Bản ghi DNS của máy khách VPN: chủ sở hữu, TTL và việc dọn dẹp là riêng biệt

Máy tính xách tay kết nối, nhận địa chỉ VPN, và tên mà các hệ thống khác phân giải vẫn trỏ tới địa chỉ văn phòng của hôm qua. Không có gì hỏng: một địa chỉ đã được cấp, một bản ghi không được cập nhật, và bộ nhớ đệm vẫn giữ câu trả lời cũ. Đó là ba đối tượng với ba chủ sở hữu, và chỉ một trong số đó thuộc về VPN. Lập kế hoạch công bố nghĩa là quyết định ai viết tên, giao diện nào tham gia và khi nào dữ liệu cũ biến mất.

Triệu chứng: tên đi theo địa chỉ sai

Từ thiết bị, đường hầm đã lên và địa chỉ VPN trả lời. Từ máy trạm của đồng nghiệp, cùng tên máy chủ đó phân giải thành một địa chỉ riêng mà thiết bị không còn giữ, nên kết nối hết thời gian chờ với một máy đã chuyển đi. Bản ghi có thẩm quyền và sai, điều này tệ hơn là thiếu. Mọi người tin vào nó và không ai kết nối được.

Trường hợp ngược lại kín đáo hơn: bản ghi biến mất và tên không còn phân giải được nữa. Cả hai kết quả đều đến từ cùng một lỗ hổng thiết kế, và không cái nào được sửa bằng cách hạ TTL. Thời gian sống của bộ nhớ đệm ngắn hơn thay đổi việc câu trả lời sai tồn tại bao lâu, chứ không phải nó có được ghi hay không.

Hãy bắt đầu bằng câu hỏi đối tượng nào đã cũ. Địa chỉ VPN đã cấp, bản ghi trong vùng và câu trả lời trong bộ nhớ đệm của trình phân giải có thời gian sống và chủ sở hữu khác nhau.

Ba đối tượng, ba chủ sở hữu

VPN sở hữu việc cấp địa chỉ và có thể cấp địa chỉ từ một nhóm nội bộ mà không có trao đổi DHCP nào tới được máy tính xách tay. Vùng DNS sở hữu bản ghi, và mô hình bảo mật của nó quyết định ai được tạo hoặc sửa nó. Bộ nhớ đệm của trình phân giải sở hữu bản sao mà một người đọc đang dùng, và không gì thiết bị làm có thể chạm tới đó.

Giả định rằng một thành phần làm cả ba là chỗ thiết kế vỡ. Một địa chỉ trông như đến từ dải được quản lý không chứng minh rằng máy chủ DHCP đã thực hiện đăng ký, và một đăng ký thành công không chứng minh rằng người đọc đã làm mới bộ nhớ đệm.

Ai được cập nhật bản ghi

Trong một vùng tích hợp với Active Directory và có cập nhật động an toàn, quyền nằm trên chính bản ghi. Một bản ghi do tài khoản dịch vụ DHCP tạo có thể không ghi được bằng tài khoản máy tính của máy xách tay, và việc thay đổi mô hình sở hữu về sau là một quá trình chuyển đổi, không phải công tắc. Đó là lý do xung đột sở hữu tồn tại qua mọi thiết lập phía máy khách.

Hướng dẫn của Microsoft về cập nhật động ưu tiên đăng ký phía máy khách cho các điểm cuối lai đã tham gia miền. Chấp nhận điều đó nghĩa là chủ động chuyển các bản ghi hiện có, không chỉ đánh dấu một ô trên bộ điều hợp VPN và hy vọng chủ sở hữu cũ nhường bước.

Khi một dịch vụ DHCP phải đăng ký cho các lớp thiết bị khác, hãy cấp cho nó mô hình thông tin xác thực và quyền được hỗ trợ cho vai trò đó. Giữ bản ghi xuôi và ngược trong cùng một kế hoạch, vì chúng thường được các thành phần khác nhau duy trì và một trong số đó hay bị quên.

ipconfig /all
Resolve-DnsName laptop-042.corp.example -Type A
Get-DnsServerResourceRecord -ZoneName corp.example -Name laptop-042

Lệnh đầu tiên cho thấy thiết bị tin rằng mình có những địa chỉ nào và kết nối có được đặt để đăng ký chúng hay không. Lệnh thứ hai và thứ ba so sánh điều máy khách phân giải với điều vùng thực sự lưu, và điều đó tách vấn đề bộ nhớ đệm khỏi vấn đề thẩm quyền.

Ba chiếc đồng hồ, không phải một

Công bố và làm mới là chiếc đồng hồ thứ nhất: khi trình cập nhật được ủy quyền thông báo rằng một địa chỉ đã thay đổi. TTL của bộ nhớ đệm là chiếc thứ hai: trình phân giải được giữ câu trả lời nhận được trong bao lâu. Việc dọn dẹp có thẩm quyền là chiếc thứ ba: các bản ghi cũ bị loại bỏ bởi quá trình đăng ký hay bởi lão hóa và quét.

Những chiếc đồng hồ này độc lập, và trộn lẫn chúng tạo ra những chỉnh sửa không hoạt động. Một thay đổi ở chiếc này là vô hình với hai chiếc kia. TTL ngắn rút ngắn tuổi thọ của một câu trả lời được đệm và không cấp bất kỳ quyền cập nhật nào. Quét loại bỏ các bản ghi không được làm mới, và nó không thể sửa một bản ghi mà chủ sở hữu đúng chưa từng ghi.

Đặt TTL theo mức độ nhanh mà người đọc phải thấy một thay đổi, và đặt việc quét theo thời gian một thiết bị bị bỏ rơi nên giữ một tên. Không con số nào trong hai con số đó quyết định ai được ghi bản ghi, và không giá trị TTL nào biến việc cấp địa chỉ thành quyền quản trị DNS.

Lập kế hoạch công bố cho thiết bị di động

Quyết định giao diện nào tham gia đăng ký. Địa chỉ Wi-Fi ở nhà, địa chỉ VPN và địa chỉ văn phòng cũ phục vụ những đối tượng khác nhau, và công bố tất cả tạo ra một tên với nhiều câu trả lời có ích lợi không đồng đều. Chỉ đăng ký những giao diện mà người đọc dự kiến thực sự có thể chạm tới.

Giữ tên máy tính ổn định làm danh tính và coi các địa chỉ là thuộc tính của nó. Bảo toàn các bản ghi khám phá miền mà thiết bị cần, và đừng tắt đăng ký hoàn toàn để giải quyết vấn đề bản ghi trùng lặp mà một thay đổi quyền sẽ khắc phục.

Viết trình cấp phát, trình cập nhật và chủ sở hữu việc dọn dẹp vào một bản ghi, với người đọc dự kiến được nêu tên. Khi tên lại trỏ tới địa chỉ sai, bản ghi đó cho bạn biết nên kiểm tra ai trong ba người trước thay vì bắt đầu lại cuộc điều tra.