eu preciso criar um site de AD para rede VPN

Question

Eu tenho o nível de domínio do Windows 2008 R2. Há quatro GC DC em quatro locais físicos diferentes. Eu tenho rede VPN baseada em Kerio para replicação e administração remota.

Veja como a rede está configurada:

     dc1:
     local IP: 192.168.0.10
     VPN IP: 192.168.1.10

     dc2:
     local IP: 10.10.8.11
     VPN IP: 192.168.1.11

     dc3:
     local IP: 10.10.9.12
     VPN IP: 192.168.1.12

     dc4:
     local IP: 10.10.10.13
     VPN IP: 192.168.1.13

Isso é simples, replicação e tudo funciona bem, mas ao executar dcdiag on dc3 , ocorreu um erro:

     A warning event occurred.  EventID: 0x000016AF
     During the past 4.12 hours there have been 216 connections to this Domain 
     Controller from client machines whose IP addresses don't map to any of the
     existing sites in the enterprise. 
     <...> 
     The log(s) may contain additional unrelated debugging information. 
     To filter out the needed information, please search for lines which contain text
     'NO_CLIENT_SITE:'. The first word after this string is the client name 
     and the second word is the client IP address.

Aqui está o exemplo netlogon.log lines:

     05/30 12:07:39 DOMAIN.NAME: NO_CLIENT_SITE: dc2 192.168.1.11
     05/31 09:52:11 DOMAIN.NAME: NO_CLIENT_SITE: dc4 192.168.1.13
     05/31 19:49:31 DOMAIN.NAME: NO_CLIENT_SITE: adm-note 192.168.1.101
     07/01 05:16:26 DOMAIN.NAME: NO_CLIENT_SITE: dc1 192.168.1.10

Todos os computadores associados à VPN são gerados pela mesma linha de log acima. O computador amd-note é, por exemplo, o notebook do administrador, também possui VPN.

A pergunta é se devo adicionar um novo site do AD e vincular a sub-rede da VPN 192.168.1.0/24 com esse site?

    

Answer 1

Os DCs normalmente devem estar conectados apenas a uma rede e ter apenas um endereço IPv4 e um endereço IPv6 anunciado (se você estiver usando o IPv6, o que todas as pessoas boas fazem). Você nunca deve migrar para casa, pois ela tende a causar problemas de alcance e confundir as coisas.

Você certamente poderia criar um site separado para isso. Isso removeria o aviso e o aproximaria um pouco mais do BCP, mas não de todo o caminho.

A coisa correta a fazer é rotear a rede contendo seus CDs na VPN (removendo a necessidade de eles terem um IP adicional) e adicionar a sub-rede da VPN ao seu site, ou criar um DC adicional (eles são surpreendentemente barato como VMs), dê a ele um IP em sua sub-rede VPN e adicione-o ao novo site VPN.

Dito isso, esses avisos não são fatais e serão totalmente irrelevantes, a menos que sua rede seja muito grande ou tenha muitos links de alta latência e os clientes VPN tenham problemas ou desempenhos terríveis se conectando a um DC escolhido aleatoriamente.