[2008]Blijft zichzelf toevoegen aan DNS

[Paul]

Ik heb bij een klant van ons een Windows 2008 Standard x64 server staan. Dit is de enige server, en de domain controller van (bijvoorbeeld) contoso.com. De server zelf heet server01.

Naast de AD DS role (en DNS) heeft de server ook de NPAS role voor RRAS, om ervoor te zorgen dat de medewerkers kunnen VPNen naar de zaak. Hierdoor heeft de server dus ook twee ip-adressen.

En daarmee begint het gezeur. De server registreert zichzelf in de DNS, maar wel met beide adressen (Ik had een derde adres toegevoegd om zo wat apparaten die nog niet naar het nieuwe ip-plan waren gemigreerd nog aan te kunnen, toen stonden er zelfs 3 adressen in de DNS).

Aangezien de Netbios poort (TCP/139) slechts op het LAN-ip is gebind en DNS vrolijk round robin alle drie de adressen uit gaat staan delen kunnen de werkstations dus de helft van de tijd (tot 2/3e, maar ik heb het 3e adres ondertussen weggehaald) niet naar de server verbinden, omdat ze het verkeerde adres doorkrijgen.

Ik kan de (dynamic, aldus DNS-manager, maak ik ze zelf aan dan zijn ze static maar wordt overschreven) verkeerde adressen wel weghalen, maar na tijdje (sowieso na een reload van het domein of herstart van de service, maar dat is slecht 'forceren', met slechts wachten gebeurt het ook) staan ze vrolijk weer terug.

Als ik VPN kan ik probleemloos verbinden met alles op het LAN-subnet (inclusief op het LAN-ip van de server alles benaderen) dus het VPN-ip hoeft helemaal niet als server01.contoso.com in de DNS, want andersom is het niet het geval, vanaf het LAN subnet kan men niet verbinden op het IP-adres op de PPP-'adapter' (of iig niet TCP/139).

Wat heb ik al gedaan:
- Op de netwerkadapter (er is er maar 1 [zichtbaar?]) "Register this connection's addresses in DNS" uitgezet
- DisableDynamicUpdate in de registry aangepast en de server herstart.
- De complete RRAS-manager nagelopen of er ergens een optie is om op de PPP-adapter "Register this connection's addresses in DNS" uit te zetten.

Al met al kom ik er niet uit. Wie helpt?

[squaddie]

Staat op de dns-server netmask ordering uit?

[Turdie]

Paul Nieuwkamp schreef op dinsdag 06 oktober 2009 @ 10:02:
Ik heb bij een klant van ons een Windows 2008 Standard x64 server staan. Dit is de enige server, en de domain controller van (bijvoorbeeld) contoso.com. De server zelf heet server01.

Naast de AD DS role (en DNS) heeft de server ook de NPAS role voor RRAS, om ervoor te zorgen dat de medewerkers kunnen VPNen naar de zaak. Hierdoor heeft de server dus ook twee ip-adressen.

En daarmee begint het gezeur. De server registreert zichzelf in de DNS, maar wel met beide adressen (Ik had een derde adres toegevoegd om zo wat apparaten die nog niet naar het nieuwe ip-plan waren gemigreerd nog aan te kunnen, toen stonden er zelfs 3 adressen in de DNS).

Je kunt toch op de netwerkaart uitzetten dat hij zich in de DNS moet registreren en de gewenste DNS records handmatig toevoegen? Volgens mij heet de optie:
Register this connection's addresses in DNS

Zie ook onderstaand schermprintje

[ Voor 40% gewijzigd door Turdie op 06-10-2009 11:22 ]

[Paul]

squaddie schreef op dinsdag 06 oktober 2009 @ 10:33:
Staat op de dns-server netmask ordering uit?

