Бир адаптердеги эки DNS сервери ат мейкиндиктерин бөлбөйт

Бир адаптерде эки чечүүчүнү тизмелөө ар бир доменге өз бийлигин бербейт. Эки чектелген эреже түзүп, тандоону текшериңиз жана так ошолорду алып салыңыз.

Бир адаптерде эки чечүүчүнү тизмелөө бир доменди бир серверге, экинчи доменди башка серверге жөнөтүүнүн жолу сыяктуу көрүнөт, бирок чечүүчүлөр тизмесинде эч нерсе андай иштебейт. Windows ат боюнча чечет, ал эми кайсы серверден суроо керектиги тууралуу чечим иреттелген дарек тизмесинен эмес, саясат объектилеринен келет. Алмаштырылуучу ой модели — кезек: A домени үчүн биринчи сервер жана B домени үчүн экинчи сервер деген жок. Ар бир ат мейкиндиги үчүн серверлерди ачык атаган эрежелер жыйындысы бар, жана бул эрежелер пайда болгондон кийин адаптер тизмеси кызыктуу болбой калат.

Уламыш: эки дарек эки доменди бөлөт

Бул ишеним жашайт, анткени бир сервер баарына жооп берип, экинчиси гана камдык болгондо ал кокустан иштейт. Клиент биринчи серверден сурайт, ал сервер багыттайт же рекурсивдүү суроо жасайт, жана жооп келет; аймакты чындыгында кайсы чечүүчү кармап турганын эч ким байкабайт. Эки ат мейкиндиги ортолорунда багыттоо жок өзүнчө жеке аймактарда жашай баштаган учурда элес бузулат, анткени ошондо биринчи сервер ат жок деп бийлик менен жооп берет. Биринчи сервердин терс жообу камдыкты иштетпейт, анткени клиент ийгиликсиздик эмес, акыркы жооп алган.

Иреттелген тизмеде домен түшүнүгү жок, ошондуктан ал ниетти билдире албайт. Тизме чындыгында кайсы серверден биринчи суралаарын жана кайсынысы экинчи кезекте сыналаарын башкарат, жана бул эки жооп тең ар бир атка бирдей тиешелүү.

Windows тандоо үчүн чындыгында эмнени колдонот

Аттарды чечүү саясатынын таблицасы атты конфигурацияланган ат мейкиндиктери менен дал келтирет жана ошол дал келүү үчүн серверлерди жана параметрлерди тандайт. Эрежелерди жергиликтүү конфигурациялоого, топтук саясат аркылуу жеткирүүгө же VPN профилинен берүүгө болот, ал эми натыйжалуу саясат бир тизме эмес, айкалыш. Ошондуктан биринчи диагностика ар дайым натыйжалуу абал болуп саналат: жергиликтүү түзүлгөн эреже башкарылуучу саясатка утулса, конфигурациясы көрсөткөндөн таптакыр башкача жүрүм-турумдагы лаборатория пайда болот. Эрежелер өзгөчөлүк боюнча да дал келтирилет, ошондуктан кең ат мейкиндигинин жазуусу тар жазууну конфигурацияланган элементтер тизмесинде көрүнбөгөн жолдор менен көлөкөлөшү мүмкүн. Натыйжалуу тартипти окуу кайсы эреженин жеңерин көрүүнүн жалгыз жолу.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Биринчи буйрук машинада эмне конфигурацияланганын тизмелейт; экинчиси клиент чындыгында эмнени колдонорун, анын ичинде башка жерден келген жазууларды көрсөтөт. Эгер натыйжалуу чыгарылышта башкарылуучу ат мейкиндиктери болсо, өзгөртүүнү суроонун туура жери — ошол саясаттын ээси, жергиликтүү эрежелер тизмеси эмес. Эки буйрук тең абалды гана окуйт, ошондуктан бирөө өзгөртүүгө макул боло электе аларды иштетүү эч нерсеге турбайт.

