Το δημόσιο DNS λειτουργεί, αλλά αυτό δεν σημαίνει ότι το Active Directory είναι εντοπίσιμο

Το VPN συνδέεται, ο περιηγητής ανοίγει έναν δημόσιο ιστότοπο και ο φορητός υπολογιστής εξακολουθεί να μην μπορεί να συνδεθεί στον τομέα. Το συνηθισμένο συμπέρασμα είναι ότι το DNS είναι εντάξει επειδή τα ονόματα επιλύονται. Δεν είναι εντάξει, και ο λόγος είναι ότι μια δοκιμή στον περιηγητή ασκεί μόνο μία αναζήτηση από μια αλυσίδα που χρειάζεται ένας πελάτης συνδεδεμένος σε τομέα. Η ανακάλυψη τομέα ζητά πρώτα εγγραφές υπηρεσιών, μετά τις διευθύνσεις των ελεγκτών που ονομάζουν αυτές οι εγγραφές και μετά μια διαδρομή προς τις θύρες στις οποίες ακούν αυτοί οι ελεγκτές. Μια δημόσια απάντηση δεν ικανοποιεί κανένα από αυτά τα βήματα.

Ο μύθος: τα ονόματα επιλύονται, άρα το DNS τελείωσε

Το ότι ένας δημόσιος ιστότοπος επιλύεται λέει μόνο ότι κάποιος επιλυτής απάντησε σε ένα ερώτημα A ή AAAA για ένα όνομα σε δημόσια ζώνη. Το Active Directory χρησιμοποιεί το ίδιο πρωτόκολλο για άλλη ερώτηση: πού είναι οι υπηρεσίες του τομέα και ποιον ελεγκτή πρέπει να χρησιμοποιήσει αυτός ο πελάτης. Η ερώτηση εκφράζεται ως εγγραφές SRV κάτω από ζώνη που φέρει το όνομα του τομέα, και ένας αναδρομικός δημόσιος επιλυτής δεν έχει λόγο να τις κρατά.

Όταν η εγγραφή λείπει, ο επιλυτής επιστρέφει αρνητική απάντηση, που είναι έγκυρη απάντηση DNS και όχι διακοπή. Στη συνέχεια ο πελάτης καταφεύγει σε προσωρινά αποθηκευμένες πληροφορίες ελεγκτών αν έχει, και γι’ αυτό ακριβώς ένας σταθμός εργασίας μπορεί να φαίνεται καλός για ώρες και να αποτυγχάνει μετά από επανεκκίνηση ή αλλαγή κωδικού πρόσβασης.

Τι ζητά στην πραγματικότητα ένας πελάτης τομέα, με τη σειρά

Για έναν τομέα όπως το corp.example, το γενικό ερώτημα εντοπισμού είναι το _ldap._tcp.dc._msdcs.corp.example. Οι απαντήσεις SRV ονομάζουν υποψήφιους ελεγκτές και τις θύρες τους, και έπειτα ο πελάτης χρειάζεται εγγραφές διευθύνσεων για αυτά τα ονόματα κεντρικών υπολογιστών πριν ανοίξει σύνδεση. Η ανακάλυψη με επίγνωση τοποθεσίας προσθέτει ερωτήματα κάτω από τον υποτομέα της τοποθεσίας, και οι απαντήσεις καθορίζουν ποιοι ελεγκτές προτιμώνται και όχι ποιος είναι υποχρεωτικός.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Ακολουθήστε την αλυσίδα με αυτή τη σειρά, από το δίκτυο όπου εμφανίζεται το πρόβλημα. Ένα όνομα κεντρικού υπολογιστή που επιλύεται σε μη προσβάσιμη διεύθυνση είναι αποτυχία δρομολόγησης, όχι αποτυχία DNS. Ένας προσβάσιμος ελεγκτής του οποίου λείπουν οι εγγραφές εντοπισμού είναι αποτυχία DNS, όχι αποτυχία δρομολόγησης. Και τα δύο παράγουν παρόμοια παράπονα χρηστών και εντελώς διαφορετικές επισκευές.

Γιατί ένας δημόσιος επιλυτής απαντά και η σύνδεση εξακολουθεί να σπάει

Αν ο προσαρμογέας δώσει στον πελάτη δημόσιο επιλυτή, τα δημόσια ονόματα δουλεύουν και ο εσωτερικός χώρος ονομάτων όχι. Η προσθήκη δεύτερου δημόσιου επιλυτή δεν βοηθά, γιατί κανένας από τους δύο δεν κρατά τη ζώνη. Ούτε η συνηθισμένη λίστα «πρώτα εσωτερικός, μετά δημόσιος» συμπεριφέρεται σαν κανόνας ανά τομέα: μια αρνητική απάντηση από τον πρώτο διακομιστή είναι νόμιμη απάντηση, και ο πελάτης δεν ξαναδοκιμάζει τον δεύτερο διακομιστή μόνο επειδή η απάντηση ήταν κενή.

