Nid yw dau weinydd DNS ar un addasydd yn rhannu gofodau enw

Mae rhestru dau ddatryswr ar un addasydd yn edrych fel ffordd i anfon un parth i un gweinydd a pharth arall i’r llall, ac nid yw unrhyw beth yn y rhestr ddatryswyr yn gweithio felly. Mae Windows yn datrys yn ôl enw, ac mae’r penderfyniad pa weinydd i’w holi yn dod o wrthrychau polisi yn hytrach nag o restr cyfeiriadau trefnus. Y model meddwl i’w ddisodli yw’r ciw: nid oes gweinydd cyntaf ar gyfer parth A na gweinydd ail ar gyfer parth B. Mae yna set o reolau fesul gofod enw sy’n enwi’r gweinyddwyr yn glir, ac unwaith y bydd y rheolau hynny’n bodoli, mae rhestr yr addasydd yn peidio â bod yn ddiddorol.

Y myth: mae dau gyfeiriad yn rhannu dau barth

Mae’r gred yn goroesi oherwydd ei bod yn gweithio ar ddamwain pan fydd un gweinydd yn ateb popeth a’r ail yn unig yn gefnlen. Mae cleient yn gofyn i’r gweinydd cyntaf, mae’r gweinydd hwnnw’n anfon ymlaen neu’n ailadrodd, ac mae’r ateb yn cyrraedd; nid oes neb yn sylwi pa ddatryswr oedd mewn gwirionedd yn dal y parth. Mae’r rhith yn torri’r eiliad y bydd y ddau ofod enw yn byw mewn parthau preifat ar wahân heb anfon ymlaen rhyngddynt, oherwydd yna mae’r gweinydd cyntaf yn ateb yn awdurdodol nad yw’r enw’n bodoli. Nid yw ateb negyddol gan y gweinydd cyntaf yn sbarduno’r gefnlen, gan fod y cleient wedi cael ateb pendant yn hytrach na methiant.

Nid oes gan restr drefnus unrhyw syniad o barth, felly ni all fynegi’r bwriad. Yr hyn y mae’r rhestr yn ei reoli mewn gwirionedd yw pa weinydd sy’n cael ei holi gyntaf a pha un sy’n cael ei brofi’n ail, ac mae’r ddau ateb hynny yn berthnasol i bob enw yn gyfartal.

Yr hyn y mae Windows yn ei ddefnyddio mewn gwirionedd i ddewis

Mae’r Tabl Polisi Datrys Enwau yn cysylltu enw â gofodau enw wedi’u ffurfweddu ac yn dewis y gweinyddwyr a’r opsiynau ar gyfer y cysylltiad hwnnw. Gellir ffurfweddu rheolau’n lleol, eu danfon drwy Bolisi Grŵp, neu eu cyflenwi gan broffil VPN, ac mae’r polisi effeithiol yn gyfuniad yn hytrach na rhestr sengl. Dyna pam mai’r cyflwr effeithiol yw’r diagnosis cyntaf bob amser: mae rheol a grëwyd yn lleol sy’n colli i bolisi a reolir yn cynhyrchu labordy sy’n ymddwyn yn hollol wahanol i’w ffurfweddiad. Mae rheolau hefyd yn cael eu cysylltu yn ôl penodoldeb, felly gall cofnod gofod enw eang orchuddio un cul mewn ffyrdd sy’n anweledig mewn rhestr o eitemau wedi’u ffurfweddu. Darllen y drefn effeithiol yw’r unig ffordd i weld pa reol sy’n ennill.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Mae’r gorchymyn cyntaf yn rhestru’r hyn sydd wedi’i ffurfweddu ar y peiriant; mae’r ail yn dangos yr hyn y bydd’r cleient yn ei gymhwyso mewn gwirionedd, gan gynnwys cofnodion a ddaeth o rywle arall. Os yw’r allbwn effeithiol yn cynnwys gofodau enw a reolir, perchennog y polisi hwnnw yw’r lle cywir i ofyn am y newid, nid y rhestr reolau leol. Nid yw’r ddau orchymyn yn darllen dim ond cyflwr, felly nid oes cost i’w rhedeg cyn i unrhyw un gytuno ar y newid.

