DNS pubbliku li jaħdem ma jfissirx li Active Directory tista’ tinstab

Il-VPN jgħaddi, il-browser jiftaħ sit pubbliku, u l-laptop xorta waħda ma jistax jidħol fid-dominju. Il-konklużjoni tas-soltu hija li d-DNS tajjeb għax l-ismijiet jiġu solvuti. Mhux tajjeb, u r-raġuni hija li test fil-browser jeżerċita tfittxija waħda biss minn katina li klijent magħqud mad-dominju jeħtieġ. Is-sejbien tad-dominju jitlob l-ewwel rekords tas-servizz, imbagħad l-indirizzi tal-kontrolluri li dawk ir-rekords isemmuhom, u mbagħad rotta lejn il-portijiet li dawk il-kontrolluri jisimgħu fuqhom. Tweġiba pubblika ma tissodisfax waħda minn dawn il-passi.

Il-mit: l-ismijiet jiġu solvuti, mela d-DNS lest

Sit pubbliku li jiġi solvut jgħid biss li xi solver wieġeb għal mistoqsija A jew AAAA waħda għal isem f’żona pubblika. Active Directory tuża l-istess protokoll għal mistoqsija oħra: fejn huma s-servizzi tad-dominju, u liema kontrollur għandu juża dan il-klijent. Il-mistoqsija hija espressa bħala rekords SRV taħt żona msemmija għad-dominju, u solver pubbliku rekursiv m’għandux raġuni jżommhom.

Meta r-rekord ikun nieqes, is-solver irodd tweġiba negattiva, li hija tweġiba DNS valida u mhux waqfa. Il-klijent imbagħad jerġa’ lura għall-informazzjoni tal-kontrolluri fil-cache jekk għandu, u huwa proprju għalhekk li desktop jista’ jidher tajjeb għal sigħat u jonqos wara reboot jew bidla tal-password.

X’jitlob fil-fatt klijent tad-dominju, fl-ordni

Għal dominju bħal corp.example, il-mistoqsija ġenerika tal-lokatur hija _ldap._tcp.dc._msdcs.corp.example. It-tweġibiet SRV isemmu kontrolluri kandidati u l-portijiet tagħhom, u mbagħad il-klijent jeħtieġ rekords tal-indirizz għal dawk l-ismijiet tal-host qabel ma jista’ jiftaħ konnessjoni. Is-sejbien konxju tas-sit iżid mistoqsijiet taħt is-subdominju tas-sit, u t-tweġibiet jiddeterminaw liema kontrolluri huma ppreferuti, mhux liema huwa obbligatorju.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Segwi l-katina f’dik l-ordni, min-netwerk fejn tinbet il-problema. Isem tal-host li jiġi solvut għal indirizz li ma jistax jintlaħaq hija falliment tar-rototar, mhux falliment tad-DNS. Kontrollur li jista’ jintlaħaq imma li jonqsu r-rekords tal-lokatur tiegħu hija falliment tad-DNS, mhux falliment tar-rototar. It-tnejn jipproduċu ilmenti tal-utenti simili u tiswijiet kompletament differenti.

Għaliex solver pubbliku jwieġeb u d-dħul xorta jinkiser

Jekk l-adapter jagħti lill-klijent solver pubbliku, l-ismijiet pubbliċi jaħdmu u l-ispazju tal-ismijiet intern le. Żieda ta’ tieni solver pubbliku ma tgħin xejn, għax l-ebda waħda minnhom ma żżomm iż-żona. Anki l-lista tas-soltu “intern l-ewwel, pubbliku wara” ma taġixxi bħala regola għal kull dominju: tweġiba negattiva mill-ewwel server hija tweġiba leġittima, u l-klijent ma jerġax jipprova t-tieni server sempliċiment għax it-tweġiba kienet vojta.

Iż-żewġ solvers interni, jekk tħaddem tnejn, iridu jżommu l-ispazju tal-ismijiet tal-AD u jkunu jistgħu jintlaħqu min-netwerk attwali tal-klijent. Dan huwa l-parti li l-proġetti tal-mina maqsuma jkissru: il-VPN jista’ jġorr is-subnet tal-mina filwaqt li s-solver intern jinsab fuq prefiss li l-mina ma tirrotahx, u għalhekk il-mistoqsija toħroġ lejn solver li ma jistax iwieġibha.

Windows japplika wkoll politika tas-soluzzjoni tal-ismijiet li tista’ tindirizza spazji tal-ismijiet speċifiċi lejn servers speċifiċi, u l-indirizzi DNS li juri l-adapter mhumiex l-istorja kollha. Tibdil tal-lista tal-adapter mingħajr ma tinbidel dik il-politika jista’ jħalli l-konfigurazzjoni effettiva ma tmissx, u għalhekk tiswija li tidher applikata ma għandha l-ebda effett.

Żomm id-DNS tal-mina u r-rotot tagħha f’qbil

Profil tal-VPN li jimbotta solver imma mhux il-prefiss li jkun fih joħloq solver li l-klijent ma jistax jilħaq; ieħor li jimbotta l-prefiss mingħajr solver iħalli lill-klijent jistaqsi lill-wieħed lokali. Qis il-par bħala element wieħed tal-konfigurazzjoni u iċċekkja t-tnejn wara kull bidla tal-profil, għax imbotta mqiegħda mill-ġdid jew politika ġdida tal-mina maqsuma jistgħu jifirduhom.

Iċċekkja wkoll x’jagħmel il-klijent bis-setting imbotta. Xi klijenti japplikaw is-server DNS biss għall-interface tal-mina u jħallu s-solver tal-adapter fiżiku f’postu, u għalhekk min jirbaħ jiddependi mill-metrika tal-interface u mill-isem mistoqsi. Jekk it-tweġiba interna tiġi biss meta l-adapter fiżiku jkun diżattivat, dak huwa l-mekkaniżmu li għandu jiġi msewwi, mhux ir-rekords tad-dominju.

Aċċetta b’sejħa ta’ sejbien u operazzjoni waħda ħajja

Test tal-aċċettazzjoni utli jħaddem il-mistoqsija tal-lokatur u mbagħad iwettaq operazzjoni awtentikata waħda vera, bħall-ftuħ ta’ kondiviżjoni sostnuta mid-directory jew talba għal biljett. Agħmel dan qabel it-tranżizzjoni tal-VPN u għal darb’oħra wara, fuq l-istess magna, mingħajr reboot bejniethom. Il-kredenzjali fil-cache u s-sessjonijiet diġà miftuħa se jagħmlu triq maqsuma tidher b’saħħitha bil-qalb, u għalhekk dħul tad-desktop li jirnexxi mhuwiex it-test.

Ir-rakkomandazzjonijiet ta’ Microsoft għall-klijent DNS iġibu l-istess linja bejn is-soluzzjoni tal-ispazju tal-ismijiet intern u l-għoti tal-mistoqsijiet pubbliċi ’l fuq, u dan huwa l-arranġament li għandu jinżamm meta jiġi introdott VPN.

Jekk il-falliment huwa biss bil-mod u mhux fallut, żomm id-dewmien separat mid-dijanjosi. Timeout waqt is-sejbien jista’ jiġi minn kontrollur li ma jistax jintlaħaq, port imblukkat jew solver li jwieġeb tard, u l-ebda wieħed minnhom ma jiġi ppruvat mill-istennija waħedha. Irreġistra l-mistoqsija reali, it-tweġiba tagħha u l-attentat ta’ konnessjoni qabel ma tbiddel setting tas-solver.