Virkandi almenn DNS þýðir ekki að Active Directory sé finnanlegt

VPN tengist, vafrinn opnar opinbera vefsíðu og fartölvan getur samt ekki skráð sig inn í lénið. Venjuleg ályktun er að DNS sé í lagi því nöfn leysast. Það er ekki í lagi, og ástæðan er sú að próf í vafra prófar aðeins eina uppflettingu úr keðju sem biðlarinn sem er tengdur léninu þarf. Uppgötvun léns biður fyrst um þjónustufærslur, svo vistföng stýringanna sem þær færslur nefna, og að lokum slóð að þeim gáttum sem stýringarnar hlusta á. Opinbert svar uppfyllir enga þessara þrepa.

Goðsögnin: nöfn leysast, svo DNS er afgreitt

Opinber vefsíða sem leysist segir aðeins að einhver leysir hafi svarað einni A- eða AAAA-fyrirspurn fyrir nafn í opinberu svæði. Active Directory notar sama samskiptareglur fyrir aðra spurningu: hvar eru þjónustur lénsins og hvaða stýringu á þessi biðlari að nota. Spurningin er sett fram sem SRV-færslur undir svæði sem heitir eftir léninu, og endurkvæmur opinber leysir hefur enga ástæðu til að geyma þær.

Þegar færslan vantar skilar leysirinn neikvæðu svari, sem er gilt DNS-svar en ekki bilun. Biðlarinn fellur þá aftur á stýringarupplýsingar í skyndiminni ef hann hefur þær, og einmitt þess vegna getur skjáborðsvél litið vel út í klukkustundir og bilað eftir endurræsingu eða lykilorðsbreytingu.

Hvað biðlari léns biður í raun um, í röð

Fyrir lén eins og corp.example er almenna leitarfyrirspurnin _ldap._tcp.dc._msdcs.corp.example. SRV-svörin nefna mögulegar stýringar og gáttir þeirra, og þá þarf biðlarinn vistfangafærslur fyrir þessi hýsitölvunöfn áður en hann getur opnað tengingu. Uppgötvun sem tekur tillit til svæðis bætir fyrirspurnum undir undirléni svæðisins, og svörin ráða því hvaða stýringar eru valdir, ekki hver er skilyrtur.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Fylgdu keðjunni í þessari röð, frá netinu þar sem vandamálið verður. Hýsitölvunafn sem leysist á óaðgengilegt vistfang er villa í leiðsetningu, ekki DNS-villa. Aðgengileg stýring sem vantar leitartákn sín er DNS-villa, ekki villa í leiðsetningu. Bæði valda svipuðum kvörtunum notenda og gjörólíkum viðgærslum.

Hvers vegna opinber leysir svarar og innskráning brotnar samt

Ef millistykkið gefur biðlaranum opinberan leysi virka opinber nöfn en innra nafnrýmið ekki. Að bæta við öðrum opinberum leysi hjálpar ekki, því hvorugur geymir svæðið. Heldur ekki venjulegi listinn „innra fyrst, opinbert svo“ hagar sér eins og regla fyrir hvert lén: neikvætt svar frá fyrsta þjóninum er lögmætt svar, og biðlarinn reynir ekki annan þjóninn aftur bara því svarið var tómt.

Báðir innri leysarnir, ef þú keyrir tvo, verða að geyma nafnrými AD og vera aðgengilegir frá núverandi neti biðlarans. Það er það sem hönnun klofinna gönga brýtur: VPN getur borið undirnet ganganna á meðan innri leysirinn situr á forskeyti sem gangarnir leiðsetja ekki, svo fyrirspurnin fer út til leysis sem getur ekki svarað henni.

Windows beitir einnig stefnu um nafnleysingu sem getur beint tilteknum nafnrýmum til tiltekinna þjóna, og DNS-vistföngin sem millistykkið sýnir eru ekki öll sagan. Að breyta lista millistykksins án þess að breyta þeirri stefnu getur látið virka uppsetninguna ósnerta, og þess vegna hefur viðbót sem virðist notuð engin áhrif.

Haltu DNS ganganna og leiðum þeirra í samræmi

VPN-snið sem ýtir leysi en ekki forskeytinu sem inniheldur hann býr til leysi sem biðlarinn nær ekki; snið sem ýtir forskeytinu án leysis lætur biðlarann spyrja þann staðbundna. Meðhöndlaðu parið sem eina uppsetningareiningu og athugaðu bæði eftir hverja sniðsbreytingu, því endurraðað ýting eða ný stefna klofinna ganga getur skilið þau að.

Athugaðu líka hvað biðlarinn gerir við stillinguna sem ýtt var. Sumir biðlarar beita DNS-þjóninum aðeins á gangaviðmótið og láta leysi líkamlega millistykksins vera, svo það sem vinnur fer eftir mælikvarða viðmótsins og nafninu sem spurt er um. Ef innra svarið kemur aðeins þegar líkamlega millistykkið er óvirkt, er það kerfið sem á að laga, ekki lénsfærslurnar.

Samþykktu með uppgötvunarkalli og einni lifandi aðgerð

Nýtilegt samþykkispróf keyrir leitarfyrirspurnina og framkvæmir svo eina raunverulega auðkennda aðgerð, eins og að opna deilingu sem er studd af skrá, eða biðja um miða. Gerðu það fyrir VPN-skiptinguna og aftur eftir hana, á sömu vél, án endurræsingar á milli. Skyndiminnisgeymd skilríki og þegar opnar lotur láta brotna slóð gjarnan líta heilbrigða út, svo árangursrík innskráning á skjáborðið er ekki prófið.

Ráðleggingar Microsoft fyrir DNS-biðlarann draga sömu línu milli þess að leysa innra nafnrýmið og að senda opinberar fyrirspurnir upp, og það er fyrirkomulagið sem á að varðveita þegar VPN er tekið í notkun.

Ef bilunin er aðeins hæg en ekki misheppnuð, haltu töfinni aðgreindri frá greiningunni. Tímamörk meðan á uppgötvun stendur geta komið frá óaðgengilegri stýringu, lokuðu gátt eða leysi sem svarar seint, og ekkert þeirra er sannað af biðinni einni. Skráðu raunverulegu fyrirspurnina, svar hennar og tengingartilraunina áður en þú breytir stillingu leysis.