Ар бир ат мейкиндиги үчүн бир эреже, объектини сактаңыз

Натыйжалуу абал түшүнүлгөндөн кийин ар бир ат мейкиндиги үчүн бир эреже түзүңүз жана ар бир буйрук кайтарган объектини сактаңыз. Көрсөтмө аттар адамдар үчүн белгилер, ал эми кайтарылган объектидеги уникалдуу идентификатор кийинчерээк жок кылуунун ишенимдүү бутасы болуп саналат. Эки идентификаторду тең ат мейкиндиктерин жана чечүүчүлөрдү жазуучу ошол эле өзгөртүү жазуусуна жазыңыз, анткени аларды түзгөн сессия тазалаган сессия болбойт.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Баштапкы чекит уланды дал келүүсүн билдирет, ошондуктан эреже app.svc.internal.example жана анын астындагы бардыгын камтыйт. Бул жердеги эки дарек ушул лабораториянын өз маршруттоо планына таандык; эреже зона түзбөйт, маршрут орнотпойт жана акыры туташкан колдонмого укук бербейт, жана Add-DnsClientNrptRule маалымдамасы кайсы параметр эмне кылаарын так документтештирет.

Бул буйруктар эмне кылбастыгына көңүл буруңуз: алар бүт машинага тиешелүү, VPN сессиясы менен чектелбейт, жана терезени жапкандан кийин да сакталат. Муну унуткан лаборатория туннель кеткенден кийин саясат калтырат.

Клиент серверди тандаганын далилдеңиз

Белгилүү бир серверден атты билеби деп суроо ошол сервер жооп бере аларын далилдейт, бул клиент ошол серверди тандаган деген ырастоо менен бирдей эмес. Маанилүү тест реалдуу атты клиенттин кадимки жолу менен чечип, анан кайсы чечүүчү аны менен иштешкенин тастыктайт, идеалдуусу маршрут берүүчү туннель күйүп турганда. Эгер туннель өчүк болсо, туура чектелген эреже баары бир жеткиликсиз серверге көрсөтөт, бул багыттоо маселеси, саясат маселеси эмес. Кийин ажыратуу үчүн эки абалды тең текшериңиз.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Эрежелер пайда болгонго чейинки мезгилдин кэштелет турган жоопторуна жана өздөрүнүн шифрленген DNS менен системалык чечүүчүнү толук айланып өтүүчү колдонмолорго көңүл буруңуз. Издөө уландылары — дагы бир өзүнчө функция: эреже толук ат үчүн чечүүчү тандай алат, бирок Windows'го жалаң хост атын ошол ат мейкиндигине кеңейтүүнү үйрөтпөйт.

Түзгөнүңүздү так алып салыңыз

Тазалоо — лаборатория сабак болуп калган жер. Машинадагы бардык эрежени жок кылуу тез жана башка бирөө көз каранды болгон саясатты алып салат, ошондуктан эрежелер түзүлгөндө жазылган идентификаторлорду колдонуңуз, анан натыйжалуу абалды кайра окуп, машина башталган жерине кайтканын тастыктаңыз. Эгер аларды түзгөн сессия жок болсо, өзгөртүү жазуусу идентификаторлор бар жалгыз орун. Ошондуктан аларды биринчи буйрук иштегенге чейин жазуу керек, андан кийин эмес.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Лаборатория эмес, жайылтуу үчүн өмүр цикл маселеси эреженин өзүндөй эле маанилүү. VPN профили ат мейкиндигинин эрежелерин алып жүрө алат жана алардын туташуудан кийин каларын тандай алат; чечүүчү жеткиликсиз кезде калган эреже кардарларды өлүк серверди артык көрүүгө калтырат, ал эми туташуу менен чектелген эреже туннель менен кошо жоголот. Кызматка ушул жүрүм-турумдардын кайсынысы керек экенин чечиңиз, эреженин кимге таандык экенин белгилеңиз жана бийлик бөлүштүрүүсүн бирөөнүн лаборатория жөнүндө эсинде эмес, профилдин жанында документтештирилген калтырыңыз.

Тектеш макалалар