Un rheol fesul gofod enw, cadwch y gwrthrych

Ar ôl deall y cyflwr effeithiol, crëwch un rheol fesul gofod enw a chadwch y gwrthrych y mae pob gorchymyn yn ei ddychwelyd. Mae enwau arddangos yn labeli i bobl, a’r dynodwr unigryw yn y gwrthrych a ddychwelwyd yw’r targed dileu dibynadwy wedyn. Ysgrifennwch y ddau ddynodwr yn yr un nodyn newid sy’n cofnodi’r gofodau enw a’r datryswyr, oherwydd ni fydd y sesiwn a’u creodd yn y sesiwn sy’n glanhau.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Mae’r dot blaen yn nodi cydweddiad ôl-ddodiad, felly mae’r rheol yn cwmpasu app.svc.internal.example ac unrhyw beth arall o dano. Mae’r ddau gyfeiriad yma yn perthyn i gynllun llwybro’r labordy hwn ei hun; nid yw rheol yn creu parth, yn gosod llwybr nac yn awdurdodi’r cymhwysiad sy’n cysylltu yn y pen draw, a’r cyfeirlyfr Add-DnsClientNrptRule yn dogfennu’n union pa baramedr sy’n gwneud beth.

Sylwch ar yr hyn nad yw’r gorchmynion hyn yn ei wneud: maent yn berthnasol i’r peiriant cyfan, nid ydynt wedi’u cyfyngu i sesiwn VPN, ac maent yn goroesi cau’r ffenestr. Mae labordy sy’n anghofio hyn yn gadael polisi ar ôl pan fydd y twnnel wedi mynd.

Profwch fod y cleient wedi dewis y gweinydd

Mae gofyn i weinydd penodol a yw’n adnabod enw yn profi y gall y gweinydd ateb, nad yw’r un peth â’r honiad bod y cleient wedi dewis y gweinydd hwnnw. Mae’r prawf sy’n bwysig yn datrys enw go iawn drwy lwybr arferol y cleient ac yna’n cadarnhau pa ddatryswr a ymdriniodd ag ef, yn ddelfrydol tra bo’r twnnel sy’n cyflenwi’r llwybr i fyny. Os yw’r twnnel i lawr, mae rheol sydd wedi’i chwmpasu’n gywir yn dal i bwyntio at weinydd na ellir ei gyrraedd, sef problem llwybro yn hytrach na phroblem polisi. Profwch y ddau gyflwr fel y gellir eu gwahaniaethu’n ddiweddarach.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Gwyliwch am atebion wedi’u storio o’r cyfnod cyn i’r rheolau fodoli, a gwyliwch am gymwysiadau sy’n osgoi datryswr y system yn llwyr gyda’u DNS amgryptiedig eu hunain. Mae ôl-ddodiaid chwilio yn nodwedd arall ar wahân: gall rheol ddewis datryswr ar gyfer enw llawn heb ddysgu Windows i ehangu enw gwesteiwr noeth i’r gofod enw hwnnw.

Tynnwch yn union yr hyn a grëwyd gennych

Glanhau yw’r lle mae labordy’n troi’n stori rybuddiol. Mae dileu pob rheol ar y peiriant yn gyflym ac yn tynnu polisi y mae rhywun arall yn dibynnu arno, felly defnyddiwch y dynodwyr a gofnodwyd pan grëwyd y rheolau, ac ail-ddarllenwch y cyflwr effeithiol wedyn i gadarnhau bod y peiriant wedi dychwelyd i’r man y dechreuodd. Os yw’r sesiwn a’u creodd wedi mynd, y nodyn newid yw’r unig le mae’r dynodwyr yn bodoli. Dyna’r rheswm dros eu hysgrifennu i lawr cyn i’r gorchymyn cyntaf redeg, nid ar ôl.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Ar gyfer defnyddio yn hytrach na labordy, mae’r cwestiwn oes yn bwysig cymaint â’r rheol. Gall proffil VPN gario’r rheolau gofod enw a dewis a ydynt yn parhau y tu hwnt i’r cysylltiad; mae rheol sy’n parhau tra bo’r datryswr yn un na ellir ei gyrraedd yn gadael cleientiaid yn ffafrio gweinydd marw, ac mae rheol sydd wedi’i chwmpasu i’r cysylltiad yn diflannu pan wnaiff y twnnel. Penderfynwch pa un o’r ymddygiadau hyn y mae’r gwasanaeth ei angen, nodwch pwy sy’n berchen ar y rheol, a gadewch y rhaniad awdurdod wedi’i ddogfennu wrth ymyl y proffil yn hytrach nag yng nghof rhywun am labordy.