Нийтийн DNS ажиллах нь Active Directory олдоно гэсэн үг биш

VPN холбогдож, хөтөч нийтийн сайт нээгдэх боловч зөөврийн компьютер домэйд нэвтэрч чадахгүй хэвээр байна. Ердийн дүгнэлт нь нэрүүд шийдэгддэг тул DNS зөв гэсэн үг. Тийм биш, учир нь хөтчийн шалгалт домэйнд холбогдсон клиентэд хэрэгтэй гинжин хэлхээний зөвхөн нэг асуултыг шалгадаг. Домэйн илрүүлэлт эхлээд үйлчилгээний бичлэгүүдийг, дараа нь тэдгээр бичлэгт нэрлэгдсэн хянагчдын хаяг, эцэст нь тэдгээр хянагчид сонсдог портууд руу чиглэх маршрутыг асуудаг. Нийтийн хариулт эдгээр алхмын алийг ч хангахгүй.

Домог: нэрүүд шийдэгддэг, тиймээс DNS дууссан

Нийтийн сайт шийдэгдэх нь зөвхөн нийтийн бүс дэх нэрний нэг A эсвэл AAAA асуултад ямар нэг шийдэгч хариулсан гэдгийг л хэлнэ. Active Directory ижил протоколыг өөр асуултад ашигладаг: домэйны үйлчилгээнүүд хаана байгаа, энэ клиент аль хянагчийг ашиглах ёстой. Асуулт нь домэйны нэрээр нэрлэгдсэн бүсийн доорх SRV бичлэг хэлбэрээр илэрхийлэгддэг бөгөөд давтамжтай нийтийн шийдэгч тэдгээрийг хадгалах ямар ч шалтгаангүй.

Бичлэг байхгүй үед шийдэгч сөрөг хариулт буцаадаг, энэ нь тасалдал биш, хүчинтэй DNS хариулт. Дараа нь клиент хадгалагдсан хянагчийн мэдээлэл байвал түүн рүү буцдаг бөгөөд яг үүнээс болж ширээний компьютер хэдэн цагийн турш хэвийн харагдаад дахин ачаалах эсвэл нууц үг солихын дараа бүтэлгүйтдэг.

Домэйны клиент бодитоор юу асуудаг, дарааллаар

corp.example шиг домэйны хувьд ерөнхий локаторын асуулт нь _ldap._tcp.dc._msdcs.corp.example. SRV хариултууд боломжит хянагчид ба тэдгээрийн портуудыг нэрлэдэг, дараа нь клиент холболт нээхийн өмнө тэдгээр хостын нэрсийн хаягийн бичлэг хэрэгтэй. Сайтыг харгалзсан илрүүлэлт сайтын дэд домэйны доор асуулт нэмдэг бөгөөд хариултууд аль хянагч илүүд үзэгдэхийг тодорхойлдог, аль нь заавал байх ёстойг биш.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Гинжин хэлхээг энэ дарааллаар, асуудал үүсдэг сүлжээнээс эхлэн дагаарай. Хүрэх боломжгүй хаяг руу шийдэгдэх хостын нэр нь чиглүүлэлтийн алдаа, DNS алдаа биш. Локаторын бичлэг дутуу хүрч болох хянагч нь DNS алдаа, чиглүүлэлтийн алдаа биш. Хоёулаа ижил төстэй хэрэглэгчийн гомдол, огт өөр засварыг үүсгэдэг.

Нийтийн шийдэгч хариулдаг ч нэвтрэлт яагаад эвдэрдэг вэ

Хэрэв адаптер клиентэд нийтийн шийдэгч өгвөл нийтийн нэрүүд ажиллаж, дотоод нэрийн орон зай ажиллахгүй. Хоёр дахь нийтийн шийдэгч нэмэх нь тус болохгүй, учир нь хоёулаа бүсийг эзэмшдэггүй. Мөн “эхлээд дотоод, дараа нь нийтийн” гэсэн ердийн жагсаалт домэйн бүрийн дүрэм мэт ажиллахгүй: эхний серверийн сөрөг хариулт нь хууль ёсны хариулт бөгөөд клиент зөвхөн хариулт хоосон байсан гэсэн шалтгаанаар хоёр дахь серверийг дахин оролддоггүй.

