三つの発行元がドメインコントローラーの VPN アドレスを DNS に登録できる

複数のインターフェースを持つドメインコントローラーでは、三つの異なるコンポーネントが同じ VPN アドレスを DNS に登録でき、それぞれが独立して失敗します。三つのうち一つしか制御しないアダプターのチェックボックスを信じるのではなく、各コンポーネントが何を公開しているかを比較してください。症状はどの場合も同じです。クライアントは名前を解決し、トンネルのアドレスを受け取り、ドメインコントローラーに到達できません。誰が公開したかによって、止め方が決まります。

一つの設定、一つのサービス、一つの役割。三つの発行元、三つのスイッチです。

チェックボックスではなく、レコードから始める

影響を受けているサーバーの完全な名前を、クライアントが実際に使っている DNS サーバー経由で問い合わせ、返ってきたアドレスをすべて記録します。返ってきた各アドレスを、サーバーの実際の LAN とトンネルのインターフェース、およびクライアントがいるネットワークと突き合わせます。アドレスはローカルでは完全に有効でも、重要なクライアントからは到達できないことがあります。断続的な認証エラーはよくある症状です。クライアントは試行ごとに異なるアドレスを受け取ったり選んだりするからです。

マシンが自分の名前を正しく解決できても、ほとんど何も証明しません。重要なのはクライアントのネットワークから行うテストです。

アダプターは発行元の一つにすぎない

アダプターの TCP/IP のプロパティには、その接続のアドレスを登録するチェックボックスがあり、チェックを外すとちょうど一つの発行元が止まります。ほかの発行元は止まらないため、再起動後にレコードが再び現れることがあります。ドメインコントローラーが DNS サービスも実行している場合、そのサービスには独自の待ち受け設定と独自のネームサーバーレコードがあります。Microsoft の複数インターフェース環境向けのガイダンスは、インターフェースの動作、DNS サービス、Netlogon を別々の関連する発行元として扱っています。

三つのスイッチ、三人の所有者。そのうちアダプターのプロパティページにいるのは一人だけです。

DNS サービスには独自のアドレスがある

VPN アドレスで待ち受けるよう指示された DNS サーバーは、アダプターのチェックボックスが何と言おうと、自分のレコードでそのアドレスを公開し続けます。サービスの待ち受けアドレスを想定したインターフェースに合わせ、同時にゾーンのネームサーバーエントリも見直してください。待ち受けを変えると、いま削除しているアドレスを使っているクライアントを中断させる可能性があるため、まずどれに誰が依存しているかを確認します。VPN アドレスというだけで待ち受けを削除すると、助けようとしたクライアントを切り離すことがあります。

Netlogon や、一般にドメインコントローラーの検出も、それぞれの役割の一部としてアドレスを登録します。ドメイン全体で登録を抑止したり、古いリモートアクセスの登録回避策を、自分のバージョンと役割に当てはまるか確認せずに流用したりしないでください。

後片付けより先に所有者を決める

レコードを削除する前に発行元を直してください。そうしないと、次の登録イベントで元に戻り、同じ作業を繰り返すことになります。古いエントリは DNS の所有者の手順で削除し、キャッシュとエージングも考慮します。クライアントのネットワークから、ドメインの検出と最初に失敗したアプリケーションを含めて確認し、そのうえで最初にアドレスを生んだのと同じ VPN イベントを起こします。

最終的に欲しいのは、公開されるアドレスと待ち受けの既知の集合であり、日々のドメイン登録はそのまま機能している状態です。手作業の後片付けの直後にたまたま名前が正しく解決するマシンは、それではありません。

どの発行元が原因だったのか、どのレコードが変わったのか、どのクライアントを試したのかを記録します。次に複数インターフェースのサーバーを扱うときも、同じ三人の容疑者が並びます。