DNS записи на VPN клиенти: сопственик, TTL и чистење се одделни работи

Преносните компјутери се поврзуваат, добиваат VPN адреса, а името што другите системи го решаваат сѐ уште покажува на вчерашната канцелариска адреса. Ништо не откажа: адреса беше доделена, запис не беше ажуриран, а кешот сѐ уште ја држи стариот одговор. Тоа се три објекти со три сопственици, и само еден од нив му припаѓа на VPN. Планирањето на објавувањето значи да се одлучи кој го пишува името, кои интерфејси учествуваат и кога исчезнуваат старите податоци.

Симптомот: име што ја следи погрешната адреса

Од уредот тунелот е кренат и VPN адресата одговара. Од работната станица на колега, истото име на домаќин се решава на приватна адреса што уредот повеќе не ја има, па врската истекува кон машина што се преселила. Записот е авторитативен и погрешен, што е полошо од отсутен. Сите му веруваат и никој не може да се поврзе.

Обратниот случај е потивок: записот исчезнува и името воопшто престанува да се решава. Двата исхода доаѓаат од истата празнина во дизајнот, и ниту еден не се поправа со намалување на TTL. Пократкиот живот на кешот го менува тоа колку долго преживува погрешниот одговор, а не дали се пишува.

Започнете со прашањето кој објект е застарен. Адресата што ја додели VPN, записот во зоната и одговорот во кешот на резолверот имаат различни животни векови и различни сопственици.

Три објекти, три сопственици

VPN го поседува доделувањето адреси и може да ја даде адресата од внатрешен базен без ниту една DHCP размена да стигне до преносниот компјутер. DNS зоната го поседува записот, а нејзиниот безбедносен модел одлучува кој смее да го создаде или измени. Кешот на резолверот ја поседува копијата што читателот моментално ја користи, и ништо што уредот го прави не може да стигне до неа.

Претпоставката дека една компонента ги прави сите три е местото каде дизајнот се крши. Адреса што изгледа како да дошла од управуван опсег не докажува дека DHCP сервер ја извршил регистрацијата, а успешната регистрација не докажува дека читателите го освежиле кешот.

Кој смее да го ажурира записот

Во зона интегрирана со Active Directory и со безбедни динамични ажурирања, дозволите живеат на самиот запис. Запис создаден од сервисна сметка на DHCP може да не биде запишлив од сметката на компјутерот на преносниот компјутер, а промената на моделот на сопственост подоцна е премин, не прекинувач. Затоа судирот на сопственост го надживува секое поставување на страната на клиентот.

Упатството на Microsoft за динамични ажурирања претпочита регистрација од страната на клиентот за хибридни крајни точки приклучени на домен. Да се прифати тоа значи намерно пренесување на постоечките записи, а не само штиклирање на полето на VPN адаптерот и надеж дека стариот сопственик ќе отстапи.

Кога DHCP службата мора да регистрира други класи уреди, дајте ѝ го поддржаниот модел на акредитиви и дозволи за таа улога. Држете ги напредните и обратните записи во ист план, бидејќи често ги одржуваат различни компоненти и еден од нив обично се заборава.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Првата команда покажува кои адреси уредот смета дека ги има и дали врската е поставена да ги регистрира. Втората и третата го споредуваат тоа што клиентот го решава со тоа што зоната навистина го чува, што го одвојува проблемот со кешот од авторитативниот.

Три часовници, не еден

Објавувањето и освежувањето е првиот часовник: кога овластениот ажурирач објавува дека адресата се сменила. TTL на кешот е вториот: колку долго резолверот смее да го држи добиениот одговор. Авторитативното чистење е третиот: како застарените записи се отстрануваат со процесот на регистрација или со стареење и чистење.

Овие часовници се независни, и нивното мешање дава поправки што не работат. Промената во едниот е невидлива за другите два. Краткиот TTL го скратува животот на кешираниот одговор и не дава никаква дозвола за ажурирање. Чистењето ги отстранува записите што не се освежени и не може да поправи запис што никогаш не го напишал вистинскиот сопственик.

Поставете го TTL според тоа колку брзо читателите мора да ја видат промената, а чистењето според тоа колку долго напуштен уред треба да држи име. Ниту еден од двата броја не одлучува кој смее да го пишува записот, и ниту една вредност на TTL не го претвора доделувањето адреси во DNS администраторски права.

Планирајте објавување за уред во движење

Одлучете кои интерфејси учествуваат во регистрацијата. Домашна Wi-Fi адреса, VPN адреса и стара канцелариска адреса служат на различни публики, а објавувањето на сите дава име со неколку одговори со нееднаква корист. Регистрирајте ги интерфејсите до кои предвидените читатели навистина можат да стигнат.

Држете го стабилното име на компјутерот како идентитет и третирајте ги адресите како негови атрибути. Зачувајте ги записите за откривање на домен што му се потребни на уредот, и не исклучувајте ја регистрацијата целосно за да решите проблем со дупли записи што промена на дозволи би го решила.

Запишете ги доделувачот, ажурирачот и сопственикот на чистењето во еден запис, со именувани предвидени читатели. Кога името повторно ќе покаже погрешна адреса, тој запис ви кажува кого од тројцата прво да го проверите, наместо да почнете истрагата од почеток.