Infraestrutura de TI remota

Question

Estou vendo um RFQ para assumir o gerenciamento de infraestrutura de uma empresa. Eu sou confuso em detalhes (estou preparando um e-mail de volta para eles para esclarecer algumas coisas), mas parece que eles querem todo o hardware em seu escritório para fora. As coisas que eles executam são relativamente padrão (AD, Exchange, SQL Server, SharePoint).

Minha pergunta gira em torno de ter um controlador AD remoto. Eu sei que há toneladas de situações em que você tem filiais que usam o controlador de AD do home office via VPN de site para site. Apenas parece um pouco ... deslocar essa pilha INTEIRA para um local remoto (seja em nossos escritórios ou, mais provavelmente, em uma instalação de colocation local). Obviamente, terá que haver algum tipo de dispositivo remanescente para fazer o DHCP no mínimo, já que o servidor AD atual cuida de todas as responsabilidades de DHCP e DNS.

Essa configuração parece legítima para os outros?

    

Answer 1

Resposta curta: "pode ser" uma idéia terrível, dependendo do link WAN (obrigado, pessoal).

Resposta mais longa: você estará enviando (quase) todo o tráfego de autenticação por meio de uma VPN. Isso não é apenas uma sobrecarga desnecessária, mas pode ser totalmente insustentável se eles tiverem perfis móveis hospedados no terminal remoto. O Exchange e o SharePoint podem envolver SPNs para SSO, portanto, o tráfego do Kerberos para eles é outra consideração.

Eles não conseguem se locomover com algum tipo de hardware no site, seja uma enorme caixa VPN ou uma caixa AD. Ambos são um ponto único de falha, então porque não ter o SPOF que você realmente precisa?

Você pode hospedar outro DC e sua configuração do Exchange / Sharepoint. Eu recomendo ter pelo menos um DC com DNS e DHCP no local (você provavelmente não quer DHCP do seu lado). Dependendo de como eles usam o SQL Server, isso pode ter que ser do lado do cliente também.

    

Answer 2

Se você tivesse um ponto de terminação de VPN confiável, isso poderia ser feito, mas uma alternativa muito melhor seria manter pelo menos uma caixa local e virtualizar um servidor DC e DHCP localmente no caso de um link falhar.