Tri izvora mogu objaviti VPN adresu kontrolera domene u DNS-u

Tri različite komponente na kontroleru domene s više sučelja mogu staviti istu VPN adresu u DNS i pritom nezavisno zakazuju. Usporedite što svaka od njih objavljuje umjesto da vjerujete potvrdnom okviru adaptera, koji kontrolira samo jednu od njih. Simptom je u svakom slučaju isti: klijent razriješi naziv, dobije adresu tunela i ne može doći do kontrolera domene. Tko ju je objavio odlučuje o tome kako to zaustaviti.

Jedna postavka, jedna usluga i jedna uloga; tri izvora, tri prekidača.

Pođite od zapisa, ne od potvrdnog okvira

Provjerite puno ime zahvaćenog poslužitelja preko DNS poslužitelja koji klijenti doista koriste i zabilježite svaku vraćenu adresu. Svaku vraćenu adresu usporedite sa stvarnim LAN i tunelskim sučeljima poslužitelja te s mrežama u kojima su klijenti. Adresa može biti lokalno posve valjana, a ipak nedostupna klijentima koji su važni. Povremeni neuspjesi provjere autentičnosti čest su simptom jer klijenti u različitim pokušajima dobiju ili odaberu različite adrese.

To što stroj ispravno razriješi vlastiti naziv dokazuje vrlo malo. Odlučujući test izvodi se iz mreža klijenata.

Adapter je samo jedan izvor

Svojstva TCP/IP adaptera sadrže potvrdni okvir za registraciju adrese te veze, a njegovo odznačavanje ušutkava točno jedan izvor. Ne zaustavlja ostale, zbog čega se zapis može ponovno pojaviti nakon ponovnog pokretanja. Ako kontroler domene pokreće i DNS uslugu, ta usluga ima vlastitu konfiguraciju slušanja i vlastite zapise poslužitelja naziva. Microsoftove smjernice za okruženja s više sučelja tretiraju ponašanje sučelja, DNS uslugu i Netlogon kao zasebne relevantne izvore.

Tri prekidača, tri vlasnika, a samo jedan od njih stanuje na stranici svojstava adaptera.

DNS usluga ima vlastite adrese

DNS poslužitelj kojem je rečeno da sluša na VPN adresi nastavlja ju objavljivati u vlastitim zapisima, što god tvrdio potvrdni okvir adaptera. Uskladite adrese slušanja usluge s namjeravanim sučeljima i istodobno pregledajte zapise poslužitelja naziva u zoni. Promjena slušatelja može prekinuti klijente koji upravo koriste adresu koju uklanjate, pa najprije utvrdite tko ovisi o kojoj. Brisanje slušatelja samo zato što je VPN adresa može odrezati klijente kojima ste htjeli pomoći.

Netlogon i općenito otkrivanje kontrolera domene također registriraju adrese u sklopu vlastitih dužnosti. Ne potiskujte registracije na razini cijele domene i ne kopirajte staro rješenje za registraciju udaljenog pristupa bez potvrde da vrijedi za vašu verziju i ulogu.

Vlasništvo prije čišćenja

Popravite izvor prije uklanjanja zapisa, inače će ga sljedeći događaj registracije vratiti i vježba se ponavlja. Uklonite zastarjele unose kroz proces vlasnika DNS-a i uzmite u obzir predmemoriju i starenje. Provjerite iz mreža klijenata, uključujući otkrivanje domene i aplikaciju koja je izvorno zakazala, a zatim izazovite isti VPN događaj koji je prvi put stvorio adresu.

Na kraju želite poznat skup objavljenih adresa i slušatelja, dok svakodnevna registracija domene i dalje radi svoj posao. Stroj čiji se naziv slučajno ispravno razriješi odmah nakon ručnog čišćenja nije to.

Zabilježite koji je izvor bio odgovoran, koji su se zapisi promijenili i koji su klijenti testirani. Sljedeći poslužitelj s više sučelja imat će ista tri osumnjičenika.