Хоёр дотоод шийдэгч, хэрэв хоёрыг ажиллуулж байгаа бол, AD-ийн нэрийн орон зайг эзэмшиж, клиентийн одоогийн сүлжээнээс хүрч болохуйц байх ёстой. Хуваасан туннелийн зохион байгуулалт яг үүнийг эвддэг: VPN туннелийн дэд сүлжээг зөөж чадах боловч дотоод шийдэгч нь туннель чиглүүлдэггүй префикс дээр байвал асуулт хариулж чадахгүй шийдэгч рүү гарна.

Windows мөн тодорхой нэрийн орон зайг тодорхой сервер рүү чиглүүлж болох нэрийн шийдлийн бодлогыг хэрэглэдэг бөгөөд адаптерын харуулж буй DNS хаягууд нь бүх түүх биш. Тэр бодлогыг өөрчлөхгүйгээр адаптерын жагсаалтыг өөрчлөх нь үр дүнтэй тохиргоог хөндөгдөхгүй орхиж болох тул хэрэглэсэн мэт харагдах засвар ямар ч нөлөөгүй.

Туннелийн DNS болон түүний маршрутыг зохицуулалттай байлга

Шийдэгчийг түлхдэг боловч түүнийг агуулсан префиксийг түлхдэггүй VPN профайл нь клиент хүрч чадахгүй шийдэгчийг үүсгэдэг; префиксийг түлхэж шийдэгчгүй профайл нь клиентийг орон нутгийнхаас асуухад үлдээдэг. Хосыг нэг тохиргооны зүйл гэж үзэж профайлын өөрчлөлт бүрийн дараа хоёуланг нь шалга, учир нь дахин эрэмбэлсэн түлхэлт эсвэл шинэ хуваасан туннелийн бодлого тэднийг салгаж болно.

Клиент түлхсэн тохиргоотой юу хийдгийг ч шалга. Зарим клиент DNS серверийг зөвхөн туннелийн интерфейс дээр хэрэглэж, физик адаптерын шийдэгчийг байранд нь үлдээдэг тул аль нь ялах нь интерфейсийн метрик, асуудаг нэрээс хамаарна. Хэрэв дотоод хариулт зөвхөн физик адаптер идэвхгүй үед ирвэл засах механизм нь тэр, домэйны бичлэг биш.

Илрүүлэлтийн дуудлага болон нэг амьд үйлдлээр хүлээж ав

Ашигтай хүлээн авах тест локаторын асуултыг ажиллуулж, дараа нь нэг бодит баталгаажсан үйлдэл хийдэг, жишээ нь каталогт тулгуурласан хуваалтыг нээх эсвэл тасалбар хүсэх. Үүнийг VPN-ийн шилжилтийн өмнө болон дараа дахин, ижил машин дээр, хооронд нь дахин ачаалахгүйгээр хий. Хадгалагдсан итгэмжлэл болон аль хэдийн нээгдсэн сессүүд эвдэрсэн замыг дуртайяа эрүүл харагдуулдаг тул ажлын ширээний амжилттай нэвтрэлт нь тест биш.

Microsoft-ын DNS клиентийн зөвлөмжүүд дотоод нэрийн орон зайг шийдэх болон нийтийн асуултыг дээш дамжуулах хооронд ижил хил татдаг бөгөөд VPN нэвтрүүлэх үед хадгалах ёстой зохион байгуулалт нь энэ.

Хэрэв алдаа зөвхөн удаан бөгөөд бүтэлгүй биш бол сааталтыг оношлогооноос тусгаарла. Илрүүлэлтийн үеийн хугацаа дуусах нь хүрэх боломжгүй хянагч, хаагдсан порт эсвэл оройтож хариулдаг шийдэгчээс ирж болох бөгөөд тэдгээрийн алийг ч зөвхөн хүлээлтээр баталж чадахгүй. Шийдэгчийн тохиргоог өөрчлөхийн өмнө бодит асуулт, түүний хариулт, холболтын оролдлогыг тэмдэглэ.