Коомдук DNS иштеши Active Directory табылат дегенди билдирбейт

VPN туташат, браузер коомдук сайтты ачат, ал эми ноутбук дагы эле доменге кире албайт. Адаттагы жыйынтык — аттар чечилгендиктен DNS туура. Ал туура эмес, жана себеби браузер текшерүүсү доменге кошулган кардарга керек болгон чынжырдын бир гана сурамын текшерет. Доменди табуу адегенде кызмат жазууларын, андан кийин ошол жазуулар атаган контроллерлордун даректерин, андан кийин ошол контроллерлор тыңшаган портторго маршрутту сурайт. Коомдук жооп бул кадамдардын бирин да канааттандырбайт.

Миф: аттар чечилет, демек DNS бүттү

Коомдук сайттын чечилиши кандайдыр бир чечүүчү коомдук зонадагы ат үчүн бир A же AAAA сурамына жооп бергенин гана билдирет. Active Directory ошол протоколду башка суроо үчүн колдонот: домендин кызматтары кайда жана бул кардар кайсы контроллерду колдонушу керек. Суроо домендин аты менен аталган зонанын астындагы SRV жазуулары катары туюнтулат, ал эми рекурсивдик коомдук чечүүчүнүн аларды кармап турууга эч кандай себеби жок.

Жазуу жок болсо, чечүүчү терс жооп кайтарат, бул үзгүлтүк эмес, жарактуу DNS жообу. Андан кийин кардар бар болсо кэштеги контроллер маалыматына кайтат, жана дал ошондуктан үстөл компьютери сааттар бою жакшы көрүнүп, кайра жүктөөдөн же сырсөздү өзгөртүүдөн кийин ишке ашпай калышы мүмкүн.

Домен кардары иш жүзүндө эмнени сурайт, тартиби боюнча

corp.example сыяктуу домен үчүн жалпы локатор сурамы _ldap._tcp.dc._msdcs.corp.example болуп саналат. SRV жооптору талапкер контроллерлорду жана алардын портторун атайт, андан кийин кардар байланыш ачканга чейин ошол хост аттары үчүн дарек жазууларын талап кылат. Сайтты эске алган табуу сайттын субдоменинин астына сурамдарды кошот, ал эми жооптор кайсы контроллерлор артык экенин аныктайт, кайсынысы милдеттүү экенин эмес.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Чынжырды ушул тартипте, көйгөй келип чыккан тармактан баштап ээрчиңиз. Жетүү мүмкүн болбогон дарекке чечилген хост аты — маршруттоо бузулушу, DNS бузулушу эмес. Локатор жазуулары жетишпеген жеткиликтүү контроллер — DNS бузулушу, маршруттоо бузулушу эмес. Экөө тең окшош колдонуучу даттанууларын жана таптакыр башка оңдоолорду жаратат.

Эмне үчүн коомдук чечүүчү жооп берет, ал эми кирүү баары бир бузулат

Эгер адаптер кардарга коомдук чечүүчү берсе, коомдук аттар иштейт, ички аттар мейкиндиги иштебейт. Экинчи коомдук чечүүчүнү кошуу жардам бербейт, анткени экөө тең зонаны кармабайт. «Адегенде ички, андан кийин коомдук» деген кадимки тизме да ар бир домен үчүн эреже катары иштебейт: биринчи сервердин терс жообу мыйзамдуу жооп, жана кардар жооп бош болгону үчүн гана экинчи серверди кайра сынабайт.

Эки ички чечүүчү, эгер экөөнү иштетсеңиз, AD аттар мейкиндигин кармашы жана кардардын учурдагы тармагынан жеткиликтүү болушу керек. Бөлүнгөн туннель долбоорлору дал ушуну бузат: VPN туннелдин ички тармагын алып жүрүшү мүмкүн, ал эми ички чечүүчү туннель маршруттабаган префиксте турса, сурам жооп бере албаган чечүүчүгө кетет.

Windows ошондой эле белгилүү ат мейкиндиктерин белгилүү серверлерге багыттай алган ат чечүү саясатын колдонот, ал эми адаптер көрсөткөн DNS даректери бүткүл окуя эмес. Ошол саясатты өзгөртпөстөн адаптер тизмесин өзгөртүү натыйжалуу конфигурацияны кыймылсыз калтырышы мүмкүн, ошондуктан колдонулгандай көрүнгөн оңдоонун эч кандай таасири болбойт.

Туннелдин DNS жана анын маршруттарын шайкеш кармаңыз

Чечүүчүнү жиберген, бирок аны камтыган префиксти жибербеген VPN профили кардар жете албаган чечүүчүнү жаратат; префиксти жиберип, чечүүчүнү жибербеген профиль кардарды жергиликтүү чечүүчүдөн суроого калтырат. Жупту бир конфигурациялык элемент катары карап, ар бир профиль өзгөрүүсүнөн кийин экөөнү тең текшериңиз, анткени кайра иреттелген жиберүү же жаңы бөлүнгөн туннель саясаты аларды ажыратышы мүмкүн.

Кардардын жиберилген параметр менен эмне кылганын да текшериңиз. Айрым кардарлар DNS серверин туннелдин интерфейсине гана колдонуп, физикалык адаптердин чечүүчүсүн ордунда калтырат, ошондуктан кайсынысы жеңери интерфейс метрикасына жана суралган атка көз каранды. Эгер ички жооп физикалык адаптер өчүрүлгөндө гана келсе, оңдолуучу механизм — ошол, домен жазуулары эмес.

Табуу чакырыгы жана бир тирүү операция менен кабыл алыңыз

Пайдалуу кабыл алуу тести локатор сурамын иштетип, андан кийин бир чыныгы аутентификацияланган операцияны аткарат, мисалы каталогго негизделген бөлүшүүнү ачуу же билет суроо. Муну VPN которулушунун алдында жана андан кийин кайра, ошол эле машинада, ортосунда кайра жүктөөсүз жасаңыз. Кэштеги каттоо маалыматтары жана мурунтан ачык сеанстар бузулган жолду кубаныч менен соо кылып көрсөтөт, ошондуктан үстөлгө ийгиликтүү кирүү — сыноо эмес.

Microsoft’тун DNS кардары үчүн сунуштары ички ат мейкиндигин чечүү менен коомдук сурамдарды жогору жакка берүүнүн ортосунда дал ушундай чек жүргүзөт, жана VPN киргизилгенде сакталышы керек тартип — ушул.

Эгер бузулуу жай гана болсо, ишке ашпаса, кечигүүнү диагностикадан бөлүп кармаңыз. Табуу учурундагы убакыттын бүтүшү жетүү мүмкүн болбогон контроллердон, тосулган порттон же кеч жооп берген чечүүчүдөн келиши мүмкүн, жана алардын эч бири жалгыз күтүү менен далилденбейт. Чечүүчүнүн параметрин өзгөртүүдөн мурун чыныгы сурамды, анын жообун жана туташуу аракетин жазып алыңыз.