Қоғамдық DNS жұмыс істеуі Active Directory табылады дегенді білдірмейді

VPN қосылады, браузер қоғамдық сайтты ашады, ал ноутбук әлі де доменге кіре алмайды. Әдеттегі қорытынды — атаулар шешілетіндіктен DNS дұрыс. Ол дұрыс емес, және себебі браузер сынағы доменге қосылған клиентке қажет тізбектің бір ғана сұрауын тексереді. Доменді табу алдымен қызмет жазбаларын, содан кейін сол жазбалар атайтын контроллерлердің мекенжайларын, содан кейін сол контроллерлер тыңдайтын порттарға маршрутты сұрайды. Қоғамдық жауап бұл қадамдардың ешқайсысын қанағаттандырмайды.

Миф: атаулар шешіледі, демек DNS бітті

Қоғамдық сайттың шешілуі қандай да бір шешуші қоғамдық аймақтағы атау үшін бір A немесе AAAA сұрауына жауап бергенін ғана білдіреді. Active Directory сол протоколды басқа сұрақ үшін пайдаланады: домен қызметтері қайда және бұл клиент қай контроллерді қолдануы керек. Сұрақ домен атымен аталған аймақ астындағы SRV жазбалары ретінде өрнектеледі, ал рекурсивті қоғамдық шешушінің оларды ұстауға ешбір себебі жоқ.

Жазба жоқ болса, шешуші теріс жауап қайтарады, бұл үзіліс емес, жарамды DNS жауабы. Содан кейін клиент бар болса, кэштелген контроллер ақпаратына оралады, және дәл сондықтан үстел компьютері сағаттар бойы дұрыс көрініп, қайта жүктеуден немесе құпиясөзді өзгертуден кейін сәтсіздікке ұшырауы мүмкін.

Домен клиенті іс жүзінде нені сұрайды, ретімен

corp.example сияқты домен үшін жалпы локатор сұрауы — _ldap._tcp.dc._msdcs.corp.example. SRV жауаптары үміткер контроллерлерді және олардың порттарын атайды, содан кейін клиентке байланыс ашпас бұрын сол хост атаулары үшін мекенжай жазбалары қажет. Сайтты ескеретін табу сайт субдомені астына сұраулар қосады, ал жауаптар қай контроллерлердің басым екенін анықтайды, қайсысы міндетті екенін емес.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Тізбекті осы ретпен, мәселе туындаған желіден бастап қадағалаңыз. Қолжетімсіз мекенжайға шешілетін хост атауы — маршруттау ақауы, DNS ақауы емес. Локатор жазбалары жетіспейтін қолжетімді контроллер — DNS ақауы, маршруттау ақауы емес. Екеуі де ұқсас пайдаланушы шағымдарын және мүлдем басқа жөндеулерді тудырады.

Неге қоғамдық шешуші жауап береді, ал кіру бәрібір бұзылады

Егер адаптер клиентке қоғамдық шешуші берсе, қоғамдық атаулар жұмыс істейді, ішкі атаулар кеңістігі істемейді. Екінші қоғамдық шешуші қосу көмектеспейді, өйткені екеуі де аймақты ұстамайды. «Алдымен ішкі, содан кейін қоғамдық» деген әдеттегі тізім де әр домен үшін ереже ретінде әрекет етпейді: бірінші сервердің теріс жауабы заңды жауап, және клиент жауап бос болды деген себеппен ғана екінші серверді қайта сынамайды.

Екі ішкі шешуші, егер екеуін жүргізсеңіз, AD атаулар кеңістігін ұстауы және клиенттің қазіргі желісінен қолжетімді болуы тиіс. Бөлінген туннель жобалары дәл осыны бұзады: VPN туннельдің ішкі желісін тасымалдауы мүмкін, ал ішкі шешуші туннель маршруттамайтын префиксте тұрса, сұрау оған жауап бере алмайтын шешушіге кетеді.

Windows сондай-ақ нақты атаулар кеңістіктерін нақты серверлерге бағыттай алатын атауды шешу саясатын қолданады, ал адаптер көрсететін DNS мекенжайлары бүкіл әңгіме емес. Сол саясатты өзгертпей адаптер тізімін өзгерту тиімді конфигурацияны қозғалмай қалдыруы мүмкін, сондықтан қолданылғандай көрінетін түзетудің ешбір әсері болмайды.

Туннельдің DNS-ін және оның маршруттарын сәйкес ұстаңыз

Шешушіні жіберетін, бірақ оны қамтитын префиксті жібермейтін VPN профилі клиент жете алмайтын шешушіні жасайды; префиксті жіберіп, шешушіні жібермейтін профиль клиентті жергілікті шешушіден сұрауға қалдырады. Жұпты бір конфигурациялық элемент ретінде қарастырыңыз және әр профиль өзгерісінен кейін екеуін де тексеріңіз, өйткені қайта реттелген жіберу немесе жаңа бөлінген туннель саясаты оларды ажыратуы мүмкін.

Клиенттің жіберілген параметрмен не істейтінін де тексеріңіз. Кейбір клиенттер DNS серверін тек туннель интерфейсіне қолданып, физикалық адаптердің шешушісін орнында қалдырады, сондықтан қайсысы жеңетіні интерфейс метрикасына және сұралатын атауға байланысты. Егер ішкі жауап физикалық адаптер өшірілгенде ғана келсе, түзетілуі тиіс механизм — сол, домен жазбалары емес.

Табу шақыруымен және бір тірі операциямен қабылдаңыз

Пайдалы қабылдау сынағы локатор сұрауын іске қосады, содан кейін бір нақты аутентификацияланған операцияны орындайды, мысалы каталогқа негізделген ортақ ресурсты ашу немесе билет сұрау. Мұны VPN ауысуының алдында және одан кейін қайта, сол машинада, арасында қайта жүктеусіз жасаңыз. Кэштелген тіркелгі деректері мен бұрыннан ашық сеанстар бұзылған жолды қуана сау етіп көрсетеді, сондықтан үстелге сәтті кіру — сынақ емес.

Microsoft-тың DNS клиентіне арналған ұсынымдары ішкі атаулар кеңістігін шешу мен қоғамдық сұрауларды жоғарыға беру арасында дәл осы шекараны жүргізеді, және VPN енгізілгенде сақталуы тиіс тәртіп — осы.

Егер ақау тек баяу болса, сәтсіз емес, кідірісті диагностикадан бөлек ұстаңыз. Табу кезіндегі уақыттың бітуі қолжетімсіз контроллерден, бұғатталған порттан немесе кеш жауап беретін шешушіден келуі мүмкін, және олардың ешқайсысы тек күтумен дәлелденбейді. Шешуші параметрін өзгертуден бұрын нақты сұрауды, оның жауабын және қосылу әрекетін жазып алыңыз.