Twa DNS-tsjinners op ien adapter diele gjin nammeromten

It opsommen fan twa resolvers op ien adapter liket in manier om it iene domein nei de iene tsjinner en it oare domein nei de oare te stjoeren, en neat yn 'e resolverlist wurket sa. Windows lost op by namme, en it beslút hokker tsjinner frege wurdt komt út beliedsobjekten ynstee fan út in oardere adreslist. It tinkmodel dat ferfongen wurde moat is de rige: der is gjin earste tsjinner foar domein A en twadde tsjinner foar domein B. Der is in regelbondel per nammeromte dy't de tsjinners eksplisyt neamt, en as dy regels ienris bestean, is de adapterlist net mear nijsgjirrich.

De myte: twa adressen diele twa domeinen

It leauwen oerlibbet om't it by tafal wurket as ien tsjinner alles beantwurdet en de twadde allinnich in fallback is. In klant freget de earste tsjinner, dy tsjinner stjoert troch of rekurset, en it antwurd komt oan; nimmen merkt hokker resolver de sône eins hie. De yllúzje brekt op it stuit dat de twa nammeromten yn aparte partikuliere sônes libje sûnder trochstjoering tusken har, want dan antwurdet de earste tsjinner mei foech dat de namme net bestiet. In negatyf antwurd fan 'e earste tsjinner is gjin fallback-sinjaal, om't de klant in definityf antwurd kriget en gjin flater.

In oardere list hat gjin begryp fan in domein, dus kin it de bedoeling net útdrukke. Wat de list echt regelet, is hokker tsjinner earst frege en hokker twadde besocht wurdt, en beide antwurden jilde like folle foar elke namme.

Wat Windows eins brûkt om te kiezen

De tabel foar namme-oplossingsbelied past in namme oan konfigurearre nammeromten en kiest de tsjinners en opsjes foar dy oerienkomst. Regels kinne lokaal konfigurearre, troch groepsbelied levere of troch in VPN-profyl jûn wurde, en it effektive belied is in kombinaasje ynstee fan ien list. Dêrom is de earste diagnostyk altyd de effektive tastân: in lokaal oanmakke regel dy't ferliest fan in beheard belied makket in laboratoarium dat him hielendal net hâldt sa't syn konfiguraasje suggerearret. Regels wurde ek op spesifisiteit matche, sadat in brede nammeromte-yngong in smelle oerskadeje kin op manieren dy't ûnsichtber binne yn in list fan konfigurearre items. It lêzen fan 'e effektive oarder is de iennige manier om te sjen hokker regel wint.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

It earste kommando listet op wat op 'e masine konfigurearre is; it twadde lit sjen wat de klant echt tapasse sil, ynklusyf yngongen dy't fan earne oars kamen. As de effektive útfier behearde nammeromten befettet, is de eigner fan dat belied it goede plak om de feroaring te freegjen, net de lokale regellist. Beide kommando's lêze allinnich tastân, dus se rinne foar't immen it mei de feroaring iens is kostet neat.

Ien regel per nammeromte, hâld it objekt

Nei't de effektive tastân begrepen is, meitsje ien regel per nammeromte en bewarje it objekt dat elk kommando weromjout. Werjefte-nammen binne labels foar minsken, en de unike identifikaasje yn it weromjûn objekt is dêrnei it betroubere wiskdoel. Skriuw beide identifikaasjes yn deselde feroaringsnotysje dy't de nammeromten en resolvers fêstleit, want de sesje dy't se makke hat sil net de sesje wêze dy't oprommet.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

It liedende punt betsjut in suffiks-oerienkomst, dus de regel dekt app.svc.internal.example en alles oars dêrûnder. De twa adressen hjir hearre by it eigen routingplan fan dit laboratoarium; in regel makket gjin sône, ynstallearret gjin rûte en autorisearret de applikaasje dy't úteinlik ferbynt net, en de referinsje foar Add-DnsClientNrptRule dokumintearret krekt hokker parameter wat docht.

Tink oan wat dizze kommando's net dogge: se binne masinebreed, se binne net beheind ta in VPN-sesje, en se oerlibje it sluten fan it finster. In laboratoarium dat dit ferjit lit belied efter nei't de tunnel fuort is.

Bewiisje dat de klant de tsjinner keas

Freegje in spesifike tsjinner oft er in namme ken bewiist dat de tsjinner antwurdzje kin, wat net deselde bewearing is as dat de klant dy tsjinner keas. De test dy't fan belang is, lost in echte namme op fia it gewoane klantpaad en befêstiget dan hokker resolver it behannele, ideaal wylst de tunnel dy't de rûte leveret oan is. As de tunnel del is, wiist in goed beheinde regel noch altyd nei in net berikbere tsjinner, wat in routingprobleem is en gjin beliedsprobleem. Test beide tastannen sadat se letter útinoar te hâlden binne.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Let op cache-antwurden út 'e perioade foar't de regels bestiene, en let op applikaasjes dy't de systeemresolver hielendal omgeane mei har eigen fersifere DNS. Syksuffiksen binne noch in aparte funksje: in regel kin in resolver kieze foar in folsleine namme sûnder Windows te learen in bleate hostnamme yn dy nammeromte út te wreidzjen.

Ferwiderje krekt wat jo makken

Opromme is it plak dêr't in laboratoarium in warskôgjend ferhaal wurdt. Alle regels op 'e masine wiskje is fluch en hellet belied fuort dêr't immen oars fan ôfhinklik is, dus brûk de identifikaasjes dy't fêstlein waarden doe't de regels makke waarden, en lês de effektive tastân dêrnei opnij om te befêstigjen dat de masine werom is wêr't er begon. As de sesje dy't se makke hat fuort is, is de feroaringsnotysje it iennige plak dêr't de identifikaasjes bestean. Dat is de reden om se op te skriuwen foar't it earste kommando rint, net dêrnei.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Foar in útrulling en net foar in laboratoarium jildt de fraach nei libbensdoer likefolle as de regel. In VPN-profyl kin de nammeromte-regels drage en kieze oft se nei de ferbining bestean bliuwe; in regel dy't bestean bliuwt wylst de resolver net berikber is, lit klanten in deade tsjinner foarkar jaan, en in oan 'e ferbining beheinde regel ferdwynt as de tunnel dat docht. Beslis hokker fan dy gedragingen de tsjinst nedich hat, markearje wa't de regel besit, en lit de ferdieling fan foech dokumintearre njonken it profyl ynstee fan yn immens ûnthâld fan in laboratoarium.