Zwee DNS-Serveren op engem Adapter deelen net Nummraim

Zwee Resolveren op engem Adapter oplëschten gëtt net all Domain seng eegen Autoritéit. Baut zwee ageschränkt Reegelen, test d'Auswiel an entfernt genee déi.

Zwee Resolveren op engem Adapter oplëschten ausgesäit wéi e Wee, fir eng Domain op ee Server an eng aner Domain op deen aneren ze schécken, an näischt an der Resolverlëscht funktionéiert esou. Windows léist nom Numm op, an d'Entscheedung, wéi ee Server gefrot gëtt, kënnt aus Politikobjekter an net aus enger uerdentlecher Adresslëscht. D'mental Modell, dat ersat muss ginn, ass d'Schlange: et gëtt keen éischte Server fir Domain A an keen zweete Server fir Domain B. Et gëtt e Reegelset pro Nummraum, deen d'Serveren ausdrécklech nennt, an esoubal dës Reegelen existéieren, ass d'Adapterlëscht net méi interessant.

De Mythos: zwou Adressen deelen zwou Domainen

De Glawen iwwerlieft, well en zoufälleg funktionéiert, wa ee Server allem äntwert an deen zweeten nëmmen eng Auswäich ass. E Client freet den éischte Server, dee Server leet weider oder freet rekursiv, an d'Äntwert kënnt un; kee mierkt, wéi ee Resolver d'Zon tatsächlech gehal huet. D'Illusioun brécht an deem Moment, wou déi zwou Nummraim an getrennte private Zonen ouni Weiderleedung tëschent hinnen existéieren, well den éischte Server dann autoritativ äntwert, datt den Numm net existéiert. Eng negativ Äntwert vum éischte Server lëscht keng Auswäich aus, well de Client eng definitiv Äntwert an net eng Feeler kritt huet.

Eng uerdentlech Lëscht huet keen Domain-Begrëff, dofir kann si d'Absicht net ausdrécken. Wat d'Lëscht tatsächlech steiert, ass wéi ee Server fir d'éischt gefrot an wéi een als zweeten versicht gëtt, an déi zwou Äntwerten gëllen gläichermoossen fir all Numm.

Wat Windows tatsächlech benotzt fir ze wielen

D'Tabell vun der Nummopléisungspolitik passt en Numm un déi konfiguréiert Nummraim un an wielt d'Serveren an d'Optiounen fir dës Passung. Reegelen kënnen lokal konfiguréiert, iwwer Gruppenpolitik geliwwert oder duerch e VPN-Profil geliwwert ginn, an déi effektiv Politik ass eng Kombinatioun an net eng eenzeg Lëscht. Dofir ass déi éischt Diagnos ëmmer den effektiven Zoustand: eng lokal ugeluecht Reegel, déi géint eng verwalt Politik verléiert, entsteet engem Laboratoire, dee sech ganz anescht behält wéi seng Konfiguratioun et suggeréiert. Reegelen ginn och no Spezifizitéit ofgestëmmt, sou datt en breede Nummraum-Agang en engen op eng Manéier iwwerschate kann, déi an enger Lëscht vu konfiguréierten Elementer onsichtbar ass. Den effektiven Uerdnung liesen ass deen eenzege Wee, fir ze gesinn, wéi eng Reegel gewënnt.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Den éischte Befehl lëscht op, wat op der Maschinn konfiguréiert ass; den zweeten weist, wat de Client tatsächlech uwänne wäert, och Andräg, déi vun iergendwou soss komm sinn. Wann den effektive Output verwalt Nummraim enthält, ass den Eegentümer vun dëser Politik déi richteg Plaz, fir d'Ännerung ze froen, net d'lokal Reegelelëscht. Béid Befehler liesen nëmmen Zoustand, dofir kascht et näischt, si auszeféieren, éier een sech iwwert d'Ännerung eenneg ass.

