บันทึก DNS ของไคลเอนต์ VPN: เจ้าของ TTL และการล้างข้อมูลเป็นเรื่องแยกกัน
ที่อยู่ VPN บันทึก DNS และรายการในแคชมีเจ้าของแยกกัน: ตัดสินใจว่าใครเผยแพร่ชื่อได้ อินเทอร์เฟซใดลงทะเบียน และเมื่อใดบันทึกจะหมดอายุ
แล็ปท็อปเชื่อมต่อ ได้รับที่อยู่ VPN แต่ชื่อที่ระบบอื่นแปลงยังชี้ไปที่ที่อยู่สำนักงานของเมื่อวาน ไม่มีอะไรล้มเหลว มีการจัดสรรที่อยู่ บันทึกไม่ได้ถูกอัปเดต และแคชยังเก็บคำตอบเก่าไว้ สิ่งเหล่านี้คือสามวัตถุที่มีเจ้าของสามราย และมีเพียงรายเดียวที่เป็นของ VPN การวางแผนเผยแพร่หมายถึงการตัดสินใจว่าใครเป็นผู้เขียนชื่อ อินเทอร์เฟซใดเข้าร่วม และข้อมูลเก่าหายไปเมื่อใด
อาการ: ชื่อที่ตามที่อยู่ผิด
จากอุปกรณ์ อุโมงค์ทำงานและที่อยู่ VPN ตอบสนอง จากเวิร์กสเตชันของเพื่อนร่วมงาน ชื่อโฮสต์เดียวกันแปลงเป็นที่อยู่ส่วนตัวที่อุปกรณ์ไม่มีแล้ว การเชื่อมต่อจึงหมดเวลากับเครื่องที่ย้ายไปแล้ว บันทึกมีอำนาจและผิด ซึ่งแย่กว่าการไม่มี ทุกคนเชื่อถือและไม่มีใครเชื่อมต่อได้
กรณีตรงกันข้ามเงียบกว่า บันทึกหายไปและชื่อหยุดแปลงโดยสิ้นเชิง ผลลัพธ์ทั้งสองมาจากช่องว่างการออกแบบเดียวกัน และไม่มีข้อใดแก้ไขได้ด้วยการลด TTL อายุแคชที่สั้นลงเปลี่ยนระยะเวลาที่คำตอบผิดอยู่รอด ไม่ใช่เรื่องที่มันถูกเขียนหรือไม่
เริ่มด้วยการถามว่าวัตถุใดล้าสมัย ที่อยู่ที่ VPN จัดสรร บันทึกในโซน และคำตอบในแคชของตัวแปลงมีอายุและเจ้าของต่างกัน
สามวัตถุ สามเจ้าของ
VPN เป็นเจ้าของการจัดสรรที่อยู่ และสามารถให้ที่อยู่จากพูลภายในโดยไม่มีการแลกเปลี่ยน DHCP ไปถึงแล็ปท็อป โซน DNS เป็นเจ้าของบันทึก และแบบจำลองความปลอดภัยเป็นตัวกำหนดว่าใครสร้างหรือแก้ไขได้ แคชของตัวแปลงเป็นเจ้าของสำเนาที่ผู้อ่านกำลังใช้อยู่ และไม่มีสิ่งใดที่อุปกรณ์ทำจะเข้าถึงได้
การสมมติว่าองค์ประกอบเดียวทำทั้งสามอย่างคือจุดที่การออกแบบพัง ที่อยู่ที่ดูเหมือนมาจากช่วงที่จัดการไม่พิสูจน์ว่าเซิร์ฟเวอร์ DHCP ลงทะเบียน และการลงทะเบียนสำเร็จไม่พิสูจน์ว่าผู้อ่านรีเฟรชแคชแล้ว
| Object | Owner | What it decides |
|---|---|---|
| VPN address | Tunnel gateway pool | Which address the device holds now |
| DNS record | Zone security model | Which name resolves to which address |
| Cached answer | Each resolver | How long a reader keeps the old answer |
ใครอัปเดตบันทึกได้
ในโซนที่ผสานกับ Active Directory และมีการอัปเดตแบบไดนามิกที่ปลอดภัย สิทธิ์อาศัยอยู่บนบันทึกเอง บันทึกที่สร้างโดยบัญชีบริการ DHCP อาจเขียนไม่ได้โดยบัญชีคอมพิวเตอร์ของแล็ปท็อป และการเปลี่ยนแบบจำลองความเป็นเจ้าของภายหลังเป็นการเปลี่ยนผ่าน ไม่ใช่สวิตช์ ดังนั้น ความขัดแย้งเรื่องความเป็นเจ้าของอยู่รอดทุกการตั้งค่าฝั่งไคลเอนต์
