Tres publicadors poden posar l’adreça VPN d’un controlador de domini al DNS

Tres components diferents d’un controlador de domini amb diverses interfícies poden posar la mateixa adreça VPN al DNS, i fallen de manera independent. Compara què publica cadascun en lloc de confiar en la casella de l’adaptador, que només controla un d’ells. El símptoma és idèntic en tots els casos: un client resol el nom, rep l’adreça del túnel i no pot arribar al controlador de domini. Qui l’ha publicat decideix com aturar-ho.

Un paràmetre, un servei i un rol; tres publicadors, tres interruptors.

Comença pel registre, no per la casella

Consulta el nom complet del servidor afectat a través del servidor DNS que els clients fan servir realment, i anota totes les adreces que tornin. Contrasta cada adreça retornada amb les interfícies LAN i de túnel reals del servidor i amb les xarxes on són els clients. Una adreça pot ser perfectament vàlida en local i inaccessible per als clients que importen. Els errors d’autenticació intermitents són un símptoma habitual, perquè els clients reben o trien adreces diferents en intents diferents.

Que la màquina resolgui correctament el seu propi nom demostra molt poc. La prova que importa es fa des de les xarxes dels clients.

L’adaptador només és un publicador

Les propietats TCP/IP de l’adaptador tenen una casella per registrar l’adreça d’aquesta connexió, i desmarcar-la silencia exactament un publicador. No atura els altres, i per això el registre pot tornar a aparèixer després d’un reinici. Si el controlador de domini també executa el servei DNS, aquest servei té la seva pròpia configuració d’escolta i els seus propis registres de servidor de noms. La guia de Microsoft per a entorns amb diverses interfícies tracta el comportament de la interfície, el servei DNS i Netlogon com a publicadors rellevants separats.

Tres interruptors, tres propietaris, i només un d’ells viu a la pàgina de propietats de l’adaptador.

El servei DNS té les seves pròpies adreces

Un servidor DNS que té ordre d’escoltar en una adreça VPN la continua publicant en els seus propis registres, digui el que digui la casella de l’adaptador. Alinea les adreces d’escolta del servei amb les interfícies previstes i revisa alhora les entrades de servidor de noms de la zona. Canviar els escoltadors pot interrompre clients que actualment fan servir una adreça que treus, així que primer estableix qui depèn de cadascuna. Esborrar un escoltador només perquè és una adreça VPN pot tallar els clients que volies ajudar.

Netlogon, i el descobriment de controladors de domini en general, també registren adreces com a part de les seves pròpies funcions. No suprimeixis registres a tot el domini, ni copiïs una solució antiga de registre d’accés remot sense confirmar que s’aplica a la teva versió i el teu rol.

Propietat abans de la neteja

Arregla el publicador abans de treure el registre, o el següent esdeveniment de registre el tornarà a posar i l’exercici es repetirà. Elimina les entrades obsoletes pel procés del propietari del DNS i tingues en compte la memòria cau i l’envelliment. Comprova-ho des de les xarxes dels clients, cobrint el descobriment de domini i l’aplicació que va fallar originalment, i després provoca el mateix esdeveniment VPN que va produir l’adreça per primera vegada.

El que vols al final és un conjunt conegut d’adreces i escoltadors publicats, amb el registre de domini quotidià encara fent la seva feina. Una màquina el nom de la qual casualment es resol bé just després d’una neteja manual no és això.

Anota quin publicador era el responsable, quins registres van canviar i quins clients es van provar. El següent servidor amb diverses interfícies tindrà els mateixos tres sospitosos.