VPN-klientide DNS-kirjed: omanik, TTL ja koristamine on eraldi asjad
VPN-aadressil, DNS-kirjel ja vahemällu salvestatud kirjel on eraldi omanikud: otsustage, kes tohib nime avaldada, millised liidesed registreerivad ja millal kirjed aeguvad.
Sülearvutid ühenduvad, saavad VPN-aadressi ja nimi, mida teised süsteemid lahendavad, osutab endiselt eilsele kontoriaadressile. Miski ei ebaõnnestunud: aadress eraldati, kirjet ei uuendatud ja vahemälu hoiab endiselt vana vastust. Need on kolm objekti kolme omanikuga ja ainult üks neist kuulub VPN-ile. Avaldamise planeerimine tähendab otsustamist, kes nime kirjutab, millised liidesed osalevad ja millal vananenud andmed kaovad.
Sümptom: nimi, mis järgib vale aadressi
Seadmest on tunnel üleval ja VPN-aadress vastab. Kolleegi tööjaamast lahendub sama hostinimi privaatseks aadressiks, mida seadmel enam ei ole, seega ühendus aegub masinaga, mis on liikunud. Kirje on autoriteetne ja vale, mis on hullem kui puuduv. Kõik usaldavad seda ja keegi ei saa ühenduda.
Vastupidine juhtum on vaiksem: kirje kaob ja nimi lakkab üldse lahendumast. Mõlemad tulemused pärinevad samast disainiaugust ja kumbagi ei paranda TTL-i vähendamine. Lühem vahemälu eluiga muudab seda, kui kaua vale vastus püsib, mitte seda, kas see kirjutatakse.
Alustage küsimusest, milline objekt on vananenud. VPN-i eraldatud aadressil, tsoonis oleval kirjel ja lahendaja vahemälus oleval vastusel on erinevad eluead ja erinevad omanikud.
Kolm objekti, kolm omanikku
VPN omab aadresside eraldamist ja võib anda aadressi sisemisest poolist, ilma et ükski DHCP-vahetus jõuaks sülearvutini. DNS-tsoon omab kirjet ja selle turbemudel otsustab, kes tohib seda luua või muuta. Lahendaja vahemälu omab koopiat, mida lugeja praegu kasutab, ja miski, mida seade teeb, ei ulatu sinna.
Eeldus, et üks komponent teeb kõik kolm, on koht, kus disain puruneb. Aadress, mis näib pärinevat hallatavast vahemikust, ei tõesta, et DHCP-server tegi registreerimise, ja edukas registreerimine ei tõesta, et lugejad on oma vahemälu värskendanud.
| Object | Owner | What it decides |
|---|---|---|
| VPN address | Tunnel gateway pool | Which address the device holds now |
| DNS record | Zone security model | Which name resolves to which address |
| Cached answer | Each resolver | How long a reader keeps the old answer |
Kes tohib kirjet uuendada
Active Directoryga integreeritud ja turvaliste dünaamiliste uuendustega tsoonis elavad õigused kirjel endal. DHCP-teenusekonto loodud kirje ei pruugi olla sülearvuti arvutikonto jaoks kirjutatav, ja omanikumudeli hilisem muutmine on üleminek, mitte lüliti. Seetõttu omanikukonflikt elab üle iga kliendipoolse seade.
Microsofti dünaamiliste uuenduste juhised eelistavad kliendipoolset registreerimist domeeniga liidetud hübriidsete lõpp-punktide jaoks. Selle omaksvõtt tähendab olemasolevate kirjete teadlikku üleviimist, mitte lihtsalt linnukese panemist VPN-adapterile ja lootmist, et vana omanik taandub.
Kui DHCP-teenus peab registreerima teisi seadmeklasse, andke sellele selle rolli jaoks toetatud volituste ja õiguste mudel. Hoidke edasi- ja pöördilisakirjed samas plaanis, sest neid hooldavad sageli erinevad komponendid ja üks neist ununeb tavaliselt.
ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042Esimene käsk näitab, milliseid aadresse seade arvab endal olevat ja kas ühendus on seatud neid registreerima. Teine ja kolmas võrdlevad, mida klient lahendab, sellega, mida tsoon tegelikult salvestab, ja see eristab vahemälu probleemi autoriteetsest probleemist.
Kolm kella, mitte üks
Avaldamine ja värskendamine on esimene kell: millal volitatud uuendaja teatab, et aadress muutus. Vahemälu TTL on teine: kui kaua lahendaja tohib saadud vastust hoida. Autoriteetne koristamine on kolmas: kuidas vananenud kirjed eemaldatakse registreerimisprotsessi või vananemise ja pühkimise teel.
Need kellad on sõltumatud ja nende segamine annab parandusi, mis ei tööta. Muudatus ühes on nähtamatu kahele teisele. Lühike TTL lühendab vahemällu salvestatud vastuse elu ega anna ühtegi uuendusõigust. Pühkimine eemaldab kirjed, mida ei värskendatud, ja see ei suuda parandada kirjet, mida õige omanik kunagi ei kirjutanud.
Määrake TTL selle järgi, kui kiiresti peavad lugejad muudatust nägema, ja pühkimine selle järgi, kui kaua peaks mahajäetud seade nime hoidma. Kumbki arv ei otsusta, kes tohib kirjet kirjutada, ja ükski TTL-i väärtus ei muuda aadresside eraldamist DNS-i haldusõigusteks.
Planeerige avaldamine rändseadme jaoks
Otsustage, millised liidesed registreerimises osalevad. Kodu Wi-Fi aadress, VPN-aadress ja vana kontoriaadress teenivad erinevaid sihtrühmi ning kõigi avaldamine loob nime, millel on mitu ebavõrdse kasulikkusega vastust. Registreerige liidesed, milleni kavandatud lugejad tegelikult ulatuvad.
Hoidke püsiv arvutinimi identiteedina ja käsitlege aadresse selle atribuutidena. Säilitage domeeni tuvastamise kirjed, mida seade vajab, ja ärge lülitage registreerimist täielikult välja, et lahendada duplikaatkirjete probleem, mille õiguste muutmine parandaks.
Kirjutage eraldaja, uuendaja ja koristamise omanik ühte kirjesse, kavandatud lugejad nimeliselt nimetatud. Kui nimi osutab jälle valele aadressile, ütleb see kirje teile, millist kolmest esimesena kontrollida, selle asemel et uurimist otsast alata.