Εγγραφές DNS πελατών VPN: ιδιοκτήτης, TTL και καθαρισμός είναι ξεχωριστά

Οι φορητοί υπολογιστές συνδέονται, λαμβάνουν μια διεύθυνση VPN, και το όνομα που επιλύουν τα άλλα συστήματα εξακολουθεί να δείχνει στη χθεσινή διεύθυνση γραφείου. Τίποτα δεν απέτυχε: μια διεύθυνση εκχωρήθηκε, μια εγγραφή δεν ενημερώθηκε, και μια κρυφή μνήμη κρατά ακόμη την παλιά απάντηση. Πρόκειται για τρία αντικείμενα με τρεις ιδιοκτήτες, και μόνο ένα από αυτά ανήκει στο VPN. Ο σχεδιασμός της δημοσίευσης σημαίνει να αποφασίσετε ποιος γράφει το όνομα, ποιες διεπαφές συμμετέχουν και πότε εξαφανίζονται τα παλιά δεδομένα.

Το σύμπτωμα: ένα όνομα που ακολουθεί τη λάθος διεύθυνση

Από τη συσκευή, το τούνελ είναι ενεργό και η διεύθυνση VPN απαντά. Από τον σταθμό εργασίας ενός συναδέλφου, το ίδιο όνομα κεντρικού υπολογιστή επιλύεται σε μια ιδιωτική διεύθυνση που η συσκευή δεν έχει πια, οπότε η σύνδεση λήγει απέναντι σε ένα μηχάνημα που μετακινήθηκε. Η εγγραφή είναι έγκυρη και λανθασμένη, κάτι χειρότερο από την απουσία της. Όλοι την εμπιστεύονται και κανείς δεν μπορεί να συνδεθεί.

Η αντίστροφη περίπτωση είναι πιο ήσυχη: η εγγραφή εξαφανίζεται και το όνομα σταματά να επιλύεται εντελώς. Και τα δύο αποτελέσματα προέρχονται από το ίδιο κενό σχεδιασμού, και κανένα δεν διορθώνεται μειώνοντας το TTL. Μια συντομότερη διάρκεια κρυφής μνήμης αλλάζει πόσο ζει η λάθος απάντηση, όχι αν γράφεται.

Ξεκινήστε ρωτώντας ποιο αντικείμενο είναι παρωχημένο. Η διεύθυνση που εκχώρησε το VPN, η εγγραφή στη ζώνη και η απάντηση στην κρυφή μνήμη ενός resolver έχουν διαφορετικές διάρκειες ζωής και διαφορετικούς ιδιοκτήτες.

Τρία αντικείμενα, τρεις ιδιοκτήτες

Το VPN κατέχει την εκχώρηση διευθύνσεων και μπορεί να δώσει τη διεύθυνση από ένα εσωτερικό pool χωρίς καμία ανταλλαγή DHCP να φτάσει στον φορητό. Η ζώνη DNS κατέχει την εγγραφή και το μοντέλο ασφαλείας της αποφασίζει ποιος μπορεί να τη δημιουργήσει ή να την αλλάξει. Η κρυφή μνήμη του resolver κατέχει το αντίγραφο που χρησιμοποιεί τώρα ένας αναγνώστης, και τίποτα από όσα κάνει η συσκευή δεν μπορεί να φτάσει εκεί.

Η υπόθεση ότι ένα συστατικό κάνει και τα τρία είναι το σημείο όπου σπάει ο σχεδιασμός. Μια διεύθυνση που μοιάζει να προήλθε από διαχειριζόμενη περιοχή δεν αποδεικνύει ότι ένας διακομιστής DHCP έκανε την καταχώριση, και μια επιτυχής καταχώριση δεν αποδεικνύει ότι οι αναγνώστες ανανέωσαν την κρυφή μνήμη τους.

Ποιος επιτρέπεται να ενημερώσει την εγγραφή

Σε μια ζώνη ενσωματωμένη στο Active Directory με ασφαλείς δυναμικές ενημερώσεις, τα δικαιώματα ζουν στην ίδια την εγγραφή. Μια εγγραφή που δημιούργησε λογαριασμός υπηρεσίας DHCP μπορεί να μην είναι εγγράψιμη από τον λογαριασμό υπολογιστή του φορητού, και η αλλαγή του μοντέλου ιδιοκτησίας αργότερα είναι μετάβαση, όχι διακόπτης. Γι' αυτό μια σύγκρουση ιδιοκτησίας επιβιώνει από κάθε ρύθμιση στην πλευρά του πελάτη.