Nee, staat aan. De PPP-adapter en de LAN-adapter hebben echter adressen in dezelfde range (RRAS deelt IP-adressen uit dmv DHCP, en heeft daar ook zijn eigen PPP-ip vandaan).
IPv4 forwarding staat aan, dus ik neem aan dat als ik daar een static address pool invul dat VPN-ers nog gewoon overal bij kunnen?

shadowman12 schreef op dinsdag 06 oktober 2009 @ 11:17:
Register this connection's addresses in DNS

Paul Nieuwkamp schreef op dinsdag 06 oktober 2009 @ 10:02:
Wat heb ik al gedaan:
- Op de netwerkadapter "Register this connection's addresses in DNS" uitgezet

[Question Mark]

Deze al eens gelezen?

How to enable or disable DNS updates in Windows 2000 and in Windows Server 2003

Forward en reverse per adapter
Gebruik de volgende registersubsleutel om de registratie van A- en PTR-bronrecords uit te schakelen die door de DHCP Client-service wordt uitgevoerd voor een bepaalde adapter:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<Interface name>\DisableDynamicUpdate


Type: REG_DWORD
Bereik: 0 - 1
Standaardwaarde: 0

Hiermee worden DNS-gegevens niet bijgewerkt voor deze adapter

Opmerking: Het bijwerken van DNS-gegevens voor een adapter is alleen mogelijk als de functie is ingeschakeld op systeemniveau en op adapterniveau. Als u DNS-updates wilt uitschakelen voor een bepaalde adapter, voegt u de waarde DisableDynamicUpdate toe aan de registersubsleutel voor een interfacenaam en stelt u de waarde in op 1.

[Paul]

Ah, je hebt het KB-artikel ervan ipv een random Google-result, maar die stond (helaas) ook al in de TS

[Question Mark]

Niet helemaal, in je TS staat de entry om eea systeemwide te disablen, terwijl je het enkel op je ppp-adapter wil disablen. Da's het stukje wat ik ook quote uit het kb-artikel.

Wellicht dat je dat nog even kunt proberen. Vergeet ook niet om na aanpassingen even je dhcp-client service te herstarten. Das nl. de service die verantwoordelijk is voor registratie van A- en PTR-records.

[Paul]

Ik heb het nu zowel globaal als op de ene subkey die in de Adapters key staat uitgezet, maar helaas blijft de ongewenste entry terugkomen.

[Turdie]

Heb je dit ook al gedaan/gezien:

The Host's "A" Record Is Registered in DNS After You Choose Not to Register the Connection's Address

Ook dit artikel is wel handig:
Multihomed DCs with DNS, RRAS, and/or PPPoE adapters

Is wel voor Windows Server 2000 en of Windows Server 2003, maar veel hiervan is nog steeds van toepassing voor Windows Server 2008, er zijn in Windows Server 2008 alleen vier nieuw features bij gekomen, op het gebied van DNS.

[ Voor 55% gewijzigd door Turdie op 06-10-2009 13:30 ]

[Paul]

Ah, die bovenste zou wel eens geholpen kunnen hebben, dank je

Ik ga het nog een paar dagen aankijken, maar ik kan in ieder geval niet meer forceren dat het record er bij komt, en de timestamp op het record veranderd van static naar 13:00:00 zonder dat het 2e record erbij komt.

[sanfranjake]

Al eens gedacht over een simpel (bijvoorbeeld) Draytek routertje wat de vpns kan afhandelen, waarmee je de gehele server ervan ontziet? Dit soort hakwerk ga je in de toekomst ook vast nog wel eens wat werk aan hebben terwijl als je het eenmalig oplost met een extra apparaat, het vast op de lange termijn kosten zal schelen

[Paul]

Dan stel ik het wel in op de Juniper SSG-550 die er al staat, maar dan moet ik weer een Radius-server installeren voor de authenticatie.

Naar zich laat aanzien komt het vooral doordat de DNS-server zelf op meerdere ip-adressen luisterde, en is het hackwerk in de registry niet nodig geweest

[ Voor 7% gewijzigd door Paul op 06-10-2009 15:45 ]