DNS záznamy klientov VPN: vlastník, TTL a čistenie sú oddelené veci

Notebooky sa pripoja, dostanú adresu VPN, a názov, ktorý prekladajú ostatné systémy, stále ukazuje na včerajšiu adresu kancelárie. Nič neskomplikovalo: adresa bola pridelená, záznam nebol aktualizovaný a medzipamäť stále drží starú odpoveď. Sú to tri objekty s tromi vlastníkmi a iba jeden z nich patrí VPN. Plánovanie zverejnenia znamená rozhodnúť, kto názov zapisuje, ktoré rozhrania sa zúčastňujú a kedy zastarané údaje zmiznú.

Príznak: názov, ktorý nasleduje nesprávnu adresu

Zo zariadenia je tunel hore a adresa VPN odpovedá. Z pracovnej stanice kolegu sa ten istý názov hostiteľa preloží na privátnu adresu, ktorú zariadenie už nemá, takže spojenie vyprší proti stroju, ktorý sa presunul. Záznam je autoritatívny a nesprávny, čo je horšie ako chýbajúci. Všetci mu veria a nikto sa nemôže pripojiť.

Opačný prípad je tichší: záznam zmizne a názov sa prestane prekladať úplne. Oba výsledky pochádzajú z tej istej medzery v návrhu a ani jeden sa neopraví znížením TTL. Kratšia životnosť medzipamäti mení, ako dlho nesprávna odpoveď prežije, nie to, či sa zapíše.

Začnite otázkou, ktorý objekt zostarol. Adresa, ktorú VPN pridelila, záznam v zóne a odpoveď v medzipamäti prekladača majú rôzne životnosti a rôznych vlastníkov.

Tri objekty, traja vlastníci

VPN vlastní prideľovanie adries a môže adresu vydať z interného fondu bez toho, aby sa do notebooku dostala akákoľvek výmena DHCP. Zóna DNS vlastní záznam a jej bezpečnostný model rozhoduje, kto ho smie vytvoriť alebo zmeniť. Medzipamäť prekladača vlastní kópiu, ktorú čitateľ práve používa, a nič, čo zariadenie urobí, sa do nej nedostane.

Predpoklad, že jedna komponenta robí všetky tri, je miesto, kde sa návrh láme. Adresa, ktorá vyzerá, že prišla zo spravovaného rozsahu, nedokazuje, že registráciu vykonal server DHCP, a úspešná registrácia nedokazuje, že si čitatelia obnovili medzipamäť.

Kto smie záznam aktualizovať

V zóne integrovanej s Active Directory a so zabezpečenými dynamickými aktualizáciami žijú oprávnenia na samotnom zázname. Záznam vytvorený servisným účtom DHCP nemusí byť zapisovateľný z počítačového účtu notebooku a neskoršia zmena modelu vlastníctva je prechod, nie prepínač. Preto konflikt vlastníctva prežije každé nastavenie na strane klienta.

Usmernenia Microsoftu k dynamickým aktualizáciám uprednostňujú registráciu na strane klienta pre hybridné koncové body pripojené k doméne. Prijať ich znamená vedome presunúť existujúce záznamy, nie len zaškrtnúť políčko na adaptéri VPN a dúfať, že starý vlastník ustúpi.

Keď musí služba DHCP registrovať iné triedy zariadení, dajte jej podporovaný model prihlasovacích údajov a oprávnení pre túto rolu. Držte dopredné a spätné záznamy v jednom pláne, pretože ich často spravujú rôzne komponenty a na jeden sa zvyčajne zabudne.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Prvý príkaz ukáže, ktoré adresy zariadenie považuje za svoje a či je spojenie nastavené ich registrovať. Druhý a tretí porovnávajú, čo klient preloží, s tým, čo zóna skutočne ukladá, a to oddeľuje problém medzipamäti od autoritatívneho.

Tri hodiny, nie jedny

Zverejnenie a obnovenie sú prvé hodiny: kedy autorizovaný aktualizátor oznámi, že sa adresa zmenila. TTL medzipamäti sú druhé: ako dlho smie prekladač držať prijatú odpoveď. Autoritatívne čistenie je tretie: ako sa zastarané záznamy odstraňujú procesom registrácie alebo starnutím a čistením.

Tieto hodiny sú nezávislé a ich zámena dáva opravy, ktoré nefungujú. Zmena v jedných je pre druhé dvoje neviditeľná. Krátke TTL skracuje život uloženej odpovede a nedáva žiadne oprávnenie na aktualizáciu. Čistenie odstraňuje záznamy, ktoré neboli obnovené, a nedokáže opraviť záznam, ktorý nikdy nezapísal správny vlastník.

Nastavte TTL podľa toho, ako rýchlo musia čitatelia zmenu vidieť, a čistenie podľa toho, ako dlho má opustené zariadenie držať názov. Ani jedno z tých čísel nerozhoduje, kto smie záznam zapísať, a žiadna hodnota TTL neurobí z prideľovania adries administrátorské práva k DNS.

Naplánujte zverejnenie pre putujúce zariadenie

Rozhodnite, ktoré rozhrania sa registrácie zúčastňujú. Domáca adresa Wi-Fi, adresa VPN a stará adresa kancelárie slúžia rôznym publikám a zverejnenie všetkých vytvára názov s niekoľkými odpoveďami nerovnakej užitočnosti. Registrujte rozhrania, na ktoré zamýšľaní čitatelia skutočne dosiahnu.

Držte stabilný názov počítača ako identitu a adresy berte ako jeho atribúty. Zachovajte záznamy zisťovania domény, ktoré zariadenie potrebuje, a nevypínajte registráciu plošne, aby ste vyriešili problém duplicitných záznamov, ktorý by opravila zmena oprávnení.

Zapíšte pridelovač, aktualizátor a vlastníka čistenia do jedného záznamu s uvedenými zamýšľanými čitateľmi. Keď názov znova ukáže na nesprávnu adresu, tento záznam vám povie, ktorého z troch preskúmať najskôr, namiesto začínania vyšetrovania odznova.