Tri zdroje môžu zverejniť adresu VPN radiča domény v DNS

Tri rôzne komponenty na radiči domény s viacerými sieťovými rozhraniami môžu vložiť rovnakú adresu VPN do DNS a zlyhávajú nezávisle od seba. Porovnajte, čo každý z nich zverejňuje, namiesto toho, aby ste dôverovali zaškrtávaciemu políčku adaptéra, ktoré riadi iba jeden z nich. Príznak je vo všetkých prípadoch rovnaký: klient preloží názov, dostane adresu tunela a nemôže sa pripojiť k radiču domény. Kto ju zverejnil, rozhoduje o tom, ako to zastaviť.

Jedno nastavenie, jedna služba a jedna rola; tri zdroje, tri prepínače.

Začnite záznamom, nie zaškrtávacím políčkom

Overte celý názov postihnutého servera cez server DNS, ktorý klienti skutočne používajú, a zapíšte všetky vrátené adresy. Každú vrátenú adresu porovnajte so skutočnými rozhraniami LAN a tunela servera a so sieťami, v ktorých sa klienti nachádzajú. Adresa môže byť lokálne úplne platná a napriek tomu nedostupná pre klientov, na ktorých záleží. Častým príznakom sú občasné zlyhania overovania, pretože klienti pri rôznych pokusoch dostanú alebo zvolia rôzne adresy.

To, že stroj správne preloží svoj vlastný názov, dokazuje len veľmi málo. Rozhodujúci test prebieha zo sietí klientov.

Adaptér je len jedným zdrojom

Vlastnosti TCP/IP adaptéra obsahujú zaškrtávacie políčko na registráciu adresy tohto pripojenia a jeho odškrtnutím umlčíte presne jeden zdroj. Nezastaví ostatné, a preto sa záznam môže po reštarte znova objaviť. Ak radič domény prevádzkuje aj službu DNS, táto služba má vlastnú konfiguráciu počúvania a vlastné záznamy name servera. Microsoft vo svojom odporúčaní pre prostredia s viacerými rozhraniami považuje správanie rozhrania, službu DNS a Netlogon za samostatné relevantné zdroje.

Tri prepínače, traja vlastníci a iba jeden z nich sídli na stránke vlastností adaptéra.

Služba DNS má vlastné adresy

Server DNS, ktorému sa povie, aby počúval na adrese VPN, ju ďalej zverejňuje vo svojich vlastných záznamoch, nech zaškrtávacie políčko adaptéra tvrdí čokoľvek. Zlaďte adresy počúvania služby s určenými rozhraniami a zároveň skontrolujte záznamy name servera v zóne. Zmena počúvajúcich adries môže prerušiť klientov, ktorí práve používajú adresu, ktorú odoberáte, preto najprv zistite, kto na ktorej závisí. Zmazať počúvajúcu adresu len preto, že ide o adresu VPN, môže odrezať klientov, ktorým ste chceli pomôcť.

Netlogon a všeobecne zisťovanie radičov domény tiež registrujú adresy v rámci svojich vlastných povinností. Nepotláčajte registrácie v celej doméne a nekopírujte starý registračný trik pre vzdialený prístup bez overenia, že platí pre vašu verziu a rolu.

Vlastníctvo skôr než upratovanie

Opravte zdroj skôr, než záznam odstránite, inak ho ďalšia registračná udalosť vráti späť a cvičenie sa zopakuje. Odstráňte zastarané položky procesom vlastníka DNS a počítajte s vyrovnávacou pamäťou a starnutím. Skontrolujte to zo sietí klientov vrátane zisťovania domény a aplikácie, ktorá pôvodne zlyhala, a potom spustite tú istú udalosť VPN, ktorá adresu prvýkrát vytvorila.

Na konci chcete známu sadu zverejnených a počúvajúcich adries, pričom bežná registrácia v doméne ďalej robí svoju prácu. Stroj, ktorého názov sa náhodou správne preloží hneď po ručnom uprataní, tým nie je.

Zapíšte, ktorý zdroj bol zodpovedný, ktoré záznamy sa zmenili a ktorí klienti boli testovaní. Ďalší server s viacerými rozhraniami bude mať rovnakých troch podozrivých.