WireGuard па-ранейшаму выкарыстоўвае стары канчатковы пункт пасля змен DNS

Тунэль перастаў перадаваць трафік пасля таго, як DNS-запіс сервера змяніўся, а імя карэктна развязваецца з таго ж кампутара. Гэтыя два факты не супярэчаць адзін аднаму. Канфігурацыя WireGuard утрымлівае канчатковы пункт, а інструмент развязвае імя ў момант прымянення гэтай канфігурацыі, таму інтэрфейс, які працуе, можа працягваць выкарыстоўваць адрас, які ён атрымаў гадзіны таму. Праверце, што выкарыстоўвае інтэрфейс, перш чым замяняць ключы або закранаць дыяпазон тунэля.

Імя развязваецца адзін раз, а не бесперапынна

Базавая канфігурацыя WireGuard прымае канчатковы пункт як адрас і порт, а інструмент, які ўзнімае інтэрфейс, развязвае імя хаста ў той момант. Нішто ў базавым пратаколе не апытвае DNS па раскладзе, а кліенцкая праграма можа дадаць свае паводзіны абнаўлення зверху. Запіс развязанага адраса, сямейства і порта побач з імем робіць прабел бачным. Без такога запісу канфігурацыя выглядае правільнай, пакуль інтэрфейс размаўляе з чымсьці іншым.

Ёсць адно сапраўднае аўтаматычнае абнаўленне, і пра яго варта ведаць, бо яно нагадвае абнаўленне DNS, не з'яўляючыся ім. Канчатковы пункт партнёра можа зрушыцца, калі карэктна аўтэнтыфікаваны трафік прыходзіць з новага адраса, гэта роўмінг, а не развязанне імёнаў. Ён ідзе за партнёрам, таму не можа выявіць незвязаны новы сервер, з якім стары канчатковы пункт ніколі не кантактаваў.

Параўнайце запіс з адрасам, які выкарыстоўваецца

Запытайце дакументаванае імя праз рэзалвер, які выкарыстоўвае кліент, затым спытайце інтэрфейс, які канчатковы пункт ён трымае. Два адказы — гэта параўнанне, якое вызначае ўсё астатняе на гэтай старонцы:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Інструмент wg(8) апісвае падкаманды show, якія выкарыстоўваюць гэтыя радкі. Параўнайце сямейства адрасоў, а не толькі адрас, бо запіс, які атрымаў запіс IPv6, — гэта іншае параўнанне, чым запіс, у якога змяніўся адрас IPv4. Калі канчатковы пункт адрозніваецца ад запісу, інтэрфейс працуе на састарэлай інфармацыі, і імя ніколі не было праблемай. Калі яны супадаюць, а тунэль усё яшчэ не працуе, пераходзьце да слухача і правілаў, а не да профілю.

Адзнака часу рукапаціскання ў тым блоку, бо адзін канчатковы пункт не кажа, ці дасяжны партнёр. Састарэлая адзнака часу побач з правільным канчатковым пунктам — гэта праблема шляху, а не праблема развязання, і гэтае адрозненне змяняе тое, да чаго вы дакраняцеся далей.

Перазапуск праз кіраўнік інтэрфейса

Калі канчатковы пункт пацверджаны як састарэлы, абнавіце яго праз механізм, які валодае інтэрфейсам замест рэдагавання жывой канфігурацыі. Для інтэрфейса, запушчанага wg-quick, гэта спуск і ўздым; для модуля systemd — перазапуск; для інтэрфейса, якім валодае кіраўнік, — змена, зробленая ў тым кіраўніку, бо праўка на хаду перазапісваецца пры наступным прымяненні:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Затым пераканайцеся, што заменны слухач і яго ідэнтычнасць — гэта паслуга, якую вы мелі на ўвазе. Змена DNS не з'яўляецца зменай ідэнтычнасці, таму яна ніколі не павінна быць нагодай давяраць ключу, які вы не праверылі. Калі інтэрфейс цяпер паведамляе новы адрас і ўсё яшчэ не дае рукапаціскання, няспраўнасць перайшла на новы шлях сеткі або слухача, а гэта прагрэс, а не тая ж няспраўнасць двойчы.

Спачатку рукапацісканне, затым шлях даных

Аддзяліце два вынікі перад выбарам кантрольнага спісу. Рукапацісканне, якое атрымліваецца пры праграме, якая падае, — гэта праблема шляху даных: маршруты, дазволеныя прэфіксы або DNS унутры тунэля. Рукапацісканне, якое не адбываецца ніколі, — гэта праблема дасяжнасці або ідэнтычнасці на канчатковым пункце. Змешванне двух дае справаздачу, якую ніхто не можа паўтарыць, і журнал змяненняў з трыма незвязанымі праўкамі.

Запішыце імя, развязаны адрас, канчатковы пункт у выкарыстанні і тое, ці завяршылася рукапацісканне. Гэтыя чатыры факты адказваюць на пытанне, якое гэтая няспраўнасць увесь час задае, і робяць наступны выпадак двуххвіліннай праверкай. Абслугоўванне імёнаў і ўкараненне кліентаў застаюцца асобнымі задачамі: выпраўленне запісу не выконвае ўкаранення, а перазапуск інтэрфейса не выпраўляе запіс, які ўсё яшчэ няправільны.