Οι οδηγίες της Microsoft για δυναμικές ενημερώσεις προτιμούν την καταχώριση από την πλευρά του πελάτη για υβριδικά τελικά σημεία ενταγμένα σε τομέα. Η υιοθέτησή τους σημαίνει σκόπιμη μεταφορά των υπαρχουσών εγγραφών, όχι απλώς τικαρίσματος ενός κουτιού στον προσαρμογέα VPN και ελπίδας ότι ο παλιός ιδιοκτήτης θα υποχωρήσει.

Όπου μια υπηρεσία DHCP πρέπει να καταχωρεί άλλες κατηγορίες συσκευών, δώστε της το υποστηριζόμενο μοντέλο διαπιστευτηρίων και δικαιωμάτων για αυτόν τον ρόλο. Κρατήστε τις εμπρόσθιες και τις αντίστροφες εγγραφές στο ίδιο σχέδιο, γιατί συχνά τις συντηρούν διαφορετικά συστατικά και μία από αυτές συνήθως ξεχνιέται.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Η πρώτη εντολή δείχνει ποιες διευθύνσεις πιστεύει η συσκευή ότι έχει και αν η σύνδεση είναι ρυθμισμένη να τις καταχωρεί. Η δεύτερη και η τρίτη συγκρίνουν τι επιλύει ένας πελάτης με το τι αποθηκεύει πραγματικά η ζώνη, και αυτό χωρίζει ένα πρόβλημα κρυφής μνήμης από ένα έγκυρο πρόβλημα.

Τρία ρολόγια, όχι ένα

Η δημοσίευση και η ανανέωση είναι το πρώτο ρολόι: πότε ο εξουσιοδοτημένος ενημερωτής ανακοινώνει ότι μια διεύθυνση άλλαξε. Το TTL της κρυφής μνήμης είναι το δεύτερο: πόσο καιρό ένας resolver μπορεί να κρατήσει την απάντηση που έλαβε. Ο έγκυρος καθαρισμός είναι το τρίτο: πώς οι παρωχημένες εγγραφές αφαιρούνται από τη διαδικασία καταχώρισης ή από τη γήρανση και το σκούπισμα.

Αυτά τα ρολόγια είναι ανεξάρτητα, και η σύγχυσή τους παράγει διορθώσεις που δεν λειτουργούν. Μια αλλαγή στο ένα είναι αόρατη για τα άλλα δύο. Ένα σύντομο TTL συντομεύει τη ζωή μιας αποθηκευμένης απάντησης και δεν παρέχει κανένα δικαίωμα ενημέρωσης. Το σκούπισμα αφαιρεί εγγραφές που δεν ανανεώθηκαν, και δεν μπορεί να επισκευάσει μια εγγραφή που δεν έγραψε ποτέ ο σωστός ιδιοκτήτης.

Ορίστε το TTL από το πόσο γρήγορα πρέπει οι αναγνώστες να δουν μια αλλαγή, και το σκούπισμα από το πόσο καιρό μια εγκαταλελειμμένη συσκευή πρέπει να κρατά ένα όνομα. Κανένας από τους δύο αριθμούς δεν αποφασίζει ποιος επιτρέπεται να γράψει την εγγραφή, και καμία τιμή TTL δεν μετατρέπει την εκχώρηση διευθύνσεων σε δικαιώματα διαχείρισης DNS.

Σχεδιάστε τη δημοσίευση για μια συσκευή σε κίνηση

Αποφασίστε ποιες διεπαφές συμμετέχουν στην καταχώριση. Μια διεύθυνση Wi-Fi σπιτιού, μια διεύθυνση VPN και μια παλιά διεύθυνση γραφείου εξυπηρετούν διαφορετικά κοινά, και η δημοσίευση όλων παράγει ένα όνομα με πολλές απαντήσεις άνισης χρησιμότητας. Καταχωρίστε τις διεπαφές που μπορούν πραγματικά να προσεγγίσουν οι προβλεπόμενοι αναγνώστες.

Κρατήστε το σταθερό όνομα υπολογιστή ως ταυτότητα και αντιμετωπίστε τις διευθύνσεις ως χαρακτηριστικά του. Διατηρήστε τις εγγραφές ανακάλυψης τομέα που χρειάζεται η συσκευή, και μην απενεργοποιήσετε την καταχώριση συνολικά για να λύσετε ένα πρόβλημα διπλών εγγραφών που θα διόρθωνε μια αλλαγή δικαιωμάτων.

Γράψτε τον εκχωρητή, τον ενημερωτή και τον ιδιοκτήτη του καθαρισμού σε μία εγγραφή, με τους προβλεπόμενους αναγνώστες ονομασμένους. Όταν το όνομα δείξει ξανά τη λάθος διεύθυνση, αυτή η εγγραφή σας λέει ποιον από τους τρεις να ελέγξετε πρώτα, αντί να ξεκινήσετε ξανά την έρευνα.