عمل DNS العام لا يعني إمكانية العثور على Active Directory

يتصل VPN، ويفتح المتصفح موقعًا عامًا، ومع ذلك يظل الحاسوب المحمول عاجزًا عن تسجيل الدخول إلى المجال. الاستنتاج المعتاد هو أن DNS سليم لأن الأسماء تُحل. وهو ليس سليمًا، والسبب أن اختبار المتصفح يمارس استعلامًا واحدًا من سلسلة يحتاجها عميل منضم إلى المجال. يطلب اكتشاف المجال سجلات الخدمات أولًا، ثم عناوين وحدات التحكم التي تسميها تلك السجلات، ثم مسارًا إلى المنافذ التي تستمع عليها تلك الوحدات. والجواب العام لا يفي بأي من تلك الخطوات.

الخرافة: الأسماء تُحل، إذن انتهى أمر DNS

حل موقع عام يخبرك أن أحد المحللات أجاب عن استعلام A أو AAAA واحد لاسم في منطقة عامة. يستخدم Active Directory البروتوكول نفسه لسؤال مختلف: أين خدمات المجال، وأي وحدة تحكم ينبغي أن يستخدمها هذا العميل. يُعبَّر عن السؤال بسجلات SRV تحت منطقة تحمل اسم المجال، وليس لدى محلل عام تكراري سبب للاحتفاظ بها.

عندما يكون السجل غائبًا، يعيد المحلل جوابًا سلبيًا، وهو استجابة DNS صحيحة وليس انقطاعًا. ثم يرتد العميل إلى معلومات وحدات التحكم المخزنة مؤقتًا إن كانت لديه، وهذا بالضبط سبب أن حاسوبًا مكتبيًا قد يبدو سليمًا لساعات ثم يفشل بعد إعادة تشغيل أو تغيير كلمة مرور.

ما يطلبه عميل المجال فعليًا، بالترتيب

لمجال مثل corp.example، استعلام الموقع العام هو _ldap._tcp.dc._msdcs.corp.example. تسمي أجوبة SRV وحدات التحكم المرشحة ومنافذها، ثم يحتاج العميل سجلات عناوين لتلك الأسماء المضيفة قبل أن يفتح اتصالًا. يضيف الاكتشاف الواعي بالموقع استعلامات تحت النطاق الفرعي للموقع، وتحدد الأجوبة أي وحدات التحكم مفضلة وليس أيها إلزامية.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

اتبع السلسلة بهذا الترتيب، من الشبكة التي تحدث فيها المشكلة. اسم مضيف يُحل إلى عنوان غير قابل للوصول هو فشل توجيه، لا فشل DNS. ووحدة تحكم قابلة للوصول سجلات موقعها غائبة هي فشل DNS، لا فشل توجيه. والاثنان ينتجان شكاوى مستخدمين متشابهة وإصلاحات مختلفة تمامًا.

لماذا يجيب المحلل العام ويظل تسجيل الدخول معطلًا

إذا منح المحول العميل محللًا عامًا، عملت الأسماء العامة ولم تعمل مساحة الأسماء الداخلية. وإضافة محلل عام ثانٍ لا تساعد، لأن أيًا منهما لا يحتفظ بالمنطقة. ولا تتصرف قائمة “الداخلي أولًا، العام ثانيًا” الشائعة كقاعدة لكل مجال: فالجواب السلبي من الخادم الأول استجابة مشروعة، والعميل لا يعيد المحاولة مع الخادم الثاني لمجرد أن الجواب كان فارغًا.

كلا المحللين الداخليين، إن كنت تشغّل اثنين، يجب أن يحتفظا بمساحة أسماء AD وأن يكونا قابلين للوصول من شبكة العميل الحالية. هذا هو الجزء الذي تكسره تصاميم النفق المنقسم: قد يحمل VPN الشبكة الفرعية للنفق بينما يوجد المحلل الداخلي على بادئة لا يوجّهها النفق، فيخرج الاستعلام إلى محلل لا يستطيع الإجابة عنه.

يطبّق Windows أيضًا سياسة تحليل أسماء يمكنها توجيه مساحات أسماء محددة إلى خوادم محددة، وعناوين DNS التي يعرضها المحول ليست القصة كاملة. وتغيير قائمة المحول دون تغيير تلك السياسة قد يترك التكوين الفعلي كما هو، ولهذا لا يكون لإصلاح يبدو مطبقًا أي أثر.

أبقِ DNS النفق ومساره متوافقين

ملف تعريف VPN يدفع محللًا دون البادئة التي تحتويه ينشئ محللًا لا يستطيع العميل الوصول إليه؛ وملف يدفع البادئة دون محلل يترك العميل يسأل المحلل المحلي. عامل الزوجين كعنصر تكوين واحد وافحص كليهما بعد كل تغيير في ملف التعريف، لأن دفعًا معاد الترتيب أو سياسة نفق منقسم جديدة قد تفصلهما.

افحص أيضًا ما يفعله العميل بالإعداد المدفوع. بعض العملاء يطبّقون خادم DNS على واجهة النفق فقط ويتركون محلل المحول الفيزيائي في مكانه، لذا أيّهما يفوز يعتمد على مقياس الواجهة والاسم المطلوب. وإذا لم يصل الجواب الداخلي إلا عند تعطيل المحول الفيزيائي، فهذه هي الآلية التي يجب إصلاحها، لا سجلات المجال.

اقبل بنداء اكتشاف وعملية حيّة واحدة

اختبار قبول مفيد يشغّل استعلام الموقع ثم ينفذ عملية موثّقة حقيقية واحدة، مثل فتح مشاركة مدعومة بالدليل أو طلب تذكرة. افعل ذلك قبل انتقال VPN ومرة أخرى بعده، على الجهاز نفسه، دون إعادة تشغيل بينهما. فبيانات الاعتماد المخزنة مؤقتًا والجلسات المفتوحة ستجعل مسارًا معطلًا يبدو سليمًا، لذا تسجيل الدخول الناجح إلى سطح المكتب ليس الاختبار.

إن توصيات عميل DNS من Microsoft ترسم الحد نفسه بين حل مساحة الأسماء الداخلية وإعادة توجيه الاستعلامات العامة إلى الأعلى، وهذا هو الترتيب الذي يجب الحفاظ عليه عند إدخال VPN.

إذا كان الفشل بطيئًا فقط لا فاشلًا، فأبقِ التأخير منفصلًا عن التشخيص. قد يأتي انتهاء المهلة أثناء الاكتشاف من وحدة تحكم غير قابلة للوصول أو منفذ محجوب أو محلل يجيب متأخرًا، ولا شيء من ذلك يثبته الانتظار وحده. التقط الاستعلام الفعلي وجوابه ومحاولة الاتصال قبل أن تغيّر إعداد محلل.