DNS zapisi odjemalcev VPN: lastnik, TTL in čiščenje so ločene stvari

Prenosniki se povežejo, prejmejo naslov VPN, in ime, ki ga razrešujejo drugi sistemi, še vedno kaže na včerajšnji pisarniški naslov. Nič ni spodletelo: naslov je bil dodeljen, zapis ni bil posodobljen in predpomnilnik še vedno hrani stari odgovor. To so trije objekti s tremi lastniki in samo eden od njih pripada VPN. Načrtovanje objave pomeni odločiti, kdo piše ime, kateri vmesniki sodelujejo in kdaj zastareli podatki izginejo.

Simptom: ime, ki sledi napačnemu naslovu

Z naprave je tunel vzpostavljen in naslov VPN odgovarja. Z delovne postaje kolega se isto ime gostitelja razreši v zasebni naslov, ki ga naprava nima več, zato povezava poteče proti stroju, ki se je preselil. Zapis je avtoritativen in napačen, kar je slabše kot manjkajoč. Vsi mu zaupajo in nihče se ne more povezati.

Nasprotni primer je tišji: zapis izgine in ime se povsem preneha razreševati. Oba izida izhajata iz iste vrzeli v zasnovi in nobenega ne odpravi znižanje TTL. Krajša življenjska doba predpomnilnika spremeni, kako dolgo napačni odgovor preživi, ne pa, ali je zapisan.

Začnite z vprašanjem, kateri objekt je zastarel. Naslov, ki ga je dodelil VPN, zapis v coni in odgovor v predpomnilniku razreševalnika imajo različne življenjske dobe in različne lastnike.

Trije objekti, trije lastniki

VPN ima v lasti dodeljevanje naslovov in lahko naslov izda iz notranjega nabora, ne da bi kakršnakoli izmenjava DHCP dosegla prenosnik. Cona DNS ima v lasti zapis, njen varnostni model pa odloča, kdo ga sme ustvariti ali spremeniti. Predpomnilnik razreševalnika ima v lasti kopijo, ki jo bralec pravkar uporablja, in nič, kar naprava stori, ne more doseči tja.

Predpostavka, da ena komponenta opravi vse tri, je mesto, kjer se zasnova zlomi. Naslov, ki se zdi, da prihaja iz upravljanega obsega, ne dokazuje, da je registracijo opravil strežnik DHCP, in uspešna registracija ne dokazuje, da so bralci osvežili predpomnilnik.

Kdo sme posodobiti zapis

V coni, integrirani z Active Directory in z varnimi dinamičnimi posodobitvami, dovoljenja živijo na samem zapisu. Zapis, ki ga je ustvaril servisni račun DHCP, morda ni zapisljiv z računalniškim računom prenosnika, poznejša sprememba modela lastništva pa je prehod, ne stikalo. Zato konflikt lastništva preživi vsako nastavitev na strani odjemalca.

Microsoftove smernice za dinamične posodobitve dajejo prednost registraciji na odjemalski strani za hibridne končne točke, pridružene domeni. To sprejeti pomeni zavestno prenesti obstoječe zapise, ne le označiti polje na vmesniku VPN in upati, da bo stari lastnik popustil.

Kjer mora storitev DHCP registrirati druge razrede naprav, ji dajte podprt model poverilnic in dovoljenj za to vlogo. Hranite zapise naprej in nazaj v istem načrtu, ker jih pogosto vzdržujejo različne komponente in na enega se običajno pozabi.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Prvi ukaz pokaže, katere naslove naprava meni, da ima, in ali je povezava nastavljena, da jih registrira. Drugi in tretji primerjata, kar odjemalec razreši, s tem, kar cona v resnici shranjuje, in to loči težavo predpomnilnika od avtoritativne.

Tri ure, ne ena

Objava in osvežitev sta prva ura: kdaj pooblaščeni posodabljalec objavi, da se je naslov spremenil. TTL predpomnilnika je drugi: kako dolgo sme razreševalnik hraniti prejeti odgovor. Avtoritativno čiščenje je tretji: kako se zastareli zapisi odstranijo s postopkom registracije ali s staranjem in čiščenjem.

Te ure so neodvisne in njihovo zamenjevanje daje popravke, ki ne delujejo. Sprememba v enih je nevidna za drugi dve. Kratek TTL skrajša življenje predpomnjenega odgovora in ne daje nobenega dovoljenja za posodobitev. Čiščenje odstrani zapise, ki niso bili osveženi, in ne more popraviti zapisa, ki ga nikoli ni zapisal pravi lastnik.

Nastavite TTL glede na to, kako hitro morajo bralci videti spremembo, in čiščenje glede na to, kako dolgo naj opuščena naprava obdrži ime. Nobena od teh številk ne odloča, kdo sme zapisati zapis, in nobena vrednost TTL ne spremeni dodeljevanja naslovov v upravljavske pravice DNS.

Načrtujte objavo za potujočo napravo

Odločite, kateri vmesniki sodelujejo pri registraciji. Domači naslov Wi-Fi, naslov VPN in stari pisarniški naslov služijo različnim občinstvom, objava vseh pa ustvari ime z več odgovori neenake uporabnosti. Registrirajte vmesnike, do katerih predvideni bralci resnično dosežejo.

Ohranite stabilno ime računalnika kot identiteto in naslove obravnavajte kot njegove atribute. Ohranite zapise odkrivanja domene, ki jih naprava potrebuje, in ne izklopite registracije v celoti, da bi rešili težavo podvojenih zapisov, ki bi jo odpravila sprememba dovoljenj.

Zapišite dodeljevalca, posodabljalca in lastnika čiščenja v en zapis, z imenovanimi predvidenimi bralci. Ko ime spet pokaže na napačen naslov, vam ta zapis pove, katerega od treh pregledati najprej, namesto da preiskavo začnete znova.