Нэг адаптер дээрх хоёр DNS сервер нэрийн огторгуйг хуваахгүй

Нэг адаптер дээр хоёр шийдэгчийг жагсаах нь нэг доменыг нэг сервер рүү, нөгөө доменыг нөгөө рүү илгээх арга мэт харагдана, гэхдээ шийдэгчийн жагсаалтад юу ч тэгж ажиллахгүй. Windows нэрээр шийддэг бөгөөд аль серверээс асуух тухай шийдвэр нь эрэмбэлсэн хаягийн жагсаалтаас биш, бодлогын объектуудаас ирдэг. Орлуулах сэтгэлгээний загвар нь дараалал юм: A доменд эхний сервер, B доменд хоёр дахь сервер гэж байхгүй. Нэрийн огторгуй бүрт серверүүдийг тодорхой нэрлэсэн дүрмийн багц байдаг бөгөөд тэдгээр дүрэм бий болсны дараа адаптерын жагсаалт сонирхолтой байхаа болино.

Домог: хоёр хаяг хоёр доменыг хуваадаг

Энэ итгэл үнэмшил үлддэг шалтгаан нь нэг сервер бүх зүйлд хариулж, хоёр дахь нь зөвхөн нөөц байх үед санамсаргүйгээр ажилладаг. Клиент эхний серверээс асууна, тэр сервер дамжуулах эсвэл рекурс хийх ба хариулт ирнэ; бүсийг үнэхээр аль шийдэгч эзэмшиж байсныг хэн ч анзаардаггүй. Хоёр нэрийн огторгуй хоорондоо дамжуулалтгүй тусдаа хувийн бүсэд амьдарч эхлэх тэр мөчид хуурмаг байдал эвдэрдэг, учир нь тэр үед эхний сервер нэр байхгүй гэж эрх мэдэлтэй хариулдаг. Эхний серверийн сөрөг хариулт нөөцийг ажиллуулдаггүй, учир нь клиент бүтэлгүйтэл биш, эцсийн хариулт авсан.

Эрэмбэлсэн жагсаалтад домений ойлголт байхгүй тул зорилгыг илэрхийлж чадахгүй. Жагсаалт үнэндээ аль серверээс эхлэн асуух, аль нь хоёрдугаарт туршигдахыг удирддаг бөгөөд эдгээр хоёр хариулт нь нэр бүрт адил тэгш хамаарна.

Windows сонгохдоо үнэхээр юу ашигладаг вэ

Нэр шийдвэрлэх бодлогын хүснэгт нэрийг тохируулсан нэрийн огторгуйтай тааруулж, тухайн тохиролд сервер ба сонголтуудыг сонгодог. Дүрмийг локалаар тохируулах, бүлгийн бодлогоор хүргэх эсвэл VPN профайлаас өгөх боломжтой бөгөөд үр дүнтэй бодлого нь нэг жагсаалт биш, хослол юм. Тиймээс эхний диагностик үргэлж үр дүнтэй төлөв байдаг: локалаар үүсгэсэн дүрэм удирдлагатай бодлогод хожигдвол тохиргоо нь иш татсанаас огт өөр ажилладаг лаборатори бий болно. Дүрмүүд нь мөн нарийвчлалаар тааруулагддаг тул өргөн нэрийн огторгуйн бичлэг нарийн бичлэгийг тохируулсан зүйлсийн жагсаалтад харагдахгүй байдлаар сүүдэрлэж болно. Үр дүнтэй дарааллыг унших нь аль дүрэм ялдгийг харах цорын ганц арга юм.

Get-DnsClientNrptRule
Get-DnsClientNrptPolicy -Effective

Эхний команд машин дээр юу тохируулсныг жагсаана; хоёр дахь нь клиент үнэхээр юу хэрэглэхийг, өөр газраас ирсэн бичлэгийг оролцуулан харуулна. Хэрэв үр дүнтэй гаралтад удирдлагатай нэрийн огторгуй байвал өөрчлөлт хүсэх зөв газар нь тухайн бодлогын эзэн бөгөөд локал дүрмийн жагсаалт биш. Хоёр команд зөвхөн төлөв уншдаг тул хэн нэгэн өөрчлөлтэй санал нийлэхээс өмнө ажиллуулах нь юунд ч зарцуулагдахгүй.

Нэрийн огторгуй бүрт нэг дүрэм, объектыг хадгал

Үр дүнтэй төлөвийг ойлгосны дараа нэрийн огторгуй бүрт нэг дүрэм үүсгэж, команд бүрийн буцаадаг объектыг хадгал. Дэлгэцийн нэрс хүмүүст зориулсан шошго бөгөөд буцаасан объект дахь өвөрмөц танигч нь дараа нь найдвартай устгах зорилт болно. Хоёр танигчийг нэрийн огторгуй ба шийдэгчүүдийг бүртгэдэг нэг өөрчлөлтийн тэмдэглэлд бич, учир нь тэдгээрийг үүсгэсэн сесс цэвэрлэх сесс болохгүй.