Eng Reegel pro Nummraum, behält den Objet

No deem den effektiven Zoustand verstan ass, schaaft eng Reegel pro Nummraum a behält den Objet, deen all Befehl zréckgëtt. Sicht nummen sinn Etiketten fir Leit, an den eenzegaartegen Identifiant am zréckginnene Objet ass duerno de verlässlech Zil fir ze läschen. Schreift béid Identifiante an dee selwechte Ännerungsnotiz, deen d'Nummraim an d'Resolveren festhält, well d'Sessioun, déi s'ugeluecht huet, net d'Sessioun wäert sinn, déi botzt.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Den Ufankspunkt weist op eng Suffix-Passung hin, dofir deckt d'Reegel app.svc.internal.example an alles anescht drënner of. Déi zwou Adressen hei gehéieren zum eegene Routingplang vun dësem Laboratoire; eng Reegel schaaft keng Zon, installéiert keng Route a gëtt der Applikatioun, déi schlussendlech verbënnt, keng Autorisatioun, an déi Referenz vum Add-DnsClientNrptRule dokumentéiert genee, wéi ee Parameter wat mécht.

Beuecht, wat dës Befehler net maachen: si sinn maschinnenwäit, si sinn net op eng VPN-Sessioun beschränkt, a si iwwerliewe d'Zoumaache vum Fënster. E Laboratoire, deen dat vergësst, hannerléisst eng Politik, nodeems den Tunnel fort ass.

Beweist, datt de Client den Server gewielt huet

Ee bestëmmte Server ze froen, ob en en Numm kennt, beweist, datt de Server äntwere kann, wat net déi selwecht Behauptung ass wéi déi, datt de Client dee Server gewielt huet. Den Test, op deen et ukënnt, léist en echte Numm iwwer de gewéinleche Clientwee op an bestätegt duerno, wéi ee Resolver sech em déi gesuergt huet, am beschten während den Tunnel, deen d'Route liwwert, ugeet. Wann den Tunnel erof ass, weist eng korrekt ageschränkt Reegel nach ëmmer op en onerreechbare Server, wat e Routingproblem an net e Politikproblem ass. Test béid Zoustänn, sou datt se sech duerno ënnerscheede loossen.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Passt op de gecachten Äntwerten aus der Period virun de Reegelen op, a passt op Applikatiounen op, déi de Systemresolver ganz mat hirem eegene verschlësselte DNS ëmgoen. Sichsuffixe sinn nach eng aner separat Funktioun: eng Reegel kann e Resolver fir en vollstännegen Numm wielen, ouni Windows ze léieren, en nackten Hostnumm an deen Nummraum auszebreeden.

Entfernt genee dat, wat Dir ugeluecht hutt

Botzen ass d'Plaz, wou aus engem Laboratoire eng warnend Geschicht gëtt. All Reegel op der Maschinn ze läschen ass séier a entfernt Politik, vun där een aneren ofhänkt, dofir benotzt d'Identifiante, déi beim Uleeë vun de Reegelen erfaasst goufen, a liest duerno den effektiven Zoustand nach eng Kéier, fir ze bestätegen, datt d'Maschinn zeréck do ass, wou se ugefaangen huet. Wann d'Sessioun, déi s'ugeluecht huet, fort ass, ass den Ännerungsnotiz déi eenzeg Plaz, wou d'Identifiante existéieren. Dofir schreift een se virum éischte Befehl op, an net duerno.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Fir eng Deployement an net e Laboratoire zielt d'Fro vun der Liewensdauer esou vill wéi d'Reegel. E VPN-Profil kann d'Nummraum-Reegelen droen an wielen, ob se iwwer d'Verbindung eraus bestoe bleiwen; eng Reegel, déi bestoe bleift, wärend den Resolver onerreechbar ass, léisst Clienten e dode Server virzéien, an eng verbindungsgeschränkt Reegel verschwënnt mam Tunnel. Entscheet, wéi ee vun dëse Behuelen den Déngscht brauch, markéiert, wien d'Reegel gehéiert, a loosst d'Opdeelung vun der Autoritéit niewent dem Profil dokumentéiert, an net an engem sengem Erënnerung un e Laboratoire.

Ähnlech Artikelen