Tveir DNS-þjónar á einum millistykki skipta ekki nafnrýmum

Að skrá tvo leysa á einum millistykki lítur út eins og leið til að senda eitt lén á einn þjón og annað lén á hinn, og ekkert í listanum yfir leysa virkar þannig. Windows leysir eftir nafni, og ákvörðunin um hvaða þjón á að spyrja kemur frá stefnuhlutum frekar en frá röðuðum vistfangalista. Hugmyndalíkanið sem á að skipta út er biðröðin: það er enginn fyrsti þjónn fyrir lén A og enginn annar þjónn fyrir lén B. Það er reglusett fyrir hvert nafnrými sem nefnir þjónana skýrt, og þegar þær reglur eru til hættir millistykkið að vera áhugavert.

Goðsögnin: tvö vistföng skipta tveimur lénum

Trúin lifir af því hún virkar fyrir tilviljun þegar einn þjónn svarar öllu og hinn er aðeins varaleið. Biðlari spyr fyrsta þjóninn, sá þjónn framsendir eða spyr endurkvæmt, og svarið berst; enginn tekur eftir því hvaða leysir hafði svæðið í raun. Blekkingin brestur á þeirri stundu þegar nafnrýmin tvö búa í aðskildum einkasvæðum án framsendingar sín á milli, því þá svarar fyrsti þjónninn með umboði að nafnið sé ekki til. Neikvætt svar frá fyrsta þjóninum virkjar ekki varaleiðina, þar sem biðlarinn fékk endanlegt svar en ekki bilun.

Röðuðum lista er ekki kunnugt um lén, svo hann getur ekki tjáð ætlunina. Það sem listinn stjórnar í raun er hvaða þjóns er spurt fyrst og hvaða er reynt næst, og bæði svörin gilda jafnt um hvert nafn.

Hvað Windows notar raunverulega til að velja

Taflan um stefnu nafnupplausnar passar nafni við skilgreind nafnrými og velur þjónana og valkostina fyrir þá samsvörun. Reglur er hægt að skilgreina staðbundið, afhenda með hópstefnu eða fá frá VPN-sniði, og virka stefnan er samsetning frekar en einn listi. Þess vegna er fyrsta greiningin alltaf virkt ástand: regla sem búin er til staðbundið og tapar fyrir stýrðri stefnu býr til rannsóknarstofu sem hegðar sér alls ekki eins og stilling hennar gefur til kynna. Reglur eru líka bornar saman eftir sérhæfni, svo breið nafnrýmisfærsla getur skyggt á þrönga á þann hátt sem sést ekki í lista yfir skilgreind atriði. Að lesa virka röðina er eina leiðin til að sjá hvaða regla sigrar.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Fyrsta skipunin listar það sem er skilgreint á vélinni; önnur sýnir hvað biðlarinn mun í raun beita, þar á meðal færslur sem komu annars staðar frá. Ef virka úttakið inniheldur stýrð nafnrými er eigandi þeirrar stefnu rétti staðurinn til að biðja um breytinguna, ekki staðbundni regnulistinn. Báðar skipanirnar lesa aðeins ástand, svo að keyra þær áður en einhver samþykkir breytinguna kostar ekkert.

Ein regla fyrir hvert nafnrými, geymdu hlutinn

Þegar virka ástandið er skilið, búðu til eina reglu fyrir hvert nafnrými og geymdu hlutinn sem hver skipun skilar. Sýnileg nöfn eru merki fyrir fólk, og einkvæmi auðkennirinn í skilaða hlutnum er áreiðanlegt eyðingarmark síðar. Skrifaðu bæði auðkennin í sömu breytingaskýrsluna sem skráir nafnrýmin og leysana, því lotan sem bjó þau til verður ekki lotan sem hreinsar.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Fremsti punkturinn táknar samsvörun viðskeytis, svo reglan nær yfir app.svc.internal.example og hvað sem er undir því. Vistföngin tvö hér tilheyra eigin leiðaráætlun þessarar rannsóknarstofu; regla býr ekki til svæði, setur ekki upp leið og heimilar ekki forritið sem tengist að lokum, og tilvísunin í Add-DnsClientNrptRule skjalfestir nákvæmlega hvaða færibreyta gerir hvað.

Taktu eftir því sem þessar skipanir gera ekki: þær eru fyrir alla vélina, þær takmarkast ekki við VPN-lotu, og þær lifa af að glugganum er lokað. Rannsóknarstofa sem gleymir þessu skilur stefnu eftir þegar göngin eru farin.

Sannaðu að biðlarinn valdi þjóninn

Að spyrja tiltekinn þjón hvort hann þekki nafn sannar að þjónninn geti svarað, sem er ekki sama fullyrðing og að biðlarinn hafi valið þann þjón. Prófið sem skiptir máli leysir raunverulegt nafn eftir venjulegri leið biðlarans og staðfestir síðan hvaða leysir annaðist það, helst á meðan göngin sem veita leiðina eru uppi. Ef göngin eru niðri bendir rétt afmörkuð regla samt á óaðgengilegan þjón, sem er leiðarvandamál en ekki stefnuvandamál. Prófaðu bæði ástandin svo hægt sé að greina þau síðar.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Fylgstu með skyggðum svörum frá tímabilinu áður en reglurnar voru til, og fylgstu með forritum sem fara algjörlega fram hjá leysi kerfisins með eigin dulkóðuðu DNS. Leitarniðskeyti eru annar aðskilinn eiginleiki: regla getur valið leysi fyrir fullt nafn án þess að kenna Windows að víkka bert hýsilnafn inn í það nafnrými.

Fjarlægðu nákvæmlega það sem þú bjóst til

Hreinsun er þar sem rannsóknarstofa verður aðvörunarsaga. Að eyða hverri reglu á vélinni er fljótt og fjarlægir stefnu sem einhver annar treystir á, svo notaðu auðkennin sem voru skráð þegar reglurnar voru búnar til, og lestu virka ástandið aftur til að staðfesta að vélin sé komin þangað sem hún byrjaði. Ef lotan sem bjó þau til er farin er breytingaskýrslan eini staðurinn þar sem auðkennin eru. Þess vegna á að skrifa þau niður áður en fyrsta skipunin keyrir, ekki eftir.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Fyrir uppsetningu en ekki rannsóknarstofu skiptir spurningin um líftíma jafn miklu máli og reglan. VPN-snið getur borið nafnrýmisreglurnar og valið hvort þær vara út yfir tenginguna; regla sem varir á meðan leysirinn er óaðgengilegur lætur biðlara kjósa dauðan þjón, og regla sem takmarkast við tengingu hverfur þegar göngin gera það. Ákveddu hvorrar hegðunar þjónustan þarf, merktu hver á regluna, og láttu skiptingu umboðsins vera skjalfesta við hlið sniðsins frekar en í minni einhvers um rannsóknarstofu.