VPN-asiakkaiden DNS-tietueet: omistaja, TTL ja siivous ovat erillisiä

Kannettavat yhdistyvät, saavat VPN-osoitteen, ja nimi, jonka muut järjestelmät selvittävät, osoittaa edelleen eiliseen toimisto-osoitteeseen. Mikään ei epäonnistunut: osoite jaettiin, tietuetta ei päivitetty ja välimuisti pitää yhä vanhaa vastausta. Kyse on kolmesta objektista, joilla on kolme omistajaa, ja vain yksi niistä kuuluu VPN:lle. Julkaisun suunnittelu tarkoittaa päättämistä siitä, kuka kirjoittaa nimen, mitkä liitännät osallistuvat ja milloin vanhentunut data katoaa.

Oire: nimi, joka seuraa väärää osoitetta

Laitteen puolelta tunneli on pystyssä ja VPN-osoite vastaa. Kollegan työasemalta sama isäntänimi selvitetään yksityiseksi osoitteeksi, jota laitteella ei enää ole, joten yhteys aikakatkeaa konetta vastaan, joka on siirtynyt. Tietue on autoritatiivinen ja väärä, mikä on pahempaa kuin puuttuva. Kaikki luottavat siihen, eikä kukaan voi yhdistää.

Vastakkainen tapaus on hiljaisempi: tietue katoaa ja nimi lakkaa selvittämästä kokonaan. Molemmat seuraukset tulevat samasta suunnittelun aukosta, eikä kumpaakaan korjata TTL:ää laskemalla. Lyhyempi välimuistin elinikä muuttaa sitä, kuinka kauan väärä vastaus säilyy, ei sitä, kirjoitetaanko se.

Aloita kysymällä, mikä objekti on vanhentunut. VPN:n jakamalla osoitteella, vyöhykkeen tietueella ja selvittimen välimuistissa olevalla vastauksella on eri eliniät ja eri omistajat.

Kolme objektia, kolme omistajaa

VPN omistaa osoitteiden jakamisen ja voi antaa osoitteen sisäisestä poolista ilman, että mikään DHCP-vaihto tavoittaa kannettavaa. DNS-vyöhyke omistaa tietueen, ja sen tietoturvamalli päättää, kuka saa luoda tai muuttaa sen. Selvittimen välimuisti omistaa kopion, jota lukija parhaillaan käyttää, eikä mikään laitteen tekemä yllä siihen.

Oletus, että yksi komponentti tekee kaikki kolme, on kohta, jossa suunnittelu hajoaa. Hallitusta alueesta tulevalta näyttävä osoite ei todista, että DHCP-palvelin teki rekisteröinnin, eikä onnistunut rekisteröinti todista, että lukijat ovat päivittäneet välimuistinsa.

Kuka saa päivittää tietueen

Active Directoryyn integroidussa vyöhykkeessä, jossa on turvalliset dynaamiset päivitykset, käyttöoikeudet elävät itse tietueessa. DHCP-palvelutilin luoma tietue ei välttämättä ole kannettavan tietokonetilin kirjoitettavissa, ja omistajuusmallin muuttaminen myöhemmin on siirtymä, ei kytkin. Siksi omistajuusristiriita kestää kaikki asiakaspuolen asetukset.

Microsoftin dynaamisten päivitysten ohje suosii asiakaspuolen rekisteröintiä toimialueeseen liitetyille hybridipäätepisteille. Sen omaksuminen tarkoittaa olemassa olevien tietueiden tietoista siirtämistä, ei vain ruudun rastittamista VPN-sovittimessa ja toivomista, että vanha omistaja väistyy.

Kun DHCP-palvelun on rekisteröitävä muita laiteryhmiä, anna sille kyseisen roolin tuettu tunnistetieto- ja käyttöoikeusmalli. Pidä eteenpäin- ja käänteistietueet samassa suunnitelmassa, koska usein eri komponentit ylläpitävät niitä ja yksi niistä yleensä unohtuu.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Ensimmäinen komento näyttää, mitkä osoitteet laite uskoo omaavansa ja onko yhteys asetettu rekisteröimään ne. Toinen ja kolmas vertaavat sitä, mitä asiakas selvittää, siihen, mitä vyöhyke todella tallentaa, ja se erottaa välimuistiongelman autoritatiivisesta ongelmasta.

Kolme kelloa, ei yksi

Julkaisu ja päivitys on ensimmäinen kello: milloin valtuutettu päivittäjä ilmoittaa, että osoite on muuttunut. Välimuistin TTL on toinen: kuinka kauan selvittimellä on lupa pitää saamansa vastaus. Autoritatiivinen siivous on kolmas: miten vanhentuneet tietueet poistetaan rekisteröintiprosessilla tai vanhenemisen ja siivouksen kautta.

Nämä kellot ovat riippumattomia, ja niiden sekoittaminen tuottaa korjauksia, jotka eivät toimi. Muutos yhdessä on näkymätön kahdelle muulle. Lyhyt TTL lyhentää välimuistiin tallennetun vastauksen ikää eikä anna mitään päivitysoikeutta. Siivous poistaa tietueet, joita ei päivitetty, eikä se voi korjata tietuetta, jota oikea omistaja ei koskaan kirjoittanut.

Aseta TTL sen mukaan, kuinka nopeasti lukijoiden on nähtävä muutos, ja siivous sen mukaan, kuinka kauan hylätyllä laitteella pitäisi olla nimi. Kumpikaan luku ei päätä, kuka saa kirjoittaa tietueen, eikä mikään TTL-arvo muuta osoitteiden jakamista DNS-hallinnan oikeuksiksi.

Suunnittele julkaisu liikkuvalle laitteelle

Päätä, mitkä liitännät osallistuvat rekisteröintiin. Koti-Wi-Fi-osoite, VPN-osoite ja vanha toimisto-osoite palvelevat eri yleisöjä, ja kaikkien julkaiseminen tuottaa nimen, jolla on useita eriarvoisen hyödyllisiä vastauksia. Rekisteröi liitännät, joihin aiottu lukijakunta todella pääsee.

Pidä vakaa tietokonenimi identiteettinä ja käsittele osoitteita sen ominaisuuksina. Säilytä toimialueen etsintätietueet, joita laite tarvitsee, äläkä poista rekisteröintiä kokonaan käytöstä ratkaistaksesi kaksoistietueiden ongelmaa, jonka käyttöoikeuksien muutos korjaisi.

Kirjoita jakaja, päivittäjä ja siivouksen omistaja yhteen tietueeseen, aiotut lukijat nimettyinä. Kun nimi osoittaa taas väärään osoitteeseen, se tietue kertoo, mitä kolmesta sinun pitää tarkistaa ensin, sen sijaan että aloittaisit tutkinnan uudelleen.