Tres publicadores poden poñer o enderezo VPN dun controlador de dominio no DNS

Tres compoñentes distintos dun controlador de dominio con varias interfaces poden pór o mesmo enderezo VPN no DNS, e fallan de forma independente. Compara o que publica cada un en lugar de confiar na caixa do adaptador, que só controla un deles. O síntoma é idéntico en todos os casos: un cliente resolve o nome, recibe o enderezo do túnel e non pode chegar ao controlador de dominio. Quen o publicou decide como detelo.

Un axuste, un servizo e un rol; tres publicadores, tres interruptores.

Comeza polo rexistro, non pola caixa

Consulta o nome completo do servidor afectado a través do servidor DNS que os clientes usan de verdade, e anota todos os enderezos devoltos. Contrasta cada enderezo devolto coas interfaces LAN e de túnel reais do servidor e coas redes nas que están os clientes. Un enderezo pode ser perfectamente válido en local e inalcanzable para os clientes que importan. Os fallos de autenticación intermitentes son un síntoma habitual, porque os clientes reciben ou elixen enderezos distintos en intentos distintos.

Que a máquina resolva ben o seu propio nome demostra moi pouco. A proba que importa execútase desde as redes dos clientes.

O adaptador é só un publicador

As propiedades TCP/IP do adaptador teñen unha caixa para rexistrar o enderezo desa conexión, e desmarcala silencia exactamente un publicador. Non detén os demais, e por iso o rexistro pode reaparecer tras un reinicio. Se o controlador de dominio tamén executa o servizo DNS, ese servizo ten a súa propia configuración de escoita e os seus propios rexistros de servidor de nomes. A guía de Microsoft para contornos con varias interfaces trata o comportamento da interface, o servizo DNS e Netlogon como publicadores relevantes separados.

Tres interruptores, tres propietarios, e só un deles vive na páxina de propiedades do adaptador.

O servizo DNS ten os seus propios enderezos

Un servidor DNS ao que se lle di que escoite nun enderezo VPN segue publicándoo nos seus propios rexistros, diga o que diga a caixa do adaptador. Aliña os enderezos de escoita do servizo coas interfaces previstas e revisa ao mesmo tempo as entradas de servidor de nomes da zona. Cambiar as escoitas pode interromper clientes que están a usar agora mesmo un enderezo que retiras, así que establece primeiro quen depende de cada unha. Borrar unha escoita só porque é un enderezo VPN pode cortar os clientes que querías axudar.

Netlogon, e o descubrimento de controladores de dominio en xeral, tamén rexistran enderezos como parte das súas propias funcións. Non suprimas rexistros en todo o dominio nin copies unha solución antiga de rexistro de acceso remoto sen confirmar que se aplica á túa versión e rol.

Propiedade antes da limpeza

Arranxa o publicador antes de quitar o rexistro, ou o seguinte evento de rexistro volverao pór e o exercicio repetirase. Elimina as entradas obsoletas mediante o proceso do propietario do DNS e ten en conta a caché e o envellecemento. Comproba desde as redes dos clientes, cubrindo o descubrimento de dominio e a aplicación que fallou orixinalmente, e despois provoca o mesmo evento VPN que produciu o enderezo a primeira vez.

O que queres ao final é un conxunto coñecido de enderezos e escoitas publicadas, co rexistro de dominio cotián facendo aínda o seu traballo. Unha máquina cuxo nome casualmente se resolve ben xusto despois dunha limpeza manual non é iso.

Anota que publicador era o responsable, que rexistros cambiaron e que clientes se probaron. O seguinte servidor con varias interfaces terá os mesmos tres sospeitosos.