Tre kilder kan legge en domenecontrollers VPN-adresse i DNS

Tre ulike komponenter på en domenecontroller med flere nettverkskort kan legge den samme VPN-adressen i DNS, og de feiler uavhengig av hverandre. Sammenlign hva hver av dem publiserer i stedet for å stole på avkrysningsboksen på nettverkskortet, som bare styrer én av dem. Symptomet er identisk i alle tilfeller: en klient slår opp navnet, får tunneladressen og når ikke domenecontrolleren. Hvem som publiserte den, avgjør hvordan den skal stanses.

Én innstilling, én tjeneste og én rolle; tre kilder, tre brytere.

Start med posten, ikke avkrysningsboksen

Slå opp det fulle navnet til den berørte serveren gjennom DNS-serveren klientene faktisk bruker, og noter hver adresse som returneres. Sammenhold hver returnerte adresse med serverens faktiske LAN- og tunnelgrensesnitt og med nettene klientene sitter i. En adresse kan være helt gyldig lokalt og likevel utilgjengelig for klientene som betyr noe. Periodiske autentiseringsfeil er et vanlig symptom, fordi klienter mottar eller velger ulike adresser ved ulike forsøk.

At maskinen slår opp sitt eget navn riktig, beviser svært lite. Testen som betyr noe, kjøres fra klientnettene.

Nettverkskortet er bare én kilde

TCP/IP-egenskapene til nettverkskortet har en avkrysningsboks for å registrere adressen til den tilkoblingen, og å fjerne hakemerket stilner nøyaktig én kilde. Det stopper ikke de andre, og derfor kan posten dukke opp igjen etter en omstart. Hvis domenecontrolleren også kjører DNS-tjenesten, har den tjenesten sin egen lyttkonfigurasjon og sine egne navneserverposter. Microsofts veiledning for miljøer med flere nettverkskort behandler grensesnittatferd, DNS-tjenesten og Netlogon som separate relevante kilder.

Tre brytere, tre eiere, og bare én av dem bor på egenskapssiden til nettverkskortet.

DNS-tjenesten har egne adresser

En DNS-server som får beskjed om å lytte på en VPN-adresse, fortsetter å publisere den i sine egne poster, uansett hva avkrysningsboksen på nettverkskortet påstår. Juster tjenestens lyttadresser mot de tiltenkte grensesnittene, og gå gjennom navneserveroppføringene i sonen samtidig. Å endre lyttere kan avbryte klienter som akkurat nå bruker en adresse du fjerner, så fastslå først hvem som er avhengig av hver enkelt. Å slette en lytter bare fordi det er en VPN-adresse, kan skjære av de klientene du prøvde å hjelpe.

Netlogon, og oppdagelse av domenecontrollere generelt, registrerer også adresser som en del av sine egne plikter. Ikke undertrykk registreringer i hele domenet, og ikke kopier en gammel registreringsløsning for ekstern tilgang uten å bekrefte at den gjelder din versjon og rolle.

Eierskap før opprydding

Rett kilden før du fjerner posten, ellers setter den neste registreringshendelsen den tilbake, og øvelsen gjentas. Fjern foreldede oppføringer gjennom DNS-eierens prosess og ta høyde for hurtigbuffer og aldring. Kontroller fra klientnettene, med dekning av domeneoppdagelse og programmet som opprinnelig feilet, og utløs deretter den samme VPN-hendelsen som først skapte adressen.

Det du vil ha til slutt, er et kjent sett publiserte adresser og lyttere, mens den daglige domeneregistreringen fortsatt gjør jobben sin. En maskin hvis navn tilfeldigvis slås opp riktig rett etter manuell opprydding, er ikke det.

Noter hvilken kilde som var ansvarlig, hvilke poster som ble endret og hvilke klienter som ble testet. Den neste serveren med flere nettverkskort vil ha de samme tre mistenkte.