Бір адаптердегі екі DNS сервері атаулар кеңістігін бөлмейді

Бір адаптерде екі шешушіні тізімдеу әр доменге өз билігін бермейді. Екі шектелген ереже құрып, таңдауды тексеріңіз және дәл соларды жойыңыз.

Бір адаптерде екі шешушіні тізімдеу бір доменді бір серверге, екінші доменді басқа серверге жіберудің жолы сияқты көрінеді, бірақ шешушілер тізіміндегі ешнәрсе олай жұмыс істемейді. Windows атау бойынша шешеді, ал қай серверден сұрау керектігі туралы шешім реттелген мекенжай тізімінен емес, саясат нысандарынан келеді. Ауыстырылуы тиіс ой моделі — кезек: A домені үшін бірінші сервер және B домені үшін екінші сервер деген жоқ. Әр атау кеңістігі үшін серверлерді анық атайтын ережелер жиынтығы бар, және бұл ережелер пайда болған соң адаптер тізімі қызықты болудан қалады.

Аңыз: екі мекенжай екі доменді бөледі

Бұл сенім өмір сүреді, өйткені бір сервер бәріне жауап беріп, екіншісі тек қосалқы болғанда ол кездейсоқ жұмыс істейді. Клиент бірінші серверден сұрайды, ол сервер қайта бағыттайды немесе рекурсивті сұраныс жасайды, және жауап келеді; аймақты шын мәнінде қай шешуші ұстағанын ешкім байқамайды. Екі атау кеңістігі араларында бағыттау жоқ бөлек жеке аймақтарда тұра бастаған сәтте елес бұзылады, өйткені сонда бірінші сервер атаудың жоқ екенін билікпен жауаптайды. Бірінші сервердің теріс жауабы қосалқыны іске қоспайды, өйткені клиент сәтсіздік емес, түпкілікті жауап алды.

Реттелген тізімде домен ұғымы жоқ, сондықтан ол ниетті білдіре алмайды. Тізім шын мәнінде қай серверден бірінші сұралатынын және қайсысы екінші кезекте сыналатынын басқарады, және бұл екі жауап та әр атауға бірдей қатысты.

Windows таңдау үшін шын мәнінде нені пайдаланады

Атауларды шешу саясатының кестесі атауды конфигурацияланған атау кеңістіктерімен сәйкестендіреді және сол сәйкестік үшін серверлер мен параметрлерді таңдайды. Ережелерді жергілікті конфигурациялауға, топтық саясат арқылы жеткізуге немесе VPN профилінен беруге болады, ал тиімді саясат бір тізім емес, комбинация. Сондықтан бірінші диагностика әрдайым тиімді күй болып табылады: жергілікті жасалған ереже басқарылатын саясатқа жеңілсе, конфигурациясы көрсеткеннен мүлде басқаша әрекет ететін зертхана пайда болады. Ережелер ерекшелік бойынша да сәйкестендіріледі, сондықтан кең атау кеңістігі жазбасы тар жазбаны конфигурацияланған элементтер тізімінде көрінбейтін тәсілдермен көлеңкелеуі мүмкін. Тиімді ретті оқу қай ереженің жеңетінін көрудің жалғыз жолы.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Бірінші команда машинада ненің конфигурацияланғанын тізімдейді; екіншісі клиенттің шын мәнінде нені қолданатынын, оның ішінде басқа жерден келген жазбаларды көрсетеді. Егер тиімді шығыста басқарылатын атау кеңістіктері болса, өзгеріс сұраудың дұрыс орны — сол саясаттың иесі, жергілікті ережелер тізімі емес. Екі команда да тек күйді оқиды, сондықтан біреу өзгеріске келіспес бұрын оларды іске қосу ештеңеге тұрмайды.

Әр атау кеңістігіне бір ереже, нысанды сақтаңыз

Тиімді күй түсінілгеннен кейін әр атау кеңістігі үшін бір ереже жасаңыз және әр команда қайтаратын нысанды сақтаңыз. Көрсетілетін атаулар адамдарға арналған белгілер, ал қайтарылған нысандағы бірегей идентификатор кейін жоюдың сенімді нысанасы болып табылады. Екі идентификаторды да атау кеңістіктері мен шешушілерді жазатын сол өзгеріс жазбасына жазыңыз, өйткені оларды жасаған сессия тазалайтын сессия болмайды.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Бастапқы нүкте жұрнақ сәйкестігін білдіреді, сондықтан ереже app.svc.internal.example мен оның астындағы барлық нәрсені қамтиды. Мұндағы екі мекенжай осы зертхананың өз маршруттау жоспарына жатады; ереже аймақ құрмайды, маршрут орнатпайды және соңында қосылатын қолданбаға рұқсат бермейді, және Add-DnsClientNrptRule анықтамасы қай параметрдің нені жасайтынын дәл сипаттайды.

Бұл командалардың нені жасамайтынына назар аударыңыз: олар бүкіл машинаға қолданылады, VPN сессиясымен шектелмейді, және терезені жапқаннан кейін де қалады. Бұны ұмытқан зертхана туннель кеткен соң саясат қалдырады.

Клиенттің серверді таңдағанын дәлелдеңіз

Белгілі бір серверден атауды біле ме деп сұрау сол сервердің жауап бере алатынын дәлелдейді, бұл клиенттің сол серверді таңдағаны туралы тұжырыммен бірдей емес. Маңызды тест нақты атауды клиенттің әдеттегі жолымен шешіп, содан кейін қай шешушінің онымен айналысқанын растайды, ең дұрысы маршрут беретін туннель қосулы кезде. Егер туннель өшірулі болса, дұрыс шектелген ереже әлі де қолжетімсіз серверге нұсқайды, бұл бағыттау мәселесі, саясат мәселесі емес. Кейін ажырату үшін екі күйді де тексеріңіз.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Ережелер пайда болғанға дейінгі кезеңнің кэштелген жауаптарына және жүйелік шешушіні өздерінің шифрланған DNS-імен толық айналып өтетін қолданбаларға назар аударыңыз. Іздеу жұрнақтары — тағы бір бөлек функция: ереже толық атау үшін шешуші таңдай алады, бірақ Windows-қа жалаң хост атауын сол атау кеңістігіне кеңейтуді үйретпейді.

Жасағаныңызды дәл жойыңыз

Тазалау — зертхананың сабақ болып қалатын жері. Машинадағы барлық ережені жою жылдам және басқа біреу тәуелді саясатты алып тастайды, сондықтан ережелер жасалған кезде тіркелген идентификаторларды пайдаланыңыз, содан кейін тиімді күйді қайта оқып, машинаның басталған жеріне оралғанын растаңыз. Егер оларды жасаған сессия жоқ болса, өзгеріс жазбасы идентификаторлар бар жалғыз орын. Сондықтан оларды бірінші команда іске қосылмас бұрын жазу керек, кейін емес.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Зертхана емес, орналастыру үшін өмірлік цикл мәселесі ереженің өзі сияқты маңызды. VPN профилі атау кеңістігі ережелерін алып жүре алады және олардың қосылымнан кейін қалатынын таңдай алады; шешуші қолжетімсіз кезде қалатын ереже клиенттерді өлі серверді таңдауға қалдырады, ал қосылыммен шектелген ереже туннельмен бірге жоғалады. Қызметке осы мінез-құлықтардың қайсысы қажет екенін шешіңіз, ереженің кімге тиесілі екенін белгілеңіз және билік бөлінісін біреудің зертхана туралы естелігінде емес, профильдің жанында құжатталып қалдырыңыз.

Қатысты мақалалар