Tre källor kan lägga en domänkontrollants VPN-adress i DNS

Tre olika komponenter på en domänkontrollant med flera nätverkskort kan lägga samma VPN-adress i DNS, och de misslyckas oberoende av varandra. Jämför vad var och en publicerar i stället för att lita på kryssrutan på nätverkskortet, som bara styr en av dem. Symtomet är identiskt i alla fall: en klient slår upp namnet, får tunneladressen och når inte domänkontrollanten. Vem som publicerade den avgör hur den ska stoppas.

En inställning, en tjänst och en roll; tre källor, tre brytare.

Börja med posten, inte med kryssrutan

Slå upp det fullständiga namnet för den berörda servern via den DNS-server som klienterna faktiskt använder, och notera varje adress som returneras. Jämför varje returnerad adress med serverns faktiska LAN- och tunnelgränssnitt och med de nätverk som klienterna sitter i. En adress kan vara helt giltig lokalt och ändå oåtkomlig för de klienter som spelar roll. Återkommande autentiseringsfel är ett vanligt symtom, eftersom klienter får eller väljer olika adresser vid olika försök.

Att maskinen slår upp sitt eget namn korrekt bevisar mycket lite. Testet som spelar roll körs från klientnätverken.

Nätverkskortet är bara en källa

Nätverkskortets TCP/IP-egenskaper har en kryssruta för att registrera den anslutningens adress, och att ta bort markeringen tystar exakt en källa. Det stoppar inte de andra, och därför kan posten dyka upp igen efter en omstart. Om domänkontrollanten också kör DNS-tjänsten har den tjänsten sin egen lyssningskonfiguration och sina egna namnserverposter. Microsofts vägledning för miljöer med flera nätverkskort behandlar gränssnittsbeteende, DNS-tjänsten och Netlogon som separata relevanta källor.

Tre brytare, tre ägare, och bara en av dem bor på nätverkskortets egenskapssida.

DNS-tjänsten har egna adresser

En DNS-server som får order att lyssna på en VPN-adress fortsätter att publicera den i sina egna poster, vad kryssrutan på nätverkskortet än påstår. Justera tjänstens lyssningsadresser mot de avsedda gränssnitten och granska samtidigt zonens namnserverposter. Att ändra lyssnare kan avbryta klienter som just nu använder en adress som du tar bort, så fastställ först vem som är beroende av vilken. Att ta bort en lyssnare bara för att det är en VPN-adress kan skära av de klienter du ville hjälpa.

Netlogon, och upptäckt av domänkontrollanter i allmänhet, registrerar också adresser som en del av sina egna uppgifter. Undertryck inte registreringar i hela domänen och kopiera inte en gammal registreringslösning för fjärråtkomst utan att bekräfta att den gäller din version och roll.

Ägarskap före städning

Rätta till källan innan du tar bort posten, annars sätter nästa registreringshändelse tillbaka den och övningen upprepas. Ta bort föråldrade poster via DNS-ägarens process och ta hänsyn till cachelagring och åldrande. Kontrollera från klientnätverken, inklusive domänupptäckt och programmet som ursprungligen misslyckades, och utlös sedan samma VPN-händelse som först skapade adressen.

Det du vill ha till slut är en känd uppsättning publicerade adresser och lyssnare, medan den dagliga domänregistreringen fortfarande gör sitt jobb. En maskin vars namn råkar slås upp korrekt direkt efter en manuell städning är inte det.

Notera vilken källa som var ansvarig, vilka poster som ändrades och vilka klienter som testades. Nästa server med flera nätverkskort kommer att ha samma tre misstänkta.