Tři zdroje mohou zveřejnit adresu VPN řadiče domény v DNS

Tři různé komponenty na řadiči domény s více síťovými rozhraními mohou vložit stejnou adresu VPN do DNS a selhávají nezávisle na sobě. Porovnejte, co každý z nich zveřejňuje, místo abyste věřili zaškrtávacímu políčku adaptéru, které řídí jen jeden z nich. Příznak je ve všech případech stejný: klient přeloží název, dostane adresu tunelu a nemůže se k řadiči domény připojit. Kdo ji zveřejnil, rozhoduje o tom, jak to zastavit.

Jedno nastavení, jedna služba a jedna role; tři zdroje, tři vypínače.

Začněte záznamem, ne zaškrtávacím políčkem

Ověřte celý název postiženého serveru přes server DNS, který klienti skutečně používají, a zapište všechny vrácené adresy. Každou vrácenou adresu porovnejte se skutečnými rozhraními LAN a tunelu serveru a se sítěmi, ve kterých klienti jsou. Adresa může být lokálně zcela platná a přesto nedostupná pro klienty, na kterých záleží. Častým příznakem jsou občasná selhání ověřování, protože klienti při různých pokusech dostanou nebo zvolí různé adresy.

To, že stroj správně přeloží svůj vlastní název, dokazuje jen velmi málo. Rozhodující test probíhá ze sítí klientů.

Adaptér je jen jedním zdrojem

Vlastnosti TCP/IP adaptéru obsahují zaškrtávací políčko pro registraci adresy tohoto připojení a jeho odškrtnutím umlčíte přesně jeden zdroj. Nezastaví ostatní, a proto se záznam může po restartu znovu objevit. Pokud řadič domény provozuje také službu DNS, má tato služba vlastní konfiguraci naslouchání a vlastní záznamy name serveru. Microsoft ve svém doporučení pro prostředí s více rozhraními považuje chování rozhraní, službu DNS a Netlogon za samostatné relevantní zdroje.

Tři vypínače, tři vlastníci a jen jeden z nich sídlí na stránce vlastností adaptéru.

Služba DNS má vlastní adresy

Server DNS, kterému se řekne, aby naslouchal na adrese VPN, ji dál zveřejňuje ve svých vlastních záznamech, ať zaškrtávací políčko adaptéru tvrdí cokoli. Slaďte adresy naslouchání služby s určenými rozhraními a zároveň zkontrolujte záznamy name serveru v zóně. Změna naslouchajících adres může přerušit klienty, kteří právě adresu, kterou odebíráte, používají, proto nejprve zjistěte, kdo na které závisí. Smazat naslouchající adresu jen proto, že jde o adresu VPN, může odříznout klienty, kterým jste chtěli pomoci.

Netlogon a obecně zjišťování řadičů domény také registrují adresy v rámci svých vlastních povinností. Nepotlačujte registrace v celé doméně ani nekopírujte starý registrační trik pro vzdálený přístup, aniž byste ověřili, že platí pro vaši verzi a roli.

Vlastnictví dřív než úklid

Opravte zdroj dřív, než záznam odstraníte, jinak ho další registrační událost vrátí zpět a cvičení se zopakuje. Odstraňte zastaralé položky procesem vlastníka DNS a počítejte s mezipamětí a stárnutím. Zkontrolujte to ze sítí klientů, včetně zjišťování domény a aplikace, která původně selhala, a pak spusťte stejnou událost VPN, která adresu poprvé vytvořila.

Na konci chcete známou sadu zveřejněných a naslouchajících adres, přičemž běžná registrace v doméně dál dělá svou práci. Stroj, jehož název se náhodou správně přeloží hned po ručním úklidu, tím není.

Zapište, který zdroj byl odpovědný, které záznamy se změnily a kteří klienti byli testováni. Příští server s více rozhraními bude mít stejné tři podezřelé.