Как следует настроить DNS для удаленного доступа VPN к домену Windows?

Предположим, у вас есть небольшой домен Windows, настроенный следующим образом:

• доменное имя ad.example.com (согласно эти руководящие принципы)
• DC1 находится в 10.10.10.3
• DC2 находится в 10.10.10.4
• DC1 и DC2 работают с интегрированными в AD ролями DNS и DHCP-сервера
• AD DHCP настроен с пулом адресов от 10.10.10.50-99
• AD DHCP выдает клиентские договоры аренды с 006 DNS Servers опция установлена ​​на адреса DCработает DNS, интегрированный в AD (например, 10.10.10.3 и 10.10.10.4)
• DNS-серверы, интегрированные в AD, имеют версию 8.8.8.8 Google, настроенную как пересылку
• подсеть 10.10.10.0/24 подключена к Интернету через Cisco ASA с внутренним адресом 10.10.10.1
• ASA - это шлюз для сети 10.10.10.0/24
• vpn.example.com это общедоступная запись DNS, которая преобразуется во внешний IP-адрес ASA.
• Удаленные компьютеры Windows подключаются к сети 10.10.10.0/24 через ASA с помощью клиента Cisco IPSec VPN, указанного на vpn.example.com
• Удаленным компьютерам Windows IP-адреса выдаются с 10.10.10.200-10.10.10.254
• Включено раздельное туннелирование, при котором туннелируется только трафик 10.10.10.0/24 (максимальная доступная пропускная способность восходящего потока на этом сайте составляет всего 2 Мбит / с)

Как следует настроить DNS для ноутбуков с Windows, которые иногда подключаются через VPN?

Если мобильный ноутбук с Windows принимает случайный общедоступный адрес DNS-сервера, он будет отправлять DNS-запросы для _ldap._tcp.site._sites.ad.example.com к случайному общедоступному DNS-серверу, когда туннель неактивен. Это стандартная практика? Почему-то это кажется плохой идеей.

С другой стороны, если ноутбук с Windows настроен только с внутренними DNS-серверами 10.10.10.3 и 10.10.10.4 (как настоятельно рекомендуется здесь) тогда VPN-клиент не может разрешить vpn.example.com установить соединение VPN - это проблема курицы и яйца.

Есть ли что-то более интересное, что должно происходить с DNS на ноутбуках с Windows, подключающихся через VPN?

Насколько хорошо VPN-клиент контролирует поиск DNS в Windows? Следует ли включить раздельное туннелирование DNS?

Включение раздельного туннелирования DNS, похоже, означает, что мы полагаемся на VPN-клиент для перехвата таких DNS-запросов, как _ldap._tcp.site._sites.ad.example.com чтобы предотвратить их отправку на общедоступный DNS-сервер. Является ли раздельное туннелирование DNS в VPN-клиентах строгим и надежным? В этом отношении похоже, что некоторые приложения могут просто игнорировать адаптер VPN и пытаться разрешить адреса домена Windows с помощью общедоступного DNS-сервера на физическом адаптере. Это то, о чем я должен беспокоиться?

Другой вариант - отправка всех запросов DNS через туннель на DNS-серверы, интегрированные в AD - кажется плохой идеей по двум причинам: 1) Туннель, вероятно, будет иметь гораздо большую задержку, чем общедоступный DNS-сервер, когда пользователь много хмеля от ASA. 2) Похоже, что имена будут преобразовываться в IP-адреса, которые соответствуют серверам в непосредственной близости от ASA, а не удаленному компьютеру. Если я правильно понимаю, это означает проблемы с доступом к медиа в CDN. (Редактировать: Вот пример того, как кто-то столкнулся с этой проблемой.)