Trzy źródła mogą umieścić adres VPN kontrolera domeny w DNS

Trzy różne komponenty na kontrolerze domeny z wieloma kartami sieciowymi mogą umieścić ten sam adres VPN w DNS i zawodzą niezależnie od siebie. Porównaj, co publikuje każdy z nich, zamiast ufać polu wyboru karty sieciowej, które kontroluje tylko jedno z nich. Objaw jest w każdym przypadku identyczny: klient rozwiązuje nazwę, otrzymuje adres tunelu i nie może połączyć się z kontrolerem domeny. To, kto go opublikował, decyduje o tym, jak to zatrzymać.

Jedno ustawienie, jedna usługa i jedna rola; trzy źródła, trzy przełączniki.

Zacznij od rekordu, nie od pola wyboru

Odpytaj pełną nazwę dotkniętego serwera przez serwer DNS, którego klienci faktycznie używają, i zapisz każdy zwrócony adres. Porównaj każdy zwrócony adres z rzeczywistymi interfejsami LAN i tunelu serwera oraz z sieciami, w których są klienci. Adres może być całkowicie prawidłowy lokalnie, a mimo to nieosiągalny dla klientów, na których zależy. Okresowe błędy uwierzytelniania są częstym objawem, ponieważ klienci w różnych próbach otrzymują lub wybierają różne adresy.

To, że maszyna poprawnie rozwiązuje własną nazwę, dowodzi bardzo niewiele. Decydujący test wykonuje się z sieci klientów.

Karta sieciowa to tylko jedno źródło

Właściwości TCP/IP karty sieciowej zawierają pole wyboru do rejestrowania adresu tego połączenia, a jego odznaczenie ucisza dokładnie jedno źródło. Nie zatrzymuje pozostałych, dlatego rekord może pojawić się ponownie po restarcie. Jeśli kontroler domeny uruchamia także usługę DNS, usługa ta ma własną konfigurację nasłuchu i własne rekordy serwera nazw. Wytyczne Microsoftu dla środowisk z wieloma kartami sieciowymi traktują zachowanie interfejsu, usługę DNS i Netlogon jako odrębne istotne źródła.

Trzy przełączniki, trzech właścicieli, a tylko jeden z nich mieszka na stronie właściwości karty sieciowej.

Usługa DNS ma własne adresy

Serwer DNS, któremu kazano nasłuchiwać na adresie VPN, nadal publikuje go we własnych rekordach, cokolwiek twierdzi pole wyboru karty sieciowej. Dopasuj adresy nasłuchu usługi do zamierzonych interfejsów i jednocześnie przejrzyj wpisy serwera nazw strefy. Zmiana adresów nasłuchu może przerwać klientom, którzy właśnie używają usuwanego adresu, więc najpierw ustal, kto od którego zależy. Usunięcie nasłuchu tylko dlatego, że jest to adres VPN, może odciąć klientów, którym chciałeś pomóc.

Netlogon, a ogólnie wykrywanie kontrolerów domeny, również rejestruje adresy w ramach własnych obowiązków. Nie wyłączaj rejestracji w całej domenie i nie kopiuj starego obejścia rejestracji dla dostępu zdalnego, nie potwierdzając, że dotyczy twojej wersji i roli.

Własność przed sprzątaniem

Napraw źródło, zanim usuniesz rekord, w przeciwnym razie następne zdarzenie rejestracji go przywróci i ćwiczenie się powtórzy. Usuń nieaktualne wpisy procesem właściciela DNS i uwzględnij pamięć podręczną oraz starzenie. Sprawdź z sieci klientów, obejmując wykrywanie domeny i aplikację, która pierwotnie zawiodła, a następnie wywołaj to samo zdarzenie VPN, które po raz pierwszy utworzyło adres.

Na koniec chcesz mieć znany zestaw opublikowanych adresów i nasłuchów, podczas gdy codzienna rejestracja domeny nadal wykonuje swoją pracę. Maszyna, której nazwa przypadkiem rozwiązuje się poprawnie tuż po ręcznym sprzątaniu, nie jest tym.

Zapisz, które źródło było odpowiedzialne, które rekordy się zmieniły i którzy klienci zostali przetestowani. Następny serwer z wieloma kartami sieciowymi będzie miał tych samych trzech podejrzanych.