VPN provayderlərini dəyişmək: yalnız IP-ni deyil, host adını planlaşdırın

DNS qeydiniz düzgündür, əvəzləyici sağlamdır, amma bəzi müştərilər yenə də saatlarla köhnə ünvana zəng edirlər. Bir neçəsi həll olunan və heç vaxt cavab verməyən bir ada qarşı dərhal uğursuz olur. Hər iki nəticə bir boşluqdan qaynaqlanır: host adı müştərinin nəyi axtardığını dəyişir, onu nə vaxt axtardığını yox, cavab gələndə nəyə etibar etdiyini də yox.

Simptom: düzgün qeyd, köhnəlmiş tunellər

Adı saxlayan profil onu daim həll edən müştəri deyil. Əksəriyyəti bir dəfə həll edir — konfiqurasiya tətbiq ediləndə və ya tunel qalxanda — və sonra sessiya bitənə qədər həmin ünvandan istifadə edir. Bunun üstünə yığılan uzun TTL keçidin DNS redaktəsi ətrafında deyil, yenidən qoşulmalar ətrafında planlaşdırılmalı olmasının səbəbidir.

Bu davranışların heç biri qüsur deyil, simptomu çaşdırıcı edən də elə budur. Müştəri əvvəl əldə etdiyi cavabla işləyir və server tərəfində heç nə hansı cavabın olduğunu göstərmir. Yenidən qoşulmanı texniki xidmət pəncərəsinə daxil edin və istifadəçilərə nə görəcəklərini deyin, yoxsa pəncərəni biletlərə cavab verməklə keçirin. Adətən nəticə eyni məzmunlu hesabatlar növbəsi olur.

Adı kim idarə edir və müştəri nəyi yoxlayır

Zonanın idarəsi miqrasiyanın nə qədər sürətli gedəcəyini müəyyən edir. Qeydi daxil ola bildiyiniz registrator yanında saxlayın və onu başqa kimin dəyişə bildiyini yazın.

Etibar adla getmir. TLS əsaslı müştəri sertifikat kimliyini və ya bərkidilmiş adı yoxlaya bilər, WireGuard isə qarşı tərəfin açıq açarını doğrulayır və host adını tamamilə nəzərə almır. Bu fərq DNS redaktəsinin kifayət edib-etmədiyini və ya hər profilin yeni barmaq izinə ehtiyacı olub-olmadığını həll edir. Qeyd dəyişikliyi heç vaxt heç kimin təsdiqləmədiyi son nöqtəyə icazə verməməlidir.

İnzibati və bərpa girişini ictimai müştəri adından uzaq saxlayın. Hostinq hesabını itirmək müştəriləri yönləndirən qeydi də itirməyə səbəb olmamalıdır. Bərpa yolunu tərk etdiyiniz provayderdən asılı olmayan yerdə saxlayın.

Hər müştəri adı nə vaxt yenidən oxuyur

Həll vaxtı hər müştəriyə xas xüsusiyyətdir, ona görə keçid pəncərəsi vəd etməzdən əvvəl həqiqətən yaydığınız tətbiqi yoxlayın. wg-quick interfeys qalxanda son nöqtəni həll edir və tunel yenidən başlayana qədər həmin ünvanı saxlayır. OpenVPN müştərisi adı qoşularkən axtarır və yenidən qoşulanda yenə axtarıb-axtarmaması onun seçimlərindən asılıdır.

Mobil müştərilər adətən sürpriz yaradır, çünki yuxu və ya şəbəkə dəyişikliyi boyunca həll edilmiş ünvanı saxlaya bilərlər. A və AAAA qeydlərini yalnız əvəzləyici hər iki ailədə cavab verdikdə dərc edin. Bir ailədə cavab verən ünvan digəri haqqında heç nə sübut etmir və ölü AAAA qeydi hər cəhdə gözləmə müddəti əlavə edir. Hər dəstəklədiyiniz müştəri üçün həll davranışını sənədləşdirin, sonra insanların həqiqətən istifadə etdiyi cihazlarda sınayın.

Yenidən qoşulma əksər müştərilərdə istifadəçi hərəkətidir və server bunu məcbur edə bilməz. Bu addımı texniki xidmət qeydinə yazın, baş verəndə istifadəçinin nə görəcəyi barədə bir sətir əlavə edin.

Sübuta əsaslanaraq keçin, sonra köhnə son nöqtəni dayandırın

Keçiddən əvvəl hər qatı əvəzləyicidə sübut edin: dinləyici cavab verir, firewall portu keçirir, marşrutlar düzgün istiqamətə qayıdır, ad yeni ünvana həll olunur və tanınan kimlik qəbul edilir. Bağlantını qəbul edən dinləyici əl sıxışmasını tamamlayanla eyni deyil, ona görə portu deyil, əl sıxışmasını sınayın. Cari ləğv siyahısını konfiqurasiyanın yanında saxlayın, çünki bərpa edilmiş ehtiyat nüsxə qarşı tərəf siyahısını əvvəlki kimi yenidən yaradır və artıq bağladığınız girişi yenidən açardı. Hansı kimliklə sınadığınızı qeyd edin, çünki «işləyir» heç kimin təkrarlaya biləcəyi sübut deyil.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Keçid zamanı eyni kimlik üçün hər iki son nöqtədə bağlantı cəhdlərini izləyin. Hələ də köhnə ünvana qarşı doğrulanan müştəri heç vaxt köçməmiş profil və ya keşlənmiş cavabdır. Köhnə son nöqtəni tarixli planla dayandırın, çünki bir kimliyi qəbul edən iki xidmət iki qapını açıq qoyur.

Keçid testi yeni son nöqtədən keçən tətbiq sessiyasıdır, ping deyil. Bu sessiya işləyəndə və köhnə son nöqtə tam yenidən qoşulma dövrü boyunca heç bir icazəli cəhd qeydə almayanda, köçürmə bitmişdir.