แนวทางของ Microsoft เกี่ยวกับการอัปเดตแบบไดนามิกให้ความสำคัญกับการลงทะเบียนฝั่งไคลเอนต์สำหรับปลายทางไฮบริดที่เข้าร่วมโดเมน การนำมาใช้หมายถึงการถ่ายโอนบันทึกที่มีอยู่โดยเจตนา ไม่ใช่เพียงทำเครื่องหมายในช่องบนอะแดปเตอร์ VPN แล้วหวังว่าเจ้าของเดิมจะถอย
เมื่อบริการ DHCP ต้องลงทะเบียนแทนคลาสอุปกรณ์อื่น ให้มอบแบบจำลองข้อมูลรับรองและสิทธิ์ที่รองรับสำหรับบทบาทนั้น เก็บบันทึกไปข้างหน้าและย้อนกลับไว้ในแผนเดียวกัน เพราะมักดูแลโดยองค์ประกอบต่างกันและมีหนึ่งที่ถูกลืมบ่อย
ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042คำสั่งแรกแสดงที่อยู่ที่อุปกรณ์คิดว่าตนมี และการเชื่อมต่อตั้งค่าให้ลงทะเบียนหรือไม่ คำสั่งที่สองและสามเปรียบเทียบสิ่งที่ไคลเอนต์แปลงกับสิ่งที่โซนเก็บจริง ซึ่งแยกปัญหาแคชออกจากปัญหาที่มีอำนาจ
สามนาฬิกา ไม่ใช่หนึ่ง
การเผยแพร่และการรีเฟรชคือนาฬิกาตัวแรก เมื่อผู้อัปเดตที่ได้รับอนุญาตประกาศว่าที่อยู่เปลี่ยน TTL ของแคชคือตัวที่สอง ตัวแปลงเก็บคำตอบที่ได้รับได้นานเท่าใด การล้างข้อมูลที่มีอำนาจคือตัวที่สาม บันทึกล้าสมัยถูกลบโดยกระบวนการลงทะเบียนหรือโดยการแก่ชราและการกวาด
นาฬิกาเหล่านี้เป็นอิสระต่อกัน และการสับสนทำให้ได้การแก้ไขที่ไม่ทำงาน การเปลี่ยนแปลงในตัวหนึ่งมองไม่เห็นจากอีกสองตัว TTL สั้นลงทำให้คำตอบในแคชมีอายุสั้นลงและไม่ได้ให้สิทธิ์อัปเดตใด ๆ การกวาดลบบันทึกที่ไม่ได้รีเฟรช และไม่สามารถซ่อมบันทึกที่เจ้าของที่ถูกต้องไม่เคยเขียน
ตั้ง TTL ตามความเร็วที่ผู้อ่านต้องเห็นการเปลี่ยนแปลง และตั้งการกวาดตามระยะเวลาที่อุปกรณ์ที่ถูกทิ้งควรเก็บชื่อไว้ ไม่มีตัวเลขใดในสองตัวนี้กำหนดว่าใครเขียนบันทึกได้ และไม่มีค่า TTL ใดเปลี่ยนการจัดสรรที่อยู่เป็นสิทธิ์ดูแล DNS
วางแผนการเผยแพร่สำหรับอุปกรณ์เคลื่อนที่
ตัดสินใจว่าอินเทอร์เฟซใดเข้าร่วมในการลงทะเบียน ที่อยู่ Wi-Fi ที่บ้าน ที่อยู่ VPN และที่อยู่สำนักงานเก่าให้บริการผู้ชมต่างกัน และการเผยแพร่ทั้งหมดทำให้เกิดชื่อที่มีหลายคำตอบซึ่งมีประโยชน์ไม่เท่ากัน ลงทะเบียนเฉพาะอินเทอร์เฟซที่ผู้อ่านเป้าหมายเข้าถึงได้จริง
เก็บชื่อคอมพิวเตอร์ที่มั่นคงเป็นตัวตน และถือว่าที่อยู่เป็นคุณลักษณะของมัน รักษาบันทึกการค้นพบโดเมนที่อุปกรณ์ต้องการ และอย่าปิดการลงทะเบียนทั้งหมดเพื่อแก้ปัญหาบันทึกซ้ำที่การเปลี่ยนสิทธิ์จะแก้ได้
เขียนผู้จัดสรร ผู้อัปเดต และเจ้าของการล้างข้อมูลไว้ในบันทึกเดียว พร้อมระบุผู้อ่านเป้าหมาย เมื่อชื่อชี้ไปที่ที่อยู่ผิดอีกครั้ง บันทึกนั้นจะบอกว่าควรตรวจสอบใครในสามรายก่อน แทนที่จะเริ่มการสอบสวนใหม่