Tre kjelder kan leggje VPN-adressa til ein domenecontroller i DNS

Tre ulike komponentar på ein domenecontroller med fleire nettverkskort kan leggje den same VPN-adressa i DNS, og dei sviktar uavhengig av kvarandre. Samanlikn kva kvar av dei publiserer i staden for å stole på avkryssingsboksen på nettverkskortet, som berre styrer éin av dei. Symptomet er identisk i alle tilfelle: ein klient slår opp namnet, får tunneladressa og når ikkje domenecontrolleren. Kven som publiserte ho, avgjer korleis ho skal stansast.

Éi innstilling, éin teneste og éi rolle; tre kjelder, tre brytarar.

Start med posten, ikkje avkryssingsboksen

Slå opp det fulle namnet til den råka tenaren gjennom DNS-tenaren klientane faktisk brukar, og noter kvar adresse som kjem tilbake. Samanhald kvar returnerte adresse med dei faktiske LAN- og tunnelgrensesnitta til tenaren og med netta klientane sit i. Ei adresse kan vere heilt gyldig lokalt og likevel utilgjengeleg for klientane som tel. Periodevise autentiseringsfeil er eit vanleg symptom, fordi klientar får eller vel ulike adresser ved ulike forsøk.

At maskinen slår opp sitt eige namn rett, beviser svært lite. Testen som tel, blir køyrd frå klientnetta.

Nettverkskortet er berre éi kjelde

TCP/IP-eigenskapane til nettverkskortet har ein avkryssingsboks for å registrere adressa til den tilkoplinga, og å fjerne hakemerket stillar nøyaktig éi kjelde. Det stoppar ikkje dei andre, og difor kan posten dukke opp att etter ein omstart. Viss domenecontrolleren òg køyrer DNS-tenesta, har den tenesta si eiga lyttkonfigurasjon og sine eigne namneserverpostar. Retningslinjene frå Microsoft for miljø med fleire nettverkskort handsamar grensesnåttåtferd, DNS-tenesta og Netlogon som separate relevante kjelder.

Tre brytarar, tre eigarar, og berre éin av dei bur på eigenskapssida til nettverkskortet.

DNS-tenesta har eigne adresser

Ein DNS-tenar som får beskjed om å lytte på ei VPN-adresse, held fram med å publisere ho i sine eigne postar, uansett kva avkryssingsboksen på nettverkskortet påstår. Juster lyttadressene til tenesta mot dei tiltenkte grensesnitta, og gå gjennom namneserveroppføringane i sona samstundes. Å endre lyttarar kan avbryte klientar som akkurat no brukar ei adresse du fjernar, så fastslå først kven som er avhengig av kvar enkelt. Å slette ein lyttar berre fordi det er ei VPN-adresse, kan skjere av dei klientane du prøvde å hjelpe.

Netlogon, og oppdaging av domenecontrollarar generelt, registrerer òg adresser som ein del av sine eigne plikter. Ikkje undertrykk registreringar i heile domenet, og ikkje kopier ei gammal registreringsløysing for ekstern tilgang utan å stadfeste at ho gjeld din versjon og rolle.

Eigarskap før opprydding

Rett kjelda før du fjernar posten, elles set den neste registreringshendinga han tilbake, og øvinga blir gjenteken. Fjern forelda oppføringar gjennom prosessen til DNS-eigaren og tak høgd for hurtigbuffer og aldring. Kontroller frå klientnetta, med dekning av domeneoppdaging og programmet som opphavleg svikta, og utløys deretter den same VPN-hendinga som først skapte adressa.

Det du vil ha til slutt, er eit kjent sett publiserte adresser og lyttarar, medan den daglege domeneregistreringa framleis gjer jobben sin. Ein maskin der namnet tilfeldigvis blir slått opp rett like etter manuell opprydding, er ikkje det.

Noter kva kjelde som var ansvarleg, kva postar som vart endra og kva klientar som vart testa. Den neste tenaren med fleire nettverkskort vil ha dei same tre mistenkte.