DNS ya umma kufanya kazi haimaanishi Active Directory inaweza kupatikana

VPN inaunganisha, kivinjari kinafungua tovuti ya umma, na kompyuta ya mkononi bado haiwezi kuingia kwenye kikoa. Hitimisho la kawaida ni kwamba DNS iko sawa kwa sababu majina yanatatuliwa. Haiko sawa, na sababu ni kwamba jaribio la kivinjari hufanya utafutaji mmoja tu kati ya mnyororo unaohitajika na mteja aliyejiunga na kikoa. Ugunduzi wa kikoa huuliza kwanza rekodi za huduma, kisha anwani za vidhibiti ambavyo rekodi hizo huzitaja, na kisha njia kuelekea bandari ambazo vidhibiti hivyo husikiliza. Jibu la umma halitoshelezi hatua yoyote kati ya hizo.

Hadithi: majina yanatatuliwa, kwa hivyo DNS imekamilika

Tovuti ya umma kutatuliwa inasema tu kwamba kitatuzi fulani kilijibu swali moja la A au AAAA kwa jina katika eneo la umma. Active Directory hutumia itifaki hiyo hiyo kwa swali lingine: huduma za kikoa ziko wapi, na kidhibiti kipi mteja huyu anapaswa kutumia. Swali huonyeshwa kama rekodi za SRV chini ya eneo lililopewa jina la kikoa, na kitatuzi cha umma cha kurudia hakina sababu ya kuzihifadhi.

Rekodi inapokosekana, kitatuzi hurudisha jibu hasi, ambalo ni jibu halali la DNS na si hitilafu. Mteja kisha hurudi kwenye taarifa za vidhibiti zilizohifadhiwa ikiwa anazo, na ndiyo sababu kompyuta ya mezani inaweza kuonekana sawa kwa masaa na kushindwa baada ya kuwasha upya au kubadilisha nenosiri.

Mteja wa kikoa huuliza nini hasa, kwa mpangilio

Kwa kikoa kama corp.example, swali la jumla la kitafuta ni _ldap._tcp.dc._msdcs.corp.example. Majibu ya SRV hutaja vidhibiti vinavyoweza kuchaguliwa na bandari zao, kisha mteja anahitaji rekodi za anwani kwa majina hayo ya mwenyeji kabla ya kufungua muunganisho. Ugunduzi unaozingatia tovuti huongeza maswali chini ya kikoa kidogo cha tovuti, na majibu huamua ni vidhibiti vipi vinavyopendelewa, si kipi ni lazima.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Fuata mnyororo kwa mpangilio huo, kutoka mtandao ambako tatizo hutokea. Jina la mwenyeji linalotatuliwa hadi anwani isiyofikiwa ni hitilafu ya uelekezaji, si hitilafu ya DNS. Kidhibiti kinachofikika ambacho rekodi zake za kitafuta hazipo ni hitilafu ya DNS, si hitilafu ya uelekezaji. Vyote viwili hutoa malalamiko yanayofanana ya watumiaji na matengenezo tofauti kabisa.

Kwa nini kitatuzi cha umma hujibu na kuingia bado huvunjika

Kama adapta inampa mteja kitatuzi cha umma, majina ya umma hufanya kazi na nafasi ya majina ya ndani haifanyi kazi. Kuongeza kitatuzi cha pili cha umma hakusaidii, kwa sababu hakuna kinachoshikilia eneo hilo. Orodha ya kawaida “ya ndani kwanza, ya umma baadaye” pia haifanyi kama kanuni kwa kila kikoa: jibu hasi kutoka kwa seva ya kwanza ni jibu halali, na mteja hajaribu seva ya pili tena kwa sababu tu jibu lilikuwa tupu.

Vitatuzi vyote viwili vya ndani, ikiwa unaendesha viwili, lazima vishikilie nafasi ya majina ya AD na vifikike kutoka mtandao wa sasa wa mteja. Hiyo ndiyo sehemu ambayo miundo ya handaki iliyogawanywa huvunja: VPN inaweza kubeba subneti ya handaki wakati kitatuzi cha ndani kiko kwenye kiambishi ambacho handaki haielekezi, kwa hivyo swali hutoka kwa kitatuzi kisichoweza kulijibu.

Windows pia hutumia sera ya utatuzi wa majina inayoweza kuelekeza nafasi fulani za majina kwa seva fulani, na anwani za DNS ambazo adapta huonyesha siyo hadithi yote. Kubadilisha orodha ya adapta bila kubadilisha sera hiyo kunaweza kuacha usanidi unaofaa bila kuguswa, na ndiyo sababu marekebisho yanayoonekana yametumika hayana athari yoyote.

Weka DNS ya handaki na njia zake katika upatano

Wasifu wa VPN unaosukuma kitatuzi lakini si kiambishi kinachokihifadhi huunda kitatuzi ambacho mteja hawezi kufikia; ule unaosukuma kiambishi bila kitatuzi humwacha mteja akiuliza wa ndani. Chukulia jozi hilo kama kipengele kimoja cha usanidi na uangalie vyote viwili baada ya kila mabadiliko ya wasifu, kwa sababu msukumo uliopangwa upya au sera mpya ya handaki iliyogawanywa inaweza kuvitenganisha.

Angalia pia mteja anafanya nini na mpangilio uliosukumwa. Baadhi ya wateja hutumia seva ya DNS kwenye kiolesura cha handaki tu na kuacha kitatuzi cha adapta halisi mahali pake, kwa hivyo kipi kitashinda hutegemea kipimo cha kiolesura na jina linaloulizwa. Ikiwa jibu la ndani linakuja tu wakati adapta halisi imezimwa, hiyo ndiyo mifumo inayopaswa kurekebishwa, si rekodi za kikoa.

Kubali kwa mwito wa ugunduzi na operesheni moja hai

Jaribio muhimu la kukubali huendesha swali la kitafuta kisha hufanya operesheni moja halisi iliyothibitishwa, kama kufungua sehemu inayoungwa mkono na saraka au kuomba tikiti. Fanya hivyo kabla ya mabadiliko ya VPN na tena baada yake, kwenye mashine hiyo hiyo, bila kuwasha upya katikati. Vitambulisho vilivyohifadhiwa na vikao vilivyofunguliwa tayari vitafanya njia iliyovunjika ionekane nzuri kwa furaha, kwa hivyo kuingia kwa mafanikio kwenye desktop siyo jaribio.

Mapendekezo ya Microsoft kwa mteja wa DNS huchora mstari huo huo kati ya kutatua nafasi ya majina ya ndani na kusambaza maswali ya umma juu, na huo ndiyo mpangilio unaopaswa kuhifadhiwa wakati VPN inaanzishwa.

Ikiwa hitilafu ni ya polepole tu na si kushindwa, weka ucheleweshaji kando na utambuzi. Muda kuisha wakati wa ugunduzi unaweza kutoka kwa kidhibiti kisichofikika, bandari iliyozuiwa au kitatuzi kinachojibu kwa kuchelewa, na hakuna kimoja kinachothibitishwa na kusubiri peke yake. Rekodi swali halisi, jibu lake na jaribio la muunganisho kabla ya kubadilisha mpangilio wa kitatuzi.