VPN-verskaffers skuif: beplan die gasheernaam, nie net die IP nie

Jou DNS-rekord is korrek, die vervanging is gesond, en sommige kliënte spandeer steeds ure daaraan om die ou adres te skakel. ’n Paar misluk dadelik teen ’n naam wat oplos en nooit antwoord nie. Albei uitkomste kom uit een leemte: ’n gasheernaam verander wat ’n kliënt opsoek, nie wanneer hy dit opsoek nie, en ook nie wat hy vertrou wanneer die antwoord aankom nie.

Die simptoom: ’n korrekte rekord, verouderde tonnels

’n Profiel wat ’n naam stoor, is nie ’n kliënt wat dit aanhou opsoek nie. Die meeste los dit een keer op, by die toepassing van die konfigurasie of wanneer die tonnel opkom, en hergebruik dan daardie adres tot die sessie eindig. ’n Lang TTL boonop is hoekom die oorskakeling rondom herverbindings beplan moet word eerder as rondom die DNS-wysiging.

Nie een van die gedragspatrone is ’n fout nie, en dit is juis wat die simptoom verwarrend maak. Die kliënt werk met ’n antwoord wat hy vroeër gekry het, en niks aan die bedienerkant wys watter antwoord dit was nie. Beplan die herverbinding in die onderhoudsvenster in en sê vir gebruikers wat hulle sal sien, of spandeer die venster aan kaartjies. ’n Tou identiese verslae is die gewone uitkoms.

Wie die naam beheer, en wat die kliënt verifieer

Beheer oor die sone bepaal hoe vinnig ’n migrasie kan beweeg. Hou die rekord by ’n registrateur waarby jy kan aanmeld, en skryf neer wie anders dit kan verander.

Vertroue volg nie die naam nie. ’n TLS-gebaseerde kliënt kan ’n sertifikaatidentiteit of ’n vasgepen naam nagaan, terwyl WireGuard die eweknie se publieke sleutel verifieer en die gasheernaam heeltemal ignoreer. Daardie verskil bepaal of ’n DNS-wysiging genoeg is, of of elke profiel ’n nuwe vingerafdruk nodig het. ’n Rekordwysiging moet nooit ’n eindpunt magtig wat niemand goedgekeur het nie.

Hou administratiewe en hersteltoegang weg van die openbare kliëntnaam. Om ’n gasheerrekening te verloor behoort nie ook die rekord te kos wat kliënte herlei nie. Bêre die herstelpad êrens wat nie afhanklik is van die verskaffer wat jy verlaat nie.

Wanneer elke kliënt die naam weer lees

Oplossingstyd is ’n eienskap per kliënt, so gaan die implementering na wat jy werklik versprei voordat jy ’n oorskakelvenster belowe. wg-quick los die eindpunt op soos die koppelvlak opkom en hou daardie adres tot die tonnel herbegin. ’n OpenVPN-kliënt soek die naam op wanneer hy verbind, en of hy weer kyk met herverbinding hang van sy opsies af.

Mobiele kliënte is die gewone verrassing, want hulle kan ’n opgeloste adres oor slaap of ’n netwerkverandering heen hou. Publiseer A- en AAAA-rekords net as die vervanging op albei families antwoord. ’n Adres wat op een familie antwoord, bewys niks oor die ander nie, en ’n dooie AAAA-rekord voeg ’n tydsverloop by elke poging. Dokumenteer die oplossingsgedrag vir elke kliënt wat jy ondersteun, en toets dan op die toestelle wat mense werklik gebruik.

’n Herverbinding is in die meeste kliënte ’n gebruikersaksie, en die bediener kan dit nie afdwing nie. Sit daardie stap in die onderhoudsnota, met ’n reël oor wat die gebruiker sal sien wanneer dit gebeur.

Skakel oor op bewyse, en tree die ou eindpunt dan af

Voor die oorskakeling, bewys elke laag by die vervanging: die luisteraar antwoord, die firewall laat die poort deur, roetes keer reg terug, die naam los op na die nuwe adres, en ’n bekende identiteit word aanvaar. ’n Luisteraar wat ’n verbinding aanvaar is nie dieselfde as een wat ’n handdruk voltooi nie, so toets die handdruk en nie die poort nie. Hou die huidige herroepingslys langs die konfigurasie, want ’n herstelde rugsteun skep die eweknie-lys weer soos dit was en sou toegang heropen wat jy reeds gesluit het. Teken aan met watter identiteit jy getoets het, want “dit werk” is nie ’n bewys wat iemand kan herhaal nie.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Tydens die oorgang, hou verbindingspogings op albei eindpunte vir dieselfde identiteit dop. ’n Kliënt wat steeds teen die ou adres verifieer, is ’n profiel of ’n gekaste antwoord wat nooit geskuif het nie. Tree die ou eindpunt volgens ’n gedateerde plan af, want twee dienste wat een identiteit aanvaar, laat twee deure oop.

Die oorskakeltoets is ’n toepassingsessie deur die nuwe eindpunt, nie ’n ping nie. Sodra daardie sessie werk en die ou eindpunt geen gemagtigde pogings oor ’n volle herverbindingsiklus log nie, is die skuif klaar.