Du DNS serveriai viename adapteryje neskiria vardų erdvių

Dviejų sprendėjų įtraukimas į vieną adapterį atrodo kaip būdas siųsti vieną domeną į vieną serverį, o kitą domeną į kitą, ir niekas sprendėjų sąraše taip neveikia. Windows sprendžia pagal vardą, o sprendimas, kurio serverio klausti, ateina iš politikos objektų, o ne iš sutvarkyto adresų sąrašo. Psichinis modelis, kurį reikia pakeisti, yra eilė: nėra pirmo serverio domenui A ir antro serverio domenui B. Yra taisyklių rinkinys kiekvienai vardų erdvei, kuriame serveriai įvardijami aiškiai, ir kai šios taisyklės egzistuoja, adapterio sąrašas nustoja būti įdomus.

Mitas: du adresai skiria du domenus

Šis įsitikinimas išlieka, nes jis veikia atsitiktinai, kai vienas serveris atsako į viską, o antrasis yra tik atsarginis. Klientas klausia pirmojo serverio, tas serveris persiunčia arba atlieka rekursiją, ir atsakymas ateina; niekas nepastebi, kuris sprendėjas iš tikrųjų laikė zoną. Iliuzija subyra tą akimirką, kai dvi vardų erdvės gyvena atskirose privačiose zonose be persiuntimo tarp jų, nes tada pirmasis serveris autoritetingai atsako, kad vardo nėra. Neigiamas pirmojo serverio atsakymas nesuaktyvina atsarginio varianto, nes klientas gavo galutinį atsakymą, o ne gedimą.

Sutvarkytas sąrašas neturi domeno sąvokos, todėl negali išreikšti ketinimo. Sąrašas iš tikrųjų kontroliuoja, kurio serverio klausiama pirmiausia ir kuris bandomas antruoju, ir abu šie atsakymai vienodai taikomi kiekvienam vardui.

Ką Windows iš tikrųjų naudoja rinkdamasis

Vardų sprendimo politikos lentelė suderina vardą su sukonfigūruotomis vardų erdvėmis ir parenka serverius bei parinktis tam atitikimui. Taisyklės gali būti konfigūruojamos vietoje, perduodamos grupės politika arba pateikiamos VPN profilio, o efektyvioji politika yra derinys, o ne vienas sąrašas. Todėl pirmoji diagnostika visada yra efektyvioji būsena: vietoje sukurta taisyklė, kuri pralaimi valdomai politikai, sukuria laboratoriją, kuri elgiasi visiškai ne taip, kaip rodo jos konfigūracija. Taisyklės taip pat derinamos pagal specifiškumą, todėl platus vardų erdvės įrašas gali užgožti siaurą taip, kas nematoma sukonfigūruotų elementų sąraše. Efektyvios tvarkos skaitymas yra vienintelis būdas pamatyti, kuri taisyklė laimi.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Pirmoji komanda išvardija, kas sukonfigūruota kompiuteryje; antroji parodo, ką klientas iš tikrųjų taikys, įskaitant įrašus, atėjusius iš kitur. Jei efektyvioji išvestis turi valdomų vardų erdvių, tos politikos savininkas yra tinkama vieta prašyti pakeitimo, o ne vietinis taisyklių sąrašas. Abi komandos tik skaito būseną, todėl jų vykdymas prieš kam nors sutinkant su pakeitimu nieko nekainuoja.

Viena taisyklė vienai vardų erdvei, išsaugokite objektą

Kai efektyvioji būsena suprasta, sukurkite po vieną taisyklę kiekvienai vardų erdvei ir išsaugokite objektą, kurį grąžina kiekviena komanda. Rodomi vardai yra etiketės žmonėms, o unikalus identifikatorius grąžintame objekte vėliau yra patikimas trynimo taikinys. Įrašykite abu identifikatorius į tą pačią pakeitimo pastabą, kurioje fiksuojamos vardų erdvės ir sprendėjai, nes sesija, kuri juos sukūrė, nebus ta, kuri tvarkys.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Pradinis taškas žymi priesagos atitikimą, todėl taisyklė apima app.svc.internal.example ir visa kita po juo. Du adresai čia priklauso šios laboratorijos pačios maršrutizavimo planui; taisyklė nesukuria zonos, neįdiegia maršruto ir nesuteikia teisės programai, kuri galiausiai prisijungs, ir Add-DnsClientNrptRule nuoroda tiksliai dokumentuoja, kuris parametras ką daro.

Atkreipkite dėmesį, ko šios komandos nedaro: jos galioja visam kompiuteriui, nėra apribotos VPN sesijos, ir išlieka uždarius langą. Laboratorija, kuri tai pamiršta, palieka politiką, kai tunelio nebėra.

Įrodykite, kad klientas pasirinko serverį

Klausimas konkrečiam serveriui, ar jis žino vardą, įrodo, kad serveris gali atsakyti, o tai nėra tas pats teiginys kaip tai, kad klientas pasirinko tą serverį. Svarbus testas išsprendžia tikrą vardą įprastu kliento keliu ir tada patvirtina, kuris sprendėjas juo užsiėmė, idealu, kai tunelis, teikiantis maršrutą, yra pakeltas. Jei tunelis nuleistas, teisingai apribota taisyklė vis tiek rodo į nepasiekiamą serverį, ir tai yra maršrutizavimo, o ne politikos problema. Išbandykite abi būsenas, kad vėliau būtų galima jas atskirti.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Stebėkite podėlyje saugomus atsakymus iš laikotarpio prieš atsirandant taisyklėms ir programas, kurios visiškai apeina sistemos sprendėją savo šifruotu DNS. Paieškos priesagos yra dar viena atskira funkcija: taisyklė gali pasirinkti sprendėją visam vardui, nemokydama Windows išplėsti pliko pagrindinio kompiuterio vardo į tą vardų erdvę.

Pašalinkite būtent tai, ką sukūrėte

Valymas yra vieta, kur laboratorija tampa pamokoma istorija. Ištrinti kiekvieną kompiuterio taisyklę greita ir pašalina politiką, kuria remiasi kas nors kitas, todėl naudokite identifikatorius, užfiksuotus kuriant taisykles, ir po to dar kartą perskaitykite efektyviąją būseną, kad patvirtintumėte, jog kompiuteris grįžo ten, kur pradėjo. Jei sesijos, kuri jas sukūrė, nebėra, pakeitimo pastaba yra vienintelė vieta, kur identifikatoriai egzistuoja. Štai kodėl jie užrašomi prieš pirmos komandos vykdymą, o ne po jo.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Diegimui, o ne laboratorijai, tarnavimo trukmės klausimas svarbus tiek pat kiek taisyklė. VPN profilis gali nešti vardų erdvės taisykles ir pasirinkti, ar jos išlieka po prisijungimo; taisyklė, kuri išlieka, kol sprendėjas nepasiekiamas, palieka klientus pirmenybę teikti negyvam serveriui, o prisijungimu apribota taisyklė išnyksta kartu su tuneliu. Nuspręskite, kurio iš šių elgesių paslaugai reikia, pažymėkite, kam priklauso taisyklė, ir palikite autoriteto padalijimą dokumentuotą prie profilio, o ne kažkieno atmintyje apie laboratoriją.