Fungujúce verejné DNS neznamená, že Active Directory sa dá nájsť

VPN sa pripojí, prehliadač otvorí verejnú stránku a notebook sa napriek tomu nemôže prihlásiť do domény. Zvyčajný záver je, že DNS je v poriadku, pretože sa názvy prekladajú. Nie je, a dôvod je ten, že test v prehliadači precvičí len jeden dotaz z reťazca, ktorý klient pripojený k doméne potrebuje. Zisťovanie domény najprv žiada záznamy služieb, potom adresy radičov, ktoré tieto záznamy menujú, a nakoniec trasu k portom, na ktorých tieto radiče načúvajú. Verejná odpoveď nesplňuje ani jeden z týchto krokov.

Mýtus: názvy sa prekladajú, takže DNS je hotové

To, že sa verejná stránka preloží, hovorí len to, že nejaký prekladač odpovedal na jeden dotaz A alebo AAAA pre názov vo verejnej zóne. Active Directory používa ten istý protokol na inú otázku: kde sú služby domény a ktorý radič má tento klient použiť. Otázka je vyjadrená záznamami SRV v zóne pomenovanej po doméne a rekurzívny verejný prekladač nemá dôvod ich držať.

Keď záznam chýba, prekladač vráti negatívnu odpoveď, čo je platná odpoveď DNS, a nie výpadok. Klient sa potom vráti k informáciám o radičoch v pamäti, ak ich má, a práve preto môže stolný počítač hodiny vyzerať dobre a zlyhať po reštarte alebo zmene hesla.

Čo klient domény skutočne žiada, v poradí

Pre doménu ako corp.example je všeobecný dotaz lokátora _ldap._tcp.dc._msdcs.corp.example. Odpovede SRV menujú kandidátov na radiče a ich porty, a potom klient potrebuje adresné záznamy pre tieto názvy hostiteľov, kým môže otvoriť spojenie. Zisťovanie s ohľadom na lokalitu pridáva dotazy pod subdoménou lokality a odpovede určujú, ktoré radiče sú uprednostňované, a nie ktorý je povinný.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Sledujte reťazec v tomto poradí, zo siete, kde problém vzniká. Názov hostiteľa, ktorý sa preloží na nedostupnú adresu, je chyba smerovania, nie chyba DNS. Dostupný radič, ktorému chýbajú záznamy lokátora, je chyba DNS, nie chyba smerovania. Obe dávajú podobné sťažnosti používateľov a úplne odlišné opravy.

Prečo verejný prekladač odpovedá a prihlásenie sa napriek tomu láme

Ak adaptér dá klientovi verejný prekladač, verejné názvy fungujú a vnútorný priestor názvov nie. Pridanie druhého verejného prekladača nepomôže, pretože ani jeden zónu nedrží. Ani zvyčajný zoznam „najprv vnútorný, potom verejný“ sa nespráva ako pravidlo pre jednotlivé domény: negatívna odpoveď prvého servera je legitímna odpoveď a klient neskúša druhý server znova len preto, že odpoveď bola prázdna.

Oba vnútorné prekladače, ak máte dva, musia držať priestor názvov AD a byť dostupné z aktuálnej siete klienta. Presne to lámu návrhy rozdeleného tunela: VPN môže niesť podsieť tunela, kým vnútorný prekladač sedí na prefixe, ktorý tunel nesmeruje, takže dotaz ide k prekladaču, ktorý naň nedokáže odpovedať.

Windows uplatňuje aj zásadu prekladu názvov, ktorá môže smerovať konkrétne priestory názvov na konkrétne servery, a adresy DNS zobrazené adaptérom nie sú celý príbeh. Zmena zoznamu adaptéra bez zmeny tejto zásady môže ponechať účinnú konfiguráciu nedotknutú, a preto oprava, ktorá vyzerá použitá, nemá žiadny účinok.

Udržujte DNS tunela a jeho trasy v súlade

Profil VPN, ktorý pretlačí prekladač, ale nie prefix, ktorý ho obsahuje, vytvorí prekladač, ktorý klient nedosiahne; profil, ktorý pretlačí prefix bez prekladača, nechá klienta pýtať sa lokálneho. Berte dvojicu ako jednu konfiguračnú položku a po každej zmene profilu skontrolujte obe, pretože preusporiadané pretlačenie alebo nová zásada rozdeleného tunela ich môže oddeliť.

Skontrolujte aj, čo klient robí s pretlačeným nastavením. Niektorí klienti použijú server DNS len na rozhranie tunela a prekladač fyzického adaptéra nechajú na mieste, takže o víťazovi rozhoduje metrika rozhrania a dopytovaný názov. Ak vnútorná odpoveď prichádza len pri vypnutom fyzickom adaptéri, je to mechanizmus na opravu, nie záznamy domény.

Prijímajte s volaním zisťovania a jednou živou operáciou

Užitočný prijímací test spustí dotaz lokátora a potom vykoná jednu skutočnú overenú operáciu, napríklad otvorí zdieľanie podložené adresárom alebo požiada o lístok. Urobte to pred prechodom na VPN a znova po ňom, na tom istom počítači, bez reštartu medzitým. Uložené prihlasovacie údaje a už otvorené relácie radi urobia z pokazenej cesty zdravú, takže úspešné prihlásenie na plochu nie je test.

Odporúčania Microsoftu pre klienta DNS kreslia tú istú hranicu medzi prekladom vnútorného priestoru názvov a odovzdávaním verejných dotazov vyššie, a to je usporiadanie, ktoré treba zachovať pri zavádzaní VPN.

Ak je zlyhanie len pomalé a nie neúspešné, držte oneskorenie oddelene od diagnózy. Časový limit počas zisťovania môže prísť z nedostupného radiča, blokovaného portu alebo prekladača, ktorý odpovedá neskoro, a nič z toho samo čakanie nepreukáže. Zaznamenajte skutočný dotaz, jeho odpoveď a pokus o spojenie, kým zmeníte nastavenie prekladača.