Genel DNS'in çalışması Active Directory'nin bulunabildiği anlamına gelmez

VPN bağlanır, tarayıcı genel bir site açar ve dizüstü bilgisayar yine de etki alanında oturum açamaz. Alışılmış sonuç, adlar çözüldüğü için DNS'in yolunda olduğudur. Yolunda değildir ve nedeni, tarayıcı testinin etki alanına katılmış bir istemcinin ihtiyaç duyduğu zincirden yalnızca tek bir sorguyu denemesidir. Etki alanı keşfi önce hizmet kayıtlarını, sonra bu kayıtların adlandırdığı denetleyicilerin adreslerini ve son olarak bu denetleyicilerin dinlediği bağlantı noktalarına giden bir yolu ister. Genel bir yanıt bu adımların hiçbirini karşılamaz.

Efsane: adlar çözülüyor, öyleyse DNS bitti

Genel bir sitenin çözülmesi yalnızca bir çözümleyicinin genel bir bölgedeki ad için bir A veya AAAA sorgusunu yanıtladığını söyler. Active Directory aynı protokolü başka bir soru için kullanır: etki alanının hizmetleri nerede ve bu istemci hangi denetleyiciyi kullanmalı. Soru, etki alanının adını taşıyan bölgenin altındaki SRV kayıtları olarak ifade edilir ve yinelemeli bir genel çözümleyicinin bunları tutmak için hiçbir nedeni yoktur.

Kayıt eksik olduğunda çözümleyici olumsuz bir yanıt döndürür, ki bu geçerli bir DNS yanıtıdır ve kesinti değildir. İstemci ardından varsa önbelleğe alınmış denetleyici bilgisine geri döner ve bu yüzden bir masaüstü saatlerce iyi görünüp yeniden başlatmadan veya parola değişikliğinden sonra başarısız olabilir.

Bir etki alanı istemcisinin gerçekte ne istediği, sırasıyla

corp.example gibi bir etki alanı için genel bulucu sorgusu _ldap._tcp.dc._msdcs.corp.example'dir. SRV yanıtları aday denetleyicileri ve bağlantı noktalarını adlandırır, ardından istemcinin bağlantı açmadan önce bu ana bilgisayar adları için adres kayıtlarına ihtiyacı vardır. Siteyi bilen keşif, site alt etki alanı altına sorgular ekler ve yanıtlar hangi denetleyicilerin tercih edildiğini belirler, hangisinin zorunlu olduğunu değil.

nltest /dsgetdc:corp.example
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.corp.example

Zinciri bu sırayla, sorunun ortaya çıktığı ağdan izleyin. Erişilemeyen bir adrese çözülen ana bilgisayar adı bir yönlendirme hatasıdır, DNS hatası değil. Bulucu kayıtları eksik olan erişilebilir bir denetleyici DNS hatasıdır, yönlendirme hatası değil. İkisi benzer kullanıcı şikâyetleri ve tamamen farklı onarımlar üretir.

Genel bir çözümleyici neden yanıt verir ve oturum açma yine de bozulur

Bağdaştırıcı istemciye genel bir çözümleyici verirse genel adlar çalışır ve iç ad alanı çalışmaz. İkinci bir genel çözümleyici eklemek yardımcı olmaz, çünkü ikisi de bölgeyi tutmaz. Alışılmış “önce iç, sonra genel” listesi de etki alanı başına bir kural gibi davranmaz: ilk sunucunun olumsuz yanıtı meşru bir yanıttır ve istemci yalnızca yanıt boş olduğu için ikinci sunucuyu yeniden denemez.

İki iç çözümleyici, eğer iki tane çalıştırıyorsanız, AD ad alanını tutmalı ve istemcinin mevcut ağından erişilebilir olmalıdır. Bölünmüş tünel tasarımlarının bozduğu yer tam burasıdır: VPN tünelin alt ağını taşıyabilirken iç çözümleyici tünelin yönlendirmediği bir önekte durur, bu yüzden sorgu yanıtlayamayan bir çözümleyiciye çıkar.

Windows ayrıca belirli ad alanlarını belirli sunuculara yönlendirebilen bir ad çözümleme ilkesi uygular ve bağdaştırıcının gösterdiği DNS adresleri hikâyenin tamamı değildir. Bağdaştırıcı listesini bu ilkeyi değiştirmeden değiştirmek etkin yapılandırmayı dokunulmadan bırakabilir ve bu yüzden uygulanmış görünen bir düzeltmenin hiçbir etkisi olmaz.

Tünelin DNS'i ile yollarını uyum içinde tutun

Bir çözümleyiciyi iten ama onu içeren öneği itmeyen VPN profili istemcinin ulaşamayacağı bir çözümleyici yaratır; öneği itip çözümleyiciyi itmeyen profil ise istemciyi yerel olana sormaya bırakır. Çifti tek bir yapılandırma öğesi olarak ele alın ve her profil değişikliğinden sonra ikisini de denetleyin, çünkü yeniden sıralanmış bir itme veya yeni bir bölünmüş tünel ilkesi onları ayırabilir.

İstemcinin itilen ayarla ne yaptığını da denetleyin. Bazı istemciler DNS sunucusunu yalnızca tünel arabirimine uygular ve fiziksel bağdaştırıcının çözümleyicisini yerinde bırakır, bu yüzden hangisinin kazanacağı arabirim ölçütüne ve sorgulanan ada bağlıdır. İç yanıt yalnızca fiziksel bağdaştırıcı devre dışıyken geliyorsa onarılacak mekanizma budur, etki alanı kayıtları değil.

Bir keşif çağrısı ve bir canlı işlemle kabul edin

Yararlı bir kabul testi bulucu sorgusunu çalıştırır ve ardından gerçek bir kimliği doğrulanmış işlem yapar, örneğin dizin destekli bir paylaşımı açar veya bilet ister. Bunu VPN geçişinden önce ve sonra yeniden, aynı makinede, arada yeniden başlatma olmadan yapın. Önbelleğe alınmış kimlik bilgileri ve zaten açık oturumlar bozuk bir yolu memnuniyetle sağlıklı gösterecektir, bu yüzden başarılı masaüstü oturum açma test değildir.

Microsoft'un DNS istemcisi önerileri iç ad alanını çözmek ile genel sorguları yukarı iletmek arasında aynı çizgiyi çeker ve VPN devreye alınırken korunması gereken düzen budur.

Arıza yalnızca yavaşsa ve başarısız değilse gecikmeyi tanıdan ayrı tutun. Keşif sırasındaki bir zaman aşımı erişilemeyen bir denetleyiciden, engellenmiş bir bağlantı noktasından veya geç yanıt veren bir çözümleyiciden gelebilir ve bunların hiçbiri tek başına beklemeyle kanıtlanmaz. Bir çözümleyici ayarını değiştirmeden önce gerçek sorguyu, yanıtını ve bağlantı girişimini kaydedin.