WireGuard gebruik steeds die ou eindpunt ná DNS-veranderinge

Die tonnel het opgehou om verkeer deur te stuur nadat die bediener se DNS-rekord verskuif het, en die naam los korrek op van dieselfde masjien. Dié twee feite is nie in stryd nie. 'n WireGuard-konfigurasie hou 'n eindpunt, en die gereedskap los die naam op wanneer dit daardie konfigurasie toepas, so die lopende koppelvlak kan die adres bly gebruik wat dit ure gelede opgezoek het. Kyk wat die koppelvlak gebruik voordat jy sleutels vervang of aan die tonnelreeks raak.

Die naam word een keer opgelos, nie deurlopend nie

Kern-WireGuard-konfigurasie neem 'n eindpunt as 'n adres en 'n poort, en die gereedskap wat 'n koppelvlak opbring, los 'n gasheernaam op op daardie oomblik. Niks in die basisprotokol peil DNS volgens 'n skedule nie, en 'n kliënttoepassing kan sy eie verfrissingsgedrag daarby voeg. Om die opgeloste adres, die familie en die poort langs die naam neer te skryf, maak die gaping sigbaar. Sonder daardie aantekening lyk die konfigurasie korrek terwyl die koppelvlak met iets anders praat.

Daar is een werklike outomatiese opdatering, en dit is die moeite werd om te ken omdat dit soos DNS-verfrissing lyk sonder om dit te wees. 'n Eweknie-eindpunt kan verskuif wanneer korrek geauthentiseerde verkeer van 'n nuwe adres aankom, wat swermgedrag eerder as naamoplossing is. Dit volg die eweknie, so dit kan nie 'n onverwante nuwe bediener ontdek wat die ou eindpunt nooit gekontak het nie.

Vergelyk die rekord met die adres wat in gebruik is

Vra die gedokumenteerde naam op deur die oplosser wat die kliënt gebruik, en vra dan die koppelvlak watter eindpunt dit hou. Die twee antwoorde is die vergelyking wat die res van hierdie bladsy bepaal:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Die wg(8)-handleiding dokumenteer die show-subopdragte wat hierdie reëls gebruik. Vergelyk die adresfamilie sowel as die adres, want 'n rekord wat 'n IPv6-inskrywing bygekry het, is 'n ander vergelyking as een waarvan die IPv4-adres verander het. As die eindpunt van die rekord verskil, loop die koppelvlak op verouderde inligting en was die naam nooit die probleem nie. As hulle ooreenstem en die tonnel steeds misluk, gaan na die luisteraar en die reëls eerder as na die profiel.

Die handdruk-tydstempel is in daardie blok omdat die eindpunt alleen nie sê of die eweknie bereikbaar is nie. 'n Verouderde tydstempel langs 'n korrekte eindpunt is 'n padprobleem, nie 'n oplossingsprobleem nie, en die onderskeid verander waaraan jy volgende raak.

Herbegin deur die koppelvlak se bestuurder

Sodra die eindpunt bevestig is as verouderd, verfris dit deur die meganisme wat die koppelvlak besit in plaas daarvan om die lopende konfigurasie te redigeer. Vir 'n koppelvlak wat deur wg-quick begin is, is dit 'n af en op, vir 'n systemd-eenheid is dit 'n herbegin, en vir 'n koppelvlak wat deur 'n bestuurder besit word, is dit 'n verandering wat in daardie bestuurder gemaak word, want 'n lopende wysiging word by die volgende toepassing oorskryf:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Bevestig dan dat die vervangingsluisteraar en sy identiteit die diens is wat jy bedoel het. 'n DNS-skuif is nie 'n identiteitsverandering nie, so dit moet nooit die geleentheid wees om 'n sleutel te vertrou wat jy nie geverifieer het nie. As die koppelvlak nou die nuwe adres rapporteer en steeds geen handdruk lewer nie, het die fout na die nuwe netwerkpad of luisteraar verskuif, wat vordering is eerder as dieselfde fout twee keer.

Eers die handdruk, dan die datapad

Skei die twee uitkomste voordat jy 'n kontrolelys kies. 'n Handdruk wat slaag onder 'n toepassing wat misluk, is 'n datapadprobleem: roetes, toegelate voorvoegsels of DNS binne die tonnel. 'n Handdruk wat nooit gebeur nie, is 'n bereikbaarheids- of identiteitsprobleem by die eindpunt. Om die twee te meng lewer 'n verslag wat niemand kan herhaal nie en 'n veranderingslog met drie onverwante wysigings.

Teken die naam, die opgeloste adres, die eindpunt in gebruik en of die handdruk voltooi is aan. Daardie vier feite beantwoord die vraag wat hierdie fout bly vra, en hulle maak die volgende voorkoms 'n kontrole van twee minute. Naamonderhoud en kliëntaanvaarding bly aparte take: om die rekord reg te maak, doen nie die aanvaarding nie, en om die koppelvlak te herbegin, maak nie 'n rekord reg wat steeds verkeerd is nie.