Ánh xạ site AD so với ghim một bộ điều khiển miền cho khách hàng VPN

Khách hàng truy cập từ xa trên một pool VPN có thể kết thúc bằng việc nói chuyện với một bộ điều khiển miền ở phía bên kia thế giới, và điều đó được khắc phục theo hai cách: mô tả pool như một subnet của Active Directory gắn với site có các bộ điều khiển đúng, hoặc ghim máy khách hay ứng dụng vào một bộ điều khiển cụ thể. Cách thứ nhất là một phát biểu về cấu trúc liên kết mà DC Locator có thể hành động dựa trên đó. Cách thứ hai là một ghi đè theo từng ứng dụng bỏ qua hoàn toàn cấu trúc liên kết. Chúng tốn những thứ khác nhau, và việc chộp lấy cái nhanh hơn hôm nay chính là cách một nhóm thư mục cuối cùng phải duy trì cả hai.

Mỗi cách thực sự thay đổi điều gì

Đối tượng subnet là một bản ghi trong thư mục cho biết một dải địa chỉ thuộc về site nào. Với mô-đun Active Directory và một site đã tồn tại, thao tác đủ nhỏ để xem trước:

New-ADReplicationSubnet -Name "10.90.0.0/24" -Site "Remote-Access-Hub" -WhatIf
Get-ADReplicationSubnet -Filter * | Select-Object Name,Site

-WhatIf xem trước việc ghi vào thư mục. Nó không tạo đối tượng và không kiểm tra liệu một máy khách trong dải đó có thể tiếp cận được gì, và đó chính là phần người ta mong đợi. DC Locator đọc mô hình site khi nó phân giải các bản ghi dịch vụ, vì vậy một đối tượng subnet chính xác sẽ thay đổi những gì được cung cấp cho máy khách.

Ghim hoạt động ở một lớp khác. Một tên bộ điều khiển cố định trong cấu hình ứng dụng, một chuỗi LDAP có máy chủ bên trong, hay một giá trị registry nêu tên máy chủ ưa thích, tất cả đều loại bỏ việc khám phá khỏi đường đi. Ứng dụng nói chuyện với bộ điều khiển đó cho đến khi ai đó thay đổi cài đặt, và chuyển đổi khi lỗi là điều mà ứng dụng đó tự triển khai.

Nơi ánh xạ subnet thắng thế

Ánh xạ pool mô tả vị trí mạng một lần, cho mọi máy khách sử dụng DC Locator. Khi pool phát triển từ một /24 lên ba, mô hình thay đổi ở hai hoặc ba đối tượng thay vì ở một bản kiểm kê ứng dụng. Đó là toàn bộ lợi thế, và nó lớn khi số lượng máy khách không nằm trong tầm kiểm soát của bạn.

Cái bẫy là đối tượng phải khớp với địa chỉ mà bộ điều khiển thực sự nhìn thấy. Nếu cổng VPN dịch mọi máy khách thành một địa chỉ trung tâm, việc thêm pool chưa dịch sẽ mô tả một vị trí mạng mà không bộ điều khiển nào từng quan sát. Hãy quyết định sớm liệu thiết kế có giữ địa chỉ nguồn của máy khách hay không, và nếu không, hãy ánh xạ dải đã dịch thay vì pool bạn đã cấu hình trên máy chủ VPN.

Một giới hạn thứ hai: mô hình site là một sở thích và một phát biểu về cấu trúc liên kết. Nó không làm cho bộ điều khiển trở nên tiếp cận được và không cấp cho người dùng bất cứ thứ gì. Khả năng tiếp cận do tuyến đường và chính sách tường lửa đảm nhiệm; việc cấp quyền do chính sách tài khoản đảm nhiệm.

Nơi ghim thắng thế

Ghim là câu trả lời đúng khi việc khám phá không thể hoạt động: một ứng dụng cũ phân giải bộ điều khiển bằng một tên mà bạn không thể thay đổi, một bộ lọc chỉ cho phép đúng một địa chỉ bộ điều khiển, hoặc một tập máy chủ cố định trong đó bộ điều khiển là một phần thiết kế của ứng dụng. Trong những trường hợp đó, ghim là tài liệu về một ràng buộc thực sự, không phải một lối tắt.

Chi phí của nó ngược lại với ánh xạ. Một tên đã ghim không đi theo pool, không chuyển đổi khi lỗi trừ khi ứng dụng biết cách, và không sống sót qua việc đổi tên hay ngừng vận hành một bộ điều khiển mà không có đợt rà soát kiểm kê. Nó cũng che giấu các vấn đề cấu trúc liên kết, vì mọi máy khách ghim đều trông khỏe mạnh trong khi mô hình site âm thầm mục ruỗng.

Thay thế các bản ghi địa chỉ thông thường của miền bằng một máy chủ ưa thích duy nhất không phải là lựa chọn thứ ba. Nó phá vỡ mọi đối tượng tiêu thụ mong đợi bộ khám phá bình thường, và vẫn không kiểm soát được cách một máy khách hiểu thư mục chọn site.

Chọn theo ba điều kiện

Hỏi chúng theo thứ tự này và quyết định thường tự hình thành. Thứ nhất, ứng dụng có dùng DC Locator hay không, hay đã mang sẵn một địa chỉ bộ điều khiển? Thứ hai, bộ điều khiển nhìn thấy địa chỉ của pool hay một địa chỉ đã dịch? Thứ ba, pool thay đổi bao lâu một lần so với việc một ghim sẽ phải cập nhật ở bao nhiêu nơi?

Ứng dụng hiểu thư mục cộng với định tuyến giữ nguyên nguồn cộng với một pool thay đổi: hãy ánh xạ subnet. Một ứng dụng không thể khám phá, hoặc một bộ lọc chỉ chấp nhận một địa chỉ: hãy ghim nó, và ghi lại lý do. Mọi thứ khác là trường hợp sửa cấu trúc liên kết thay vì thêm một ghi đè khác.

Xác minh từ máy khách VPN và giữ các hợp đồng tách biệt

Hãy thử từ đường đi từ xa thực sự, không phải từ một máy trạm LAN đã nằm trong site. Chỉ có góc nhìn của chính máy khách là quan trọng:

nltest /dsgetsite
nltest /dsgetdc:corp.example.com /force
echo %LOGONSERVER%

Nếu site được báo cáo là site bạn đã ánh xạ, đối tượng khớp. Nếu máy khách không báo cáo site nào, địa chỉ mà nó trình bày không nằm trong bất kỳ đối tượng subnet nào, điều này thường có nghĩa là một phép dịch hoặc một tiền tố cũ. Sau đó hãy kiểm tra xem bộ điều khiển được chọn có phải là bộ bạn định không trước khi cho rằng việc ánh xạ đã thất bại, vì máy khách lưu kết quả khám phá vào bộ nhớ đệm và việc chuyển đổi khi lỗi có thể chọn một bộ điều khiển khác một cách hợp lệ.

Hãy giữ ba hợp đồng trong một tài liệu: pool và các đối tượng subnet của nó, các bộ điều khiển tiếp cận được từ đường đi VPN, và chính sách quyết định người dùng đã đăng nhập được làm gì. Một site không phải là một quy tắc tường lửa và không phải là ranh giới ngăn chặn, và lần thay đổi pool tiếp theo sẽ âm thầm tách người dùng từ xa khỏi mô hình mạng của thư mục trừ khi việc ánh xạ, các tuyến đường và các lựa chọn thay thế đã được ghi lại cùng di chuyển.