WireGuard все още използва старата крайна точка след промени в DNS

Тунелът спря да пропуска трафик, след като DNS записът на сървъра се премести, а името се разрешава правилно от същата машина. Тези два факта не си противоречат. Конфигурацията на WireGuard съдържа крайна точка, а инструментът разрешава името, когато прилага тази конфигурация, затова работещият интерфейс може да продължи да използва адреса, който е потърсил преди часове. Проверете какво използва интерфейсът, преди да сменяте ключове или да пипате обхвата на тунела.

Името се разрешава веднъж, а не непрекъснато

Основната конфигурация на WireGuard приема крайна точка като адрес и порт, а инструментът, който вдига интерфейс, разрешава име на хост в този момент. Нищо в базовия протокол не пита DNS по график, а клиентското приложение може да добави свое поведение за обновяване отгоре. Записването на разрешения адрес, семейството и порта до името прави разликата видима. Без такъв запис конфигурацията изглежда вярна, докато интерфейсът говори с нещо друго.

Има едно истинско автоматично обновяване и си струва да го знаете, защото прилича на обновяване на DNS, без да е такова. Крайната точка на партньора може да се премести, когато правилно удостоверен трафик пристигне от нов адрес, което е роуминг, а не разрешаване на име. Тя следва партньора, затова не може да открие несвързан нов сървър, с който старата крайна точка никога не е контактувала.

Сравнете записа с използвания адрес

Попитайте документираното име през резолвера, който клиентът използва, след което попитайте интерфейса каква крайна точка държи. Двата отговора са сравнението, което решава остатъка от тази страница:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Ръководството wg(8) документира подкомандите show, които тези редове използват. Сравнете и семейството на адреса, не само адреса, защото запис, който е получил IPv6 запис, е различно сравнение от такъв, чийто IