹوپولوجی کو مکمل نظر انداز کرتا ہے۔ ان کی لاگت مختلف ہے، اور آج تیز تر کو پکڑنا ہی وہ طریقہ ہے جس سے ڈائریکٹری ٹیم آخرکار دونوں کو برقرار رکھتی ہے۔

ہر طریقہ اصل میں کیا بدلتا ہے

سب نیٹ آبجیکٹ ڈائریکٹری میں ایک ریکارڈ ہے جو بتاتا ہے کہ پتوں کی حد کس سائٹ کی ہے۔ Active Directory ماڈیول اور موجودہ سائٹ کے ساتھ، عمل اتنا چھوٹا ہے کہ پیشگی جائزہ لیا جا سکے:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf ڈائریکٹری تحریر کا پیشگی جائزہ لیتا ہے۔ یہ آبجیکٹ نہیں بناتا اور یہ نہیں جانچتا کہ اس حد کا کلائنٹ کسی چیز تک پہنچ سکتا ہے یا نہیں، اور لوگ اسی حصے کی توقع کرتے ہیں۔ DC Locator سائٹ ماڈل پڑھتا ہے جب وہ سروس ریکارڈز حل کرتا ہے، اس لیے درست سب نیٹ آبجیکٹ بدل دیتا ہے کہ کلائنٹ کو کیا پیش کیا جاتا ہے۔

پن کرنا دوسری پرت میں کام کرتا ہے۔ ایپ کنفگ میں مقررہ کنٹرولر نام، اندر میزبان والی LDAP تار، یا ترجیحی سرور کا نام دینے والی رجسٹری قدر — یہ سب دریافت کو راستے سے ہٹا دیتے ہیں۔ ایپلیکیشن اسی کنٹرولر سے بات کرتی ہے جب تک کوئی ترتیب نہ بدلے، اور ناکامی پر تبدیلی وہی ہے جو وہ ایپلیکیشن خود نافذ کرتی ہے۔

سب نیٹ میپنگ کہاں جیتتی ہے

پول کو میپ کرنا DC Locator استعمال کرنے والے ہر کلائنٹ کے لیے نیٹ ورک مقام ایک بار بیان کرتا ہے۔ جب پول ایک /24 سے تین تک بڑھتا ہے، ماڈل ایپ فہرست میں نہیں بلکہ دو یا تین آبجیکٹس میں بدلتا ہے۔ یہی پورا فائدہ ہے، اور یہ بڑا ہے جب کلائنٹس کی تعداد آپ کے کنٹرول میں نہ ہو۔

مشکل یہ ہے کہ آبجیکٹ کو اس پتے سے میل کھانا چاہیے جو کنٹرولر واقعی دیکھتا ہے۔ اگر VPN گیٹ وے ہر کلائنٹ کو مرکزی پتے میں تبدیل کرتا ہے، تو بغیر تبدیل شدہ پول شامل کرنا ایسا نیٹ ورک مقام بیان کرتا ہے جو کوئی کنٹرولر کبھی نہیں دیکھتا۔ جلد فیصلہ کریں کہ ڈیزائن کلائنٹ کا ماخذ پتہ برقرار رکھتا ہے یا نہیں، اور اگر نہیں رکھتا تو VPN سرور پر ترتیب دیے گئے پول کی بجائے تبدیل شدہ حد میپ کریں۔

دوسری حد: سائٹ ماڈل ایک ترجیح اور ٹوپولوجی کا بیان ہے۔ یہ کنٹرولر کو قابل رسائی نہیں بناتا اور صارف کو کچھ نہیں دیتا۔ رسائی راستے اور فائر وال پالیسی دیتے ہیں؛ اجازت اکاؤنٹ پالیسی دیتی ہے۔

پن کرنا کہاں جیتتا ہے

پن کرنا درست جواب ہے جب دریافت کام نہ کر سکے: ایسی پرانی ایپلیکیشن جو ایسے نام سے کنٹرولر حل کرتی ہے جسے آپ بدل نہیں سکتے، ایسا فلٹر جو بالکل ایک کنٹرولر پتے کی اجازت دیتا ہے، یا سرورز کا مقررہ مجموعہ جہاں کنٹرولر ایپلیکیشن ڈیزائن کا حصہ ہے۔ ان صورتوں میں پن کرنا شارٹ کٹ نہیں بلکہ حقیقی رکاوٹ کی دستاویز ہے۔