$svcRule = Add-DnsClientNrptRule -Namespace ".svc.internal.example" -NameServers "10.60.0.53" -DisplayName "VPN lab services" -PassThru
$resRule = Add-DnsClientNrptRule -Namespace ".research.internal.example" -NameServers "10.61.0.53" -DisplayName "VPN lab research" -PassThru
$svcRule | Select-Object Name, Namespace, NameServers
$resRule | Select-Object Name, Namespace, NameServers

Эхний цэг нь дагавар таарлыг илэрхийлдэг тул дүрэм app.svc.internal.example болон түүний доорх бүхнийг хамарна. Энд байгаа хоёр хаяг нь энэхүү лабораторийн өөрийн чиглүүлэлтийн төлөвлөгөөнд хамаарна; дүрэм бүс үүсгэхгүй, маршрут суулгахгүй, эцэст нь холбогдох програмыг зөвшөөрөхгүй, мөн Add-DnsClientNrptRule лавлагаа аль параметр юу хийдгийг нарийн баримтжуулсан.

Эдгээр команд юу хийдэггүйг анхаарна уу: тэдгээр нь бүх машинд хамаарах бөгөөд VPN сессээр хязгаарлагдахгүй, цонхыг хаасны дараа ч үлддэг. Үүнийг мартсан лаборатори туннель алга болсны дараа бодлого үлдээдэг.

Клиент серверийг сонгосноо батла

Тодорхой серверээс нэр мэдэх эсэхийг асуух нь тэр сервер хариулж чадна гэдгийг батална, энэ нь клиент тэр серверийг сонгосон гэсэн мэдэгдэлтэй адил биш. Чухал тест нь бодит нэрийг клиентийн ердийн замаар шийдэж, дараа нь аль шийдэгч түүнийг зохицуулсныг баталдаг бөгөөд хамгийн тохиромжтой нь маршрут өгдөг туннель асаалттай үед. Хэрэв туннель унтарсан бол зөв хязгаарласан дүрэм хүрэх боломжгүй сервер рүү заасан хэвээр байна, энэ нь бодлогын бус чиглүүлэлтийн асуудал. Дараа нь ялгахын тулд хоёр төлөвийг шалга.

Resolve-DnsName app.svc.internal.example
Resolve-DnsName build.research.internal.example
Resolve-DnsName app.svc.internal.example -DnsOnly -NoHostsFile

Дүрэм үүсэхээс өмнөх үеийн кэшлэсэн хариулт болон системийн шийдэгчийг өөрийн шифрлэсэн DNS-ээр бүрэн тойрч гардаг програмуудыг анхаар. Хайлтын дагаврууд нь өөр нэг тусдаа функц: дүрэм бүтэн нэрэнд шийдэгч сонгож болох боловч Windows-д нүцгэн хост нэрийг тухайн нэрийн огторгуй руу тэлэхийг заахгүй.

Үүсгэсэн зүйлээ яг тэр чигээр нь устга

Цэвэрлэгээ нь лаборатори сургамжтай түүх болох газар. Машин дээрх бүх дүрмийг устгах нь хурдан бөгөөд өөр хэн нэгний найдаж буй бодлогыг арилгадаг тул дүрэм үүсгэх үед бүртгэсэн танигчуудыг ашиглаж, дараа нь үр дүнтэй төлөвийг дахин уншиж машин эхэлсэн газраа буцсаныг батал. Хэрэв тэдгээрийг үүсгэсэн сесс байхгүй бол өөрчлөлтийн тэмдэглэл нь танигчууд байгаа цорын ганц газар. Тиймээс тэдгээрийг эхний команд ажиллахаас өмнө бичдэг, дараа нь биш.

Remove-DnsClientNrptRule -Name $svcRule.Name -Force
Remove-DnsClientNrptRule -Name $resRule.Name -Force
Get-DnsClientNrptPolicy -Effective

Лаборатори биш, байршуулалтын хувьд амьдрах хугацааны асуулт дүрэм шиг чухал. VPN профайл нэрийн огторгуйн дүрмүүдийг агуулж болох бөгөөд холболтын дараа тэдгээр үлдэх эсэхийг сонгож болно; шийдэгч хүрэх боломжгүй үед үлддэг дүрэм клиентүүдийг үхсэн серверийг илүүд үзүүлэхэд хүргэдэг, харин холболтоор хязгаарлагдсан дүрэм туннельтай хамт алга болдог. Үйлчилгээнд эдгээр зан үйлсийн аль нь хэрэгтэйг шийдэж, дүрэм хэнийх болохыг тэмдэглэж, эрх мэдлийн хуваарилалтыг хэн нэгний лабораторийн дурсамжид биш, профайлын хажууд баримтжуулсан үлдээ.