Regjistrimet DNS të klientëve VPN: pronari, TTL dhe pastrimi janë të ndara

Laptopët lidhen, marrin një adresë VPN, dhe emri që zgjidhin sistemet e tjera ende tregon adresën e zyrës së djeshme. Asgjë nuk dështoi: një adresë u caktua, një regjistrim nuk u përditësua dhe një cache mban ende përgjigjen e vjetër. Këto janë tre objekte me tre pronarë, dhe vetëm njëri prej tyre i përket VPN-së. Planifikimi i publikimit do të thotë të vendosësh kush e shkruan emrin, cilat ndërfaqe marrin pjesë dhe kur zhduken të dhënat e vjetruara.

Simptoma: emri që ndjek adresën e gabuar

Nga pajisja tuneli është lart dhe adresa VPN përgjigjet. Nga stacioni i punës i një kolegu, i njëjti emër hosti zgjidhet në një adresë private që pajisja nuk e ka më, prandaj lidhja skadon kohore ndaj një makine që është zhvendosur. Regjistrimi është autoritar dhe i gabuar, gjë që është më keq se mungesa. Të gjithë i besojnë dhe askush nuk mund të lidhet.

Rasti i kundërt është më i qetë: regjistrimi zhduket dhe emri ndalon së zgjidhuri plotësisht. Të dy rezultatet vijnë nga e njëjta boshllëk projektimi, dhe asnjëri nuk rregullohet duke ulur TTL. Një jetëgjatësi më e shkurtër e cache-s ndryshon sa kohë mbijeton përgjigjja e gabuar, jo nëse shkruhet.

Filloni duke pyetur cili objekt është i vjetruar. Adresa që caktoi VPN, regjistrimi në zonë dhe përgjigjja në cache-n e një zgjidhësi kanë jetëgjatësi dhe pronarë të ndryshëm.

Tre objekte, tre pronarë

VPN zotëron caktimin e adresave dhe mund ta japë adresën nga një pishinë e brendshme pa arritur asnjë shkëmbim DHCP te laptopi. Zona DNS zotëron regjistrimin, dhe modeli i saj i sigurisë vendos kush mund ta krijojë ose ndryshojë. Cache-i i zgjidhësit zotëron kopjen që po përdor një lexues tani, dhe asgjë që bën pajisja nuk mund të arrijë atje.

Supozimi se një komponent i bën të tre është vendi ku dizajni thyhet. Një adresë që duket se vjen nga një interval i administruar nuk provon se një server DHCP e kreu regjistrimin, dhe një regjistrim i suksesshëm nuk provon se lexuesit e rifreskuan cache-n e tyre.

Kush mund ta përditësojë regjistrimin

Në një zonë të integruar me Active Directory dhe me përditësime dinamike të sigurta, lejet jetojnë në vetë regjistrimin. Një regjistrim i krijuar nga një llogari shërbimi DHCP mund të mos shkruhet nga llogaria kompjuterike e laptopit, dhe ndryshimi i modelit të pronësisë më vonë është tranzicion, jo çelës. Prandaj një konflikt pronësie mbijeton çdo cilësim nga ana e klientit.

Udhëzimet e Microsoft për përditësimet dinamike preferojnë regjistrimin nga ana e klientit për pikat fundore hibride të bashkuara në domen. T’i miratosh do të thotë të transferosh me dashje regjistrimet ekzistuese, jo vetëm të shënosh një kuti në përshtatësin VPN dhe të shpresosh se pronari i vjetër do të tërhiqet.

Ku një shërbim DHCP duhet të regjistrojë për klasa të tjera pajisjesh, jepini modelin e kredencialeve dhe lejeve të mbështetur për atë rol. Mbani regjistrimet përpara dhe mbrapsht në të njëjtin plan, sepse shpesh i mirëmbajnë komponentë të ndryshëm dhe njëri prej tyre harrohet zakonisht.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Komanda e parë tregon cilat adresa pajisja mendon se ka dhe nëse lidhja është vendosur t’i regjistrojë ato. E dyta dhe e treta krahasojnë atë që zgjidh klienti me atë që zona ruan vërtet, dhe kjo ndan një problem cache nga një problem autoritar.

Tre ora, jo një

Publikimi dhe rifreskimi janë ora e parë: kur përditësuesi i autorizuar njofton se një adresë ka ndryshuar. TTL i cache-s është i dyti: sa kohë një zgjidhës mund ta mbajë përgjigjen e marrë. Pastrimi autoritar është i treti: si hiqen regjistrimet e vjetruara nga procesi i regjistrimit ose nga plakja dhe fshirja.

Këto orë janë të pavarura, dhe ngatërrimi i tyre prodhon korrigjime që nuk funksionojnë. Një ndryshim në njërën është i padukshëm për dy të tjerat. Një TTL i shkurtër shkurton jetën e një përgjigjeje të ruajtur në cache dhe nuk jep asnjë leje përditësimi. Fshirja heq regjistrimet që nuk u rifreskuan, dhe nuk mund të rregullojë një regjistrim që pronari i saktë nuk e ka shkruar kurrë.

Vendosni TTL sipas shpejtësisë me të cilën lexuesit duhet të shohin një ndryshim, dhe fshirjen sipas kohës që një pajisje e braktisur duhet të mbajë një emër. Asnjëri prej këtyre numrave nuk vendos kush mund ta shkruajë regjistrimin, dhe asnjë vlerë TTL nuk e kthen caktimin e adresave në të drejta administrimi DNS.

Planifikoni publikimin për një pajisje në lëvizje

Vendosni cilat ndërfaqe marrin pjesë në regjistrim. Një adresë Wi-Fi shtëpie, një adresë VPN dhe një adresë e vjetër zyre u shërbejnë publikeve të ndryshme, dhe publikimi i të gjithave prodhon një emër me disa përgjigje me dobi të pabarabartë. Regjistroni ndërfaqet që lexuesit e synuar mund t’i arrijnë vërtet.

Mbajeni emrin e qëndrueshëm të kompjuterit si identitet dhe trajtoni adresat si atribute të tij. Ruani regjistrimet e zbulimit të domenit që i nevojiten pajisjes, dhe mos e çaktivizoni regjistrimin plotësisht për të zgjidhur një problem regjistrimesh të dyfishta që një ndryshim lejeve do ta rregullonte.

Shkruani caktuesin, përditësuesin dhe pronarin e pastrimit në një regjistrim të vetëm, me lexuesit e synuar të emërtuar. Kur emri përsëri tregon adresën e gabuar, ai regjistrim ju thotë cilin nga të tre të inspektoni i pari në vend që ta rinisni hetimin.