שלושה מפרסמים יכולים להציב את כתובת ה-VPN של בקר תחום ב-DNS

שלושה רכיבים שונים בבקר תחום עם כמה ממשקים יכולים להציב את אותה כתובת VPN ב-DNS, והם נכשלים באופן בלתי תלוי. השוו מה כל אחד מפרסם במקום לסמוך על תיבת הסימון של המתאם, ששולטת רק באחד מהם. התסמין זהה בכל מקרה: הלקוח מפענח את השם, מקבל את כתובת המנהרה ואינו מצליח להגיע לבקר התחום. מי פרסם אותה הוא שקובע איך לעצור את זה.

הגדרה אחת, שירות אחד ותפקיד אחד; שלושה מפרסמים, שלושה מתגים.

התחילו ברשומה, לא בתיבת הסימון

שאלו את השם המלא של השרת המושפע דרך שרת ה-DNS שהלקוחות באמת משתמשים בו, ורשמו כל כתובת שמוחזרת. השוו כל כתובת שמוחזרת לממשקי ה-LAN והמנהרה בפועל של השרת ולמרשתות שבהן נמצאים הלקוחות. כתובת יכולה להיות תקפה לחלוטין מקומית ועדיין בלתי נגישה ללקוחות החשובים. כשלי אימות לסירוגין הם תסמין נפוץ, מפני שלקוחות מקבלים או בוחרים כתובות שונות בניסיונות שונים.

העובדה שהמכונה מפענחת נכון את שמה שלה מוכיחה מעט מאוד. המבחן החשוב מבוצע מרשתות הלקוחות.

המתאם הוא רק מפרסם אחד

מאפייני ה-TCP/IP של המתאם כוללים תיבת סימון לרישום הכתובת של אותו חיבור, והסרת הסימון משתיקה בדיוק מפרסם אחד. היא לא עוצרת את האחרים, ולכן הרשומה עלולה להופיע שוב לאחר אתחול. אם בקר התחום מריץ גם את שירות ה-DNS, לשירות הזה יש תצורת האזנה משלו ורשומות שרת שמות משלו. ההנחיות של Microsoft לסביבות עם כמה ממשקים מתייחסות להתנהגות הממשק, לשירות ה-DNS ול-Netlogon כמפרסמים נפרדים ורלוונטיים.

שלושה מתגים, שלושה בעלים, ורק אחד מהם חי בעמוד המאפיינים של המתאם.

לשירות ה-DNS יש כתובות משלו

שרת DNS שנאמר לו להאזין בכתובת VPN ממשיך לפרסם אותה ברשומות שלו, יהיה אשר יהיה מה שתיבת הסימון של המתאם טוענת. יישרו את כתובות ההאזנה של השירות עם הממשקים המיועדים, ובמקביל עברו על רשומות שרת השמות של האזור. שינוי המאזינים עלול לשבש לקוחות שמשתמשים כעת בכתובת שאתם מסירים, לכן קבעו תחילה מי תלוי באיזו. מחיקת מאזין רק מפני שזו כתובת VPN עלולה לנתק את הלקוחות שרציתם לעזור להם.

Netlogon, וזיהוי בקרי תחום בכלל, רושמים גם הם כתובות כחלק מתפקידיהם. אל תדכאו רישומים בכל התחום ואל תעתיקו פתרון רישום ישן לגישה מרחוק בלי לוודא שהוא חל על הגרסה והתפקיד שלכם.

בעלות לפני ניקוי

תקנו את המפרסם לפני שמוחקים את הרשומה, אחרת אירוע הרישום הבא יחזיר אותה והתרגיל יחזור. הסירו רשומות מיושנות דרך התהליך של בעל ה-DNS והביאו בחשבון מטמון והתיישנות. בדקו מרשתות הלקוחות, כולל גילוי התחום והיישום שנכשל במקור, ואז הפעילו את אותו אירוע VPN שיצר את הכתובת לראשונה.

מה שאתם רוצים בסוף הוא סט ידוע של כתובות ומאזינים מפורסמים, כשהרישום היומיומי של התחום ממשיך לעשות את עבודתו. מכונה ששמה במקרה מפוענח נכון מיד לאחר ניקוי ידני אינה זה.

רשמו איזה מפרסם היה אחראי, אילו רשומות השתנו ואילו לקוחות נבדקו. לשרת הבא עם כמה ממשקים יהיו אותם שלושה חשודים.