Divi DNS serveri vienā adapterī nedala vārdu telpas

Divu atrisinātāju uzskaitīšana vienā adapterī izskatās kā veids, kā vienu domēnu sūtīt uz vienu serveri un citu domēnu uz otru, un nekas atrisinātāju sarakstā tā nedarbojas. Windows atrisina pēc nosaukuma, un lēmums par to, kuram serverim jautāt, nāk no politikas objektiem, nevis no sakārtota adrešu saraksta. Domu modelis, kas jāaizstāj, ir rinda: nav pirmā servera domēnam A un otrā servera domēnam B. Ir noteikumu kopa katrai vārdu telpai, kas skaidri nosauc serverus, un, tiklīdz šie noteikumi pastāv, adaptera saraksts pārstāj būt interesants.

Mīts: divas adreses sadala divas domēnas

Šis uzskats saglabājas, jo tas nejauši darbojas, kad viens serveris atbild uz visu un otrais ir tikai rezerves variants. Klients jautā pirmajam serverim, tas pārsūta vai veic rekursiju, un atbilde ierodas; neviens nepamana, kuram atrisinātājam patiešām piederēja zona. Ilūzija sabrūk tajā brīdī, kad abas vārdu telpas dzīvo atsevišķās privātās zonās bez pārsūtīšanas starp tām, jo tad pirmais serveris autoritatīvi atbild, ka vārds neeksistē. Pirmā servera negatīvā atbilde neaktivizē rezerves variantu, jo klients saņēma galīgu atbildi, nevis kļūdu.

Sakārtotam sarakstam nav domēnas jēdziena, tāpēc tas nevar izteikt nodomu. Saraksts patiešām kontrolē to, kuram serverim jautā pirmajam un kuru izmēģina otro, un abas atbildes vienādi attiecas uz katru vārdu.

Ko Windows patiešām izmanto izvēlei

Vārdu atrisināšanas politikas tabula saskaņo nosaukumu ar konfigurētajām vārdu telpām un izvēlas serverus un opcijas šai atbilstībai. Noteikumus var konfigurēt lokāli, piegādāt ar grupas politiku vai nodrošināt ar VPN profilu, un efektīvā politika ir kombinācija, nevis viens saraksts. Tāpēc pirmā diagnostika vienmēr ir efektīvais stāvoklis: lokāli izveidots noteikums, kas zaudē pārvaldītai politikai, rada laboratoriju, kas uzvedas pilnīgi citādi, nekā liecina tās konfigurācija. Noteikumi tiek saskaņoti arī pēc specifiskuma, tāpēc plašs vārdu telpas ieraksts var aizēnot šauru tā, kas nav redzams konfigurēto vienumu sarakstā. Efektīvās secības lasīšana ir vienīgais veids, kā redzēt, kurš noteikums uzvar.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Pirmā komanda uzskaita, kas konfigurēts mašīnā; otrā parāda, ko klients patiešām piemēros, tostarp ierakstus, kas nākuši no citurienes. Ja efektīvajā izvadē ir pārvaldītas vārdu telpas, šīs politikas īpašnieks ir pareizā vieta, kur lūgt izmaiņas, nevis vietējais noteikumu saraksts. Abas komandas tikai nolasa stāvokli, tāpēc to palaišana pirms kāds piekrīt izmaiņām neko nemaksā.

Viens noteikums katrai vārdu telpai, saglabājiet objektu

Kad efektīvais stāvoklis ir saprasts, izveidojiet vienu noteikumu katrai vārdu telpai un saglabājiet objektu, ko atgriež katra komanda. Parādāmie nosaukumi ir etiķetes cilvēkiem, un unikālais identifikators atgrieztajā objektā vēlāk ir uzticams dzēšanas mērķis. Ierakstiet abus identifikatorus tajā pašā izmaiņu piezīmē, kas fiksē vārdu telpas un atrisinātājus, jo sesija, kas tos izveidoja, nebūs tā, kas sakopj.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Sākuma punkts apzīmē sufiksā atbilstību, tāpēc noteikums aptver app.svc.internal.example un visu citu zem tā. Abas adreses šeit pieder šīs laboratorijas pašas maršrutēšanas plānam; noteikums neveido zonu, neinstalē maršrutu un nepiešķir pilnvaras lietojumprogrammai, kas galu galā pieslēgsies, un Add-DnsClientNrptRule atsauce precīzi dokumentē, kurš parametrs ko dara.

Ņemiet vērā, ko šīs komandas nedara: tās ir visai mašīnai, nav ierobežotas ar VPN sesiju, un tās pārdzīvo loga aizvēršanu. Laboratorija, kas to aizmirst, atstāj politiku pēc tam, kad tunelis ir pazudis.

Pierādiet, ka klients izvēlējās serveri

Jautājums konkrētam serverim, vai tas zina nosaukumu, pierāda, ka serveris var atbildēt, kas nav tas pats apgalvojums kā tas, ka klients izvēlējās šo serveri. Svarīgais tests atrisina reālu nosaukumu parastajā klienta ceļā un pēc tam apstiprina, kurš atrisinātājs ar to nodarbojās, ideālā gadījumā kamēr tunelis, kas nodrošina maršrutu, ir augšā. Ja tunelis ir izslēgts, pareizi ierobežots noteikums joprojām norāda uz nesasniedzamu serveri, un tā ir maršrutēšanas, nevis politikas problēma. Pārbaudiet abus stāvokļus, lai vēlāk tos varētu atšķirt.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Sekojiet kešatmiņā saglabātajām atbildēm no perioda pirms noteikumu pastāvēšanas un lietojumprogrammām, kas pilnībā apiet sistēmas atrisinātāju ar savu šifrēto DNS. Meklēšanas sufiksi ir vēl viena atsevišķa funkcija: noteikums var izvēlēties atrisinātāju pilnam nosaukumam, nemācot Windows izvērst kailu resursdatora nosaukumu šajā vārdu telpā.

Noņemiet tieši to, ko izveidojāt

Tīrīšana ir vieta, kur laboratorija kļūst par mācību stāstu. Dzēst katru noteikumu mašīnā ir ātri un noņem politiku, no kuras atkarīgs kāds cits, tāpēc izmantojiet identifikatorus, kas tika fiksēti, veidojot noteikumus, un pēc tam atkārtoti nolasiet efektīvo stāvokli, lai apstiprinātu, ka mašīna ir atgriezusies tur, kur sāka. Ja sesija, kas tos izveidoja, ir pazudusi, izmaiņu piezīme ir vienīgā vieta, kur identifikatori pastāv. Tāpēc tie tiek pierakstīti pirms pirmās komandas palaišanas, nevis pēc tam.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Izvietošanai, nevis laboratorijai, dzīves ilguma jautājums ir tikpat svarīgs kā noteikums. VPN profils var nest vārdu telpas noteikumus un izvēlēties, vai tie saglabājas pēc savienojuma; noteikums, kas saglabājas, kamēr atrisinātājs nav sasniedzams, liek klientiem dot priekšroku mirušam serverim, un ar savienojumu ierobežots noteikums pazūd kopā ar tuneli. Izlemiet, kura no šīm uzvedībām pakalpojumam ir vajadzīga, atzīmējiet, kam pieder noteikums, un atstājiet pilnvaru sadalījumu dokumentētu blakus profilam, nevis kāda atmiņā par laboratoriju.