Остарял DDNS запис срещу счупена крайна точка на VPN: как да различим

Отвън остаряло име на хост и счупен VPN изглеждат еднакво. Клиентът резолвва име, името сочи някъде, а връзката изтича или бива отказана. Едното е проблем с обновяването на DNS, а другото е проблем с удостоверяването или препращането, и разликата става очевидна само когато сравните публикувания адрес с адреса, който вашата линия всъщност има.

Две повреди, които изглеждат по един и същ начин

Първата повреда е, че записът все още съдържа вчерашния WAN адрес. Втората е, че записът е правилен и тунелът ви отказва по свои причини. И двете дават едно и също съобщение в клиента, и изкушението е да започнете да прегенерирате сертификати.

Редът тук има значение. Проверката на DNS отнема минута и е обратима. Прегенерирането на CA не е нито едното, нито другото.

Сравнете адресите преди всичко друго

Попитайте собственика на мрежата кой адрес има линията в момента, после попитайте DNS какво публикува. dig +short vpn.example.com дава отговора, който вашият клиент ще получи, а dig @1.1.1.1 vpn.example.com показва дали друг резолвер вижда нещо различно. Ако тези две не съвпадат, гледате поведение на кеша, а не счупен обновител.

Рекурсивният отговор може да изостава от обновяване с неговия TTL, затова дръжте авторитетния запис и това, което лаптопът ви е кеширал, в отделни кутии.

Какво всъщност представлява удостоверението на обновителя

Старите DDNS устройства често се удостоверяват със самата парола на акаунта, поради което смяната ѝ ги чупи безшумно. Те продължават да опитват със старата стойност и не съобщават нищо полезно. Ръководството на No-IP за парола на устройство документира точно този проблем със съвместимостта при по-стар хардуер, а разумният отговор е удостоверение за обновяване с ограничен обхват, а не по-слаба парола на акаунта.

По-новите механизми издават отделен токен или ключ за обновяване със собствен жизнен цикъл. Това е стойността, която трябва да ротирате в рутера, и тази, която да запишете в инвентара на удостоверенията. Тя също не е стойността, която да поставяте в чат нишка, докато отстранявате проблема.

Прегледайте несекретния статус на обновителя: време на последния успех, категория на отговора и името на хоста, за което смята, че притежава. Отхвърляне на удостоверение и повреда в свързаността изискват различни поправки.

Какво не може да направи поправка на DNS

Коригирането на записа не създава входяща достъпност. Ако линията е зад NAT на операторско ниво, никое име на хост няма да направи входящата връзка работеща. То също не отваря правило на защитната стена и не препраща порт. И никога не е причина да изключите проверката на сървъра в клиента — ходът, който хората правят, когато решат, че сертификатът трябва да е проблемът.

Обратно, смяната на VPN парола не е поправка за остарял DNS. Тя просто добавя втора повреда към същия тикет.

Свържете се отново и го докажете от край до край

След като авторитетният запис е наред, клиентът може все още да пази стара резолюция. Използвайте поддържаното от него повторно свързване или опресняване на крайната точка и му дайте момент, вместо да натискате свързване непрекъснато. После докажете пътя в четири стъпки: резолвнете името, потвърдете адреса, проверете дали слушателят е достъпен и се удостоверете. Четири отделни резултата, четири отделни отговора.

Дръжте обновителя в контролния списък за ротация до VPN акаунта. Един предвиден собственик на записа, валидно удостоверение и наблюдаем успех са това, което предотвратява следващата версия на този тикет.