اس کی لاگت میپنگ کے برعکس ہے۔ پن شدہ نام پول کی پیروی نہیں کرتا، ناکامی پر نہیں بدلتا جب تک ایپلیکیشن جانتی نہ ہو، اور انوینٹری جائزے کے بغیر کنٹرولر کا نام بدلنے یا سروس سے ہٹانے کو برداشت نہیں کرتا۔ یہ ٹوپولوجی مسائل بھی چھپاتا ہے، کیونکہ پن کرنے والا ہر کلائنٹ صحت مند دکھائی دیتا ہے جبکہ سائٹ ماڈل خاموشی سے گل رہا ہوتا ہے۔

ڈومین کے عام پتہ ریکارڈز کو ایک ترجیحی سرور سے بدلنا تیسرا آپشن نہیں ہے۔ یہ عام دریافت مجموعہ کی توقع رکھنے والے ہر صارف کو توڑ دیتا ہے، اور ڈائریکٹری سے واقف کلائنٹ کس طرح سائٹ چنتا ہے یہ پھر بھی کنٹرول نہیں کرتا۔

تین شرائط پر منتخب کریں

انہیں اسی ترتیب سے پوچھیں اور فیصلہ عموماً خود ہو جاتا ہے۔ پہلے، کیا ایپلیکیشن بالکل DC Locator استعمال کرتی ہے، یا پہلے ہی کنٹرولر پتہ رکھتی ہے؟ دوسرے، کیا کنٹرولر پول کا پتہ دیکھتا ہے، یا تبدیل شدہ؟ تیسرے، پول کتنی بار بدلتا ہے بہ نسبت اس کے کہ پن کو کتنی جگہوں پر اپ ڈیٹ کرنا پڑے گا؟

ڈائریکٹری سے واقف ایپلیکیشنز کے ساتھ ماخذ بچانے والی روٹنگ کے ساتھ بدلتا پول: سب نیٹ میپ کریں۔ ایسی ایپلیکیشن جو دریافت نہ کر سکے، یا ایسا فلٹر جو ایک پتہ قبول کرے: اسے پن کریں، اور کیوں لکھیں۔ باقی سب کچھ دوسری اوور رائیڈ شامل کرنے کا نہیں، ٹوپولوجی درست کرنے کا معاملہ ہے۔

VPN کلائنٹ سے تصدیق کریں اور معاہدے الگ رکھیں

سائٹ میں پہلے سے موجود LAN ورک سٹیشن سے نہیں، اصل دور کے راستے سے جانچیں۔ صرف کلائنٹ کا اپنا نظریہ اہمیت رکھتا ہے:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

اگر رپورٹ کی گئی سائٹ وہی ہے جو آپ نے میپ کی، تو آبجیکٹ میل کھاتا ہے۔ اگر کلائنٹ کوئی سائٹ رپورٹ نہ کرے، تو وہ جو پتہ پیش کرتا ہے وہ کسی سب نیٹ آبجیکٹ میں نہیں آتا، جس کا مطلب عموماً ترجمہ یا پرانا سابقہ ہے۔ پھر میپنگ ناکام ہونے کا فرض کرنے سے پہلے جانچیں کہ منتخب کنٹرولر آپ کا مطلوبہ ہے، کیونکہ کلائنٹ دریافت کے نتائج کیش کرتے ہیں اور ناکامی پر تبدیلی قانونی طور پر دوسرا کنٹرولر چن سکتی ہے۔

تینوں معاہدے ایک دستاویز میں رکھیں: پول اور اس کے سب نیٹ آبجیکٹس، VPN راستے سے قابل رسائی کنٹرولرز، اور وہ پالیسی جو فیصلہ کرتی ہے کہ سائن ان صارف کیا کر سکتا ہے۔ سائٹ فائر وال اصول نہیں ہے اور نہ حد بندی کی سرحد ہے، اور پول کی اگلی تبدیلی دور کے صارفین کو ڈائریکٹری کے نیٹ ورک ماڈل سے خاموشی سے کاٹ دے گی اگر میپنگ، راستے اور دستاویزی متبادل ساتھ نہ چلیں۔