Και οι δύο εσωτερικοί επιλυτές, αν τρέχετε δύο, πρέπει να κρατούν τον χώρο ονομάτων του AD και να είναι προσβάσιμοι από το τρέχον δίκτυο του πελάτη. Αυτό είναι το σημείο που σπάνε τα σχέδια διαχωρισμένης σήραγγας: το VPN μπορεί να μεταφέρει το υποδίκτυο της σήραγγας ενώ ο εσωτερικός επιλυτής βρίσκεται σε πρόθεμα που η σήραγγα δεν δρομολογεί, οπότε το ερώτημα βγαίνει σε επιλυτή που δεν μπορεί να το απαντήσει.

Τα Windows εφαρμόζουν επίσης πολιτική επίλυσης ονομάτων που μπορεί να κατευθύνει συγκεκριμένους χώρους ονομάτων σε συγκεκριμένους διακομιστές, και οι διευθύνσεις DNS που εμφανίζει ο προσαρμογέας δεν είναι όλη η ιστορία. Η αλλαγή της λίστας του προσαρμογέα χωρίς αλλαγή αυτής της πολιτικής μπορεί να αφήσει την πραγματική διαμόρφωση άθικτη, και γι’ αυτό μια διόρθωση που φαίνεται εφαρμοσμένη δεν έχει κανένα αποτέλεσμα.

Κρατήστε το DNS της σήραγγας και τις διαδρομές της σε συμφωνία

Ένα προφίλ VPN που σπρώχνει επιλυτή αλλά όχι το πρόθεμα που τον περιέχει δημιουργεί επιλυτή που ο πελάτης δεν μπορεί να φτάσει· ένα που σπρώχνει το πρόθεμα χωρίς επιλυτή αφήνει τον πελάτη να ρωτά τον τοπικό. Αντιμετωπίστε το ζεύγος ως ένα στοιχείο διαμόρφωσης και ελέγξτε και τα δύο μετά από κάθε αλλαγή προφίλ, γιατί μια αναδιατεταγμένη ώθηση ή μια νέα πολιτική διαχωρισμένης σήραγγας μπορεί να τα χωρίσει.

Ελέγξτε επίσης τι κάνει ο πελάτης με τη ρύθμιση που σπρώχνεται. Μερικοί πελάτες εφαρμόζουν τον διακομιστή DNS μόνο στη διεπαφή της σήραγγας και αφήνουν στη θέση του τον επιλυτή του φυσικού προσαρμογέα, οπότε το ποιος κερδίζει εξαρτάται από τη μετρική της διεπαφής και το όνομα που ζητείται. Αν η εσωτερική απάντηση έρχεται μόνο όταν ο φυσικός προσαρμογέας είναι απενεργοποιημένος, αυτός είναι ο μηχανισμός που πρέπει να διορθωθεί, όχι οι εγγραφές του τομέα.

Αποδεχτείτε με κλήση ανακάλυψης και μία ζωντανή λειτουργία

Μια χρήσιμη δοκιμή αποδοχής εκτελεί το ερώτημα εντοπισμού και έπειτα εκτελεί μία πραγματική πιστοποιημένη λειτουργία, όπως το άνοιγμα κοινόχρηστου πόρου που υποστηρίζεται από κατάλογο ή την αίτηση εισιτηρίου. Κάντε το πριν από τη μετάβαση στο VPN και ξανά μετά, στο ίδιο μηχάνημα, χωρίς επανεκκίνηση ενδιάμεσα. Τα προσωρινά αποθηκευμένα διαπιστευτήρια και οι ήδη ανοιχτές συνεδρίες θα κάνουν πρόθυμα μια σπασμένη διαδρομή να φαίνεται υγιής, επομένως μια επιτυχημένη σύνδεση στην επιφάνεια εργασίας δεν είναι η δοκιμή.

Οι συστάσεις της Microsoft για τον πελάτη DNS χαράσσουν την ίδια γραμμή ανάμεσα στην επίλυση του εσωτερικού χώρου ονομάτων και στην προώθηση δημόσιων ερωτημάτων προς τα πάνω, και αυτή είναι η διάταξη που πρέπει να διατηρηθεί όταν εισάγεται VPN.

Αν η αποτυχία είναι μόνο αργή και όχι αποτυχημένη, κρατήστε την καθυστέρηση ξεχωριστά από τη διάγνωση. Ένα χρονικό όριο κατά την ανακάλυψη μπορεί να προέλθει από μη προσβάσιμο ελεγκτή, κλειστή θύρα ή επιλυτή που απαντά αργά, και τίποτα από αυτά δεν αποδεικνύεται μόνο από την αναμονή. Καταγράψτε το πραγματικό ερώτημα, την απάντησή του και την απόπειρα σύνδεσης πριν αλλάξετε ρύθμιση επιλυτή.