DNS-Androë vun VPN-Clienten: Besëtzer, TTL an Opraumen sinn getrennt

Laptoppen verbannen sech, kréien eng VPN-Adress, an den Numm, deen aner Systemer opléisen, weist nach ëmmer op d’Büro-Adress vun gëschter. Näischt ass feelgeschloen: eng Adress gouf zougewisen, en Andro gouf net aktualiséiert, an e Cache hält nach déi al Äntwert. Dat sinn dräi Objeten mat dräi Besëtzer, a just ee vun hinnen gehéiert zum VPN. Verëffentlechung plangen heescht entscheeden, wien den Numm schreift, wéi eng Interface deelhuelen a wéini veralt Daten verschwannen.

D’Symptom: en Numm, deen der falscher Adress follegt

Vum Apparat aus ass den Tunnel op an d’VPN-Adress äntwert. Vun der Aarbechtsplaz vun engem Kolleg léist sech deen selwechten Hostnumm op eng privat Adress op, déi den Apparat net méi huet, dofir leeft d’Verbindung an den Timeout géint eng Maschinn, déi geplënnert ass. Den Andro ass autoritativ a falsch, wat méi schlëmm ass wéi en deen feelt. Jidderee vertraut him a kee kann sech verbannen.

De Géigefall ass méi roueg: den Andro verschwënnt an den Numm léist sech guer net méi op. Béid Resultater kommen aus der selwechter Design-Lück, a keent gëtt duerch en nidderegen TTL behuewen. Eng méi kuerz Cache-Dauer ännert, wéi laang déi falsch Äntwert iwwerlieft, net ob se geschriwwe gëtt.

Fänkt domat un ze froen, wéi en Objet veralt ass. D’Adress, déi de VPN zougewisen huet, den Andro an der Zone an d’Äntwert am Cache vun engem Resolver hunn ënnerschiddlech Dauer a verschidde Besëtzer.

Dräi Objeten, dräi Besëtzer

De VPN besëtzt d’Zouweisung vun den Adressen, an en kann d’Adress aus engem internen Pool ginn, ouni datt en DHCP-Austausch den Laptop erreecht. D’DNS-Zone besëtzt den Andro, an hire Sécherheetsmodell entscheet, wien en däerf uleeën oder änneren. De Cache vum Resolver besëtzt d’Kopie, déi e Lieser grad benotzt, an näischt, wat den Apparat mécht, kann dohinner kommen.

Uzehuelen, datt eng Komponent all dräi mécht, ass de Punkt, wou den Design brécht. Eng Adress, déi schéngt aus engem verwaltete Beräich ze kommen, beweist net, datt en DHCP-Server d’Registratioun gemaach huet, an eng erfollegräich Registratioun beweist net, datt d’Lieser hire Cache aktualiséiert hunn.

Wien den Andro däerf aktualiséieren

An enger Zon, déi mat Active Directory integréiert ass a sécher dynamesch Aktualiséierungen huet, liewen d’Berechtegungen um Andro selwer. En Andro, deen en DHCP-Servicekont ugeleet huet, ass vläicht net vum Computerkont vum Laptop beschreifbar, an de Besëtzmodell méi spéit z’änneren ass en Iwwergank, keen Schalter. Dofir iwwerlieft e Besëtz-Konflikt all Astellung op der Client-Säit.

Dem Microsoft seng Richtlinnen fir dynamesch Aktualiséierungen preferéieren d’Registratioun op der Client-Säit fir domänenassociéiert hybrid Endpunkten. Dat z’iwwerhuelen heescht, déi existéierend Andro bewosst z’iwwerféieren, net just eng Këscht um VPN-Adapter uzekräizen a sech drop ze verloossen, datt den ale Besëtzer nogëtt.

Wou en DHCP-Service fir aner Geräteklassen registréiere muss, gitt him deen ënnerstëtzten Umeldungs- a Berechtegungsmodell fir déi Roll. Halt weider- an zréck-Andro am selwechte Plang, well se dacks vu verschiddene Komponente gepflegt ginn an ee vun hinnen alleguer vergiess gëtt.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Den éischte Befehl weist, wéi eng Adressen den Apparat mengt ze hunn an ob d’Verbindung agestallt ass, se ze registréieren. Den zweeten an den drëtten vergläichen, wat e Client opléist, mat deem, wat d’Zone tatsächlech späichert, an dat trennt e Cache-Problem vun engem autoritative Problem.

Dräi Aueren, net eng

Verëffentlechung an Aktualiséierung ass déi éischt Auer: wéini den autoriséierten Aktualisierer annoncéiert, datt eng Adress sech geännert huet. Den TTL vum Cache ass déi zweet: wéi laang e Resolver déi kritt Äntwert däerf behalen. D’autoritativ Opraumen ass déi drëtt: wéi veralt Andro duerch de Registratiounsprozess oder duerch Alterung a Scavenging ewechgeholl ginn.

Dës Auere sinn onofhängeg, an se ze verwiesselen ergëtt Korrekturen, déi net funktionéieren. Eng Ännerung un enger ass fir déi aner zwee onsiichtbar. En kuerzen TTL verkierzt d’Liewe vun enger gecachter Äntwert a gëtt keng Aktualiséierungsberechtegung. Scavenging hëlt Andro ewech, déi net aktualiséiert goufen, an et kann en Andro net reparéieren, deen ni vum richtege Besëtzer geschriwwe gouf.

Setzt den TTL no där Schnellegkeet, mat där d’Lieser mussen eng Ännerung gesinn, an d’Scavenging no där Dauer, wéi laang en opginn Apparat en Numm soll behalen. Keng vun den zwou Zuele bestëmmt, wien den Andro däerf schreiwen, an kee TTL-Wäert mécht aus Adresszouweisung DNS-Administratiounsrechter.

Plangt d’Verëffentlechung fir en Apparat deen ëmmer ënnerwee ass

Entscheet, wéi eng Interface bei der Registratioun matmaachen. Eng Heem-Wi-Fi-Adress, eng VPN-Adress an eng al Büro-Adress déngen ënnerschiddlechem Publikum, an all ze verëffentlechen erstellt en Numm mat méi Äntwerten vun ongläicher Notzlechkeet. Registréiert nëmmen déi Interface, déi déi virgesinn Lieser tatsächlech erreechen.

Halt den stabile Computernumm als Identitéit a behandelt d’Adressen als seng Attributer. Behale déi Domän-Entdeckungs-Andro, déi den Apparat brauch, a schalt d’Registratioun net komplett aus, fir e Problem mat duebelen Andro ze léisen, dat eng Berechtegungsännerung behuewe géif.

Schreift den Zouweiser, den Aktualisierer an den Opraumbesëtzer an en eenzegen Andro, mat de virgesinne Lieser benannt. Wann den Numm nees op déi falsch Adress weist, seet deen Andro Iech, ween vun den dräi Dir als éischten ënnersichen, amplaz d’Enquête nei unzefänken.