Três editores podem colocar o endereço VPN de um controlador de domínio no DNS

Três componentes diferentes em um controlador de domínio com várias interfaces podem colocar o mesmo endereço VPN no DNS, e falham de forma independente. Compare o que cada um publica em vez de confiar na caixa de seleção do adaptador, que controla apenas um deles. O sintoma é idêntico em todos os casos: um cliente resolve o nome, recebe o endereço do túnel e não consegue alcançar o controlador de domínio. Quem o publicou decide como detê-lo.

Uma configuração, um serviço e uma função; três editores, três interruptores.

Comece pelo registro, não pela caixa de seleção

Consulte o nome completo do servidor afetado pelo servidor DNS que os clientes realmente usam, e anote todos os endereços retornados. Compare cada endereço retornado com as interfaces LAN e de túnel reais do servidor e com as redes em que os clientes estão. Um endereço pode ser perfeitamente válido localmente e inacessível para os clientes que importam. Falhas de autenticação intermitentes são um sintoma comum, porque os clientes recebem ou escolhem endereços diferentes em tentativas diferentes.

Que a máquina resolva corretamente o próprio nome prova muito pouco. O teste que importa é executado a partir das redes dos clientes.

O adaptador é apenas um editor

As propriedades TCP/IP do adaptador têm uma caixa para registrar o endereço dessa conexão, e desmarcá-la silencia exatamente um editor. Não detém os outros, e por isso o registro pode reaparecer após uma reinicialização. Se o controlador de domínio também executa o serviço DNS, esse serviço tem a própria configuração de escuta e os próprios registros de servidor de nomes. As orientações da Microsoft para ambientes com várias interfaces tratam o comportamento da interface, o serviço DNS e o Netlogon como editores relevantes separados.

Três interruptores, três proprietários, e apenas um deles fica na página de propriedades do adaptador.

O serviço DNS tem os próprios endereços

Um servidor DNS instruído a escutar em um endereço VPN continua a publicá-lo nos próprios registros, independentemente do que a caixa de seleção do adaptador afirme. Alinhe os endereços de escuta do serviço às interfaces pretendidas e revise ao mesmo tempo as entradas de servidor de nomes da zona. Alterar os ouvintes pode interromper clientes que estão usando agora um endereço que você remove, então estabeleça primeiro quem depende de cada um. Excluir um ouvinte só porque é um endereço VPN pode cortar os clientes que você queria ajudar.

O Netlogon, e a descoberta de controladores de domínio em geral, também registram endereços como parte das próprias funções. Não suprima registros em todo o domínio nem copie uma solução antiga de registro de acesso remoto sem confirmar que ela se aplica à sua versão e função.

Propriedade antes da limpeza

Corrija o editor antes de remover o registro, ou o próximo evento de registro o colocará de volta e o exercício se repete. Remova as entradas obsoletas pelo processo do proprietário do DNS e considere o cache e o envelhecimento. Verifique a partir das redes dos clientes, cobrindo a descoberta de domínio e o aplicativo que falhou originalmente, e então dispare o mesmo evento VPN que produziu o endereço pela primeira vez.

O que você quer no final é um conjunto conhecido de endereços e ouvintes publicados, com o registro de domínio cotidiano ainda fazendo seu trabalho. Uma máquina cujo nome por acaso se resolve corretamente logo após uma limpeza manual não é isso.

Anote qual editor era o responsável, quais registros mudaram e quais clientes foram testados. O próximo servidor com várias interfaces terá os mesmos três suspeitos.