Састарэлы запіс DDNS супраць паламанай канцавой кропкі VPN: як адрозніць

Звонку састарэлае імя хоста і паламаны VPN выглядаюць аднолькава. Кліент разрознівае імя, імя паказвае некуды, а злучэнне або сканчаецца па тайм-ауце, або адмаўляецца. Адно — гэта праблема абнаўлення DNS, а другое — праблема аўтэнтыфікацыі ці перасылкі, і розніца становіцца відавочнай толькі тады, калі вы параўнаеце адрас, які апублікаваны, з адрасам, які ваша лінія фактычна мае.

Дзве паломкі, якія выглядаюць аднолькава

Першая паломка ў тым, што запіс усё яшчэ змяшчае ўчарашні адрас WAN. Другая ў тым, што запіс правільны, а тунель адмаўляе вам па сваіх прычынах. Абодва даюць аднолькавае паведамленне на кліенце, і спакуса — пачаць перагенерыраваць сертыфікаты.

Тут важны парадак. Праверка DNS займае хвіліну і зваротная. Перагенерацыя CA не з’яўляецца ні тым, ні другім.

Параўнайце адрасы перад усім іншым

Спытайце ўладальніка сеткі, які адрас лінія мае цяпер, потым спытайце DNS, што ён публікуе. dig +short vpn.example.com дае адказ, які атрымае ваш кліент, а dig @1.1.1.1 vpn.example.com паказвае, ці бачыць іншы рэзалвер нешта іншае. Калі гэтыя два не супадаюць, вы глядзіце на паводзіны кэша, а не на паламаны абнаўляльнік.

Рэкурсіўны адказ можа адставаць ад абнаўлення на свой TTL, таму трымайце аўтарытэтны запіс і тое, што закэшаваў ваш ноўтбук, у асобных скрынях.

Што насамрэч уяўляе сабой уліковыя даныя абнаўляльніка

Старыя прылады DDNS часта аўтэнтыфікуюцца самім паролем уліковага запісу, таму змена гэтага пароля бясшумна іх ламае. Яны працягваюць спрабаваць са старым значэннем і не паведамляюць нічога карыснага. Даведка No-IP пра пароль прылады дакументуе менавіта гэтую праблему сумяшчальнасці на старым абсталяванні, і разумны адказ — уліковыя даныя абнаўлення з абмежаванымі правамі, а не слабейшы пароль уліковага запісу.

Больш новыя механізмы выдаюць асобны токен ці ключ абнаўлення з уласным жыццёвым цыклам. Гэта значэнне трэба ўкараніць у роўтар і запісаць у інвентар уліковых даных. Гэта таксама не тое значэнне, якое варта ўстаўляць у чат падчас адладкі.

Прагледзьце непатаемны статус абнаўляльніка: час апошняга поспеху, катэгорыю адказу і імя хоста, якое ён лічыць сваім. Адмова ва ўліковых даных і збой злучэння патрабуюць розных выпраўленняў.

Што не можа зрабіць выпраўленне DNS

Выпраўленне запісу не стварае ўваходнай дасяжнасці. Калі лінія знаходзіцца за NAT аператарскага ўзроўню, ніякае імя хоста не зробіць уваходнае злучэнне працаздольным. Яно таксама не адкрывае правіла файрвола і не перасылае порт. І гэта ніколі не прычына адключаць праверку сервера на кліенце — менавіта так робяць людзі, калі вырашаюць, што праблема абавязкова ў сертыфікаце.

Наадварот, змена пароля VPN не выпраўляе састарэлы DNS. Яна проста дадае другую паломку ў той жа тыкет.

Перападключыцеся і давядзіце гэта ад пачатку да канца

Калі аўтарытэтны запіс правільны, кліент можа ўсё яшчэ трымаць старое развязанне. Выкарыстайце яго падтрыманае перападключэнне або абнаўленне канцавой кропкі і дайце яму імгненне замест таго, каб безупынна націскаць злучыцца. Потым давядзіце шлях у чатыры крокі: развязаць імя, пацвердзіць адрас, праверыць дасяжнасць слухача і аўтэнтыфікавацца. Чатыры асобныя вынікі, чатыры асобныя адказы.

Трымайце абнаўляльнік у кантрольным спісе ротацыі побач з уліковым запісам VPN. Адзін прадугледжаны ўладальнік запісу, сапраўдныя ўліковыя даныя і бачны поспех — гэта тое, што прадухіляе наступную версію гэтага тыкета.