DNS záznamy VPN klientů: vlastník, TTL a úklid jsou oddělené věci

Notebooky se připojí, dostanou adresu VPN, a jméno, které ostatní systémy překládají, stále ukazuje na včerejší adresu kanceláře. Nic neselhalo: adresa byla přidělena, záznam nebyl aktualizován a mezipaměť stále drží starou odpověď. Jsou to tři objekty se třemi vlastníky a jen jeden z nich patří VPN. Plánování publikace znamená rozhodnout, kdo jméno zapisuje, která rozhraní se účastní a kdy zastaralá data zmizí.

Příznak: jméno, které následuje špatnou adresu

Ze zařízení je tunel nahoře a adresa VPN odpovídá. Z pracovní stanice kolegy se stejné jméno hostitele přeloží na privátní adresu, kterou zařízení už nemá, takže spojení vyprší proti stroji, který se mezitím přesunul. Záznam je autoritativní a špatný, což je horší než chybějící. Všichni mu věří a nikdo se nemůže připojit.

Opačný případ je tišší: záznam zmizí a jméno se přestane překládat úplně. Oba výsledky pocházejí ze stejné mezery v návrhu a ani jeden se neopraví snížením TTL. Kratší životnost mezipaměti mění, jak dlouho špatná odpověď přežije, ne zda je zapsaná.

Začněte otázkou, který objekt zestárl. Adresa, kterou VPN přidělila, záznam v zóně a odpověď v mezipaměti překladače mají různé životnosti a různé vlastníky.

Tři objekty, tři vlastníci

VPN vlastní přidělování adres a může adresu vydat z interního poolu, aniž by se do notebooku dostala jakákoli výměna DHCP. Zóna DNS vlastní záznam a její bezpečnostní model rozhoduje, kdo jej smí vytvořit nebo změnit. Mezipaměť překladače vlastní kopii, kterou čtenář právě používá, a nic, co zařízení udělá, se do ní nedostane.

Předpoklad, že jedna komponenta dělá všechny tři věci, je místo, kde se návrh láme. Adresa, která vypadá, že přišla ze spravovaného rozsahu, nedokazuje, že registraci provedl server DHCP, a úspěšná registrace nedokazuje, že si čtenáři obnovili mezipaměť.

Kdo smí záznam aktualizovat

V zóně integrované s Active Directory a se zabezpečenými dynamickými aktualizacemi žijí oprávnění přímo na záznamu. Záznam vytvořený servisním účtem DHCP nemusí být zapisovatelný z počítačového účtu notebooku a pozdější změna modelu vlastnictví je přechod, ne přepínač. Proto konflikt vlastnictví přežije každé nastavení na straně klienta.

Pokyny Microsoftu k dynamickým aktualizacím upřednostňují registraci na straně klienta u hybridních koncových bodů připojených k doméně. Přijmout to znamená vědomě přesunout existující záznamy, ne jen zaškrtnout políčko na adaptéru VPN a doufat, že starý vlastník ustoupí.

Když musí služba DHCP registrovat jiné třídy zařízení, dejte jí podporovaný model přihlašovacích údajů a oprávnění pro tuto roli. Držte dopředné a zpětné záznamy ve stejném plánu, protože je často spravují různé komponenty a na jeden se obvykle zapomene.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

První příkaz ukáže, které adresy zařízení považuje za své a zda je spojení nastaveno je registrovat. Druhý a třetí porovnávají, co klient přeloží, s tím, co zóna skutečně ukládá, což odděluje problém mezipaměti od autoritativního.

Troje hodiny, ne jedny

Publikace a obnovení jsou první hodiny: kdy autorizovaný aktualizátor oznámí, že se adresa změnila. TTL mezipaměti jsou druhé: jak dlouho smí překladač držet obdrženou odpověď. Autoritativní úklid je třetí: jak se zastaralé záznamy odstraňují procesem registrace nebo stárnutím a úklidem.

Tyto hodiny jsou nezávislé a jejich záměna dává opravy, které nefungují. Změna v jedněch je pro druhé dvoje neviditelná. Krátké TTL zkracuje život uložené odpovědi a nedává žádné oprávnění k aktualizaci. Úklid odstraňuje záznamy, které nebyly obnoveny, a nedokáže opravit záznam, který nikdy nezapsal správný vlastník.

Nastavte TTL podle toho, jak rychle musí čtenáři změnu vidět, a úklid podle toho, jak dlouho má opuštěné zařízení držet jméno. Ani jedno z těch čísel nerozhoduje, kdo smí záznam zapsat, a žádná hodnota TTL neudělá z přidělování adres administrátorská práva k DNS.

Naplánujte publikaci pro roamingové zařízení

Rozhodněte, která rozhraní se registrace účastní. Domácí adresa Wi-Fi, adresa VPN a stará adresa kanceláře slouží různým publikům a publikování všech vytváří jméno s několika odpověďmi nestejné užitečnosti. Registrujte rozhraní, na která zamýšlení čtenáři skutečně dosáhnou.

Držte stabilní název počítače jako identitu a adresy berte jako jeho atributy. Zachovejte záznamy zjišťování domény, které zařízení potřebuje, a nevypínejte registraci plošně, abyste vyřešili problém duplicitních záznamů, který by opravila změna oprávnění.

Zapište přidělovač, aktualizátor a vlastníka úklidu do jednoho záznamu s uvedenými zamýšlenými čtenáři. Když jméno znovu ukáže na špatnou adresu, tento záznam vám řekne, kterého ze tří prozkoumat nejdřív, místo abyste vyšetřování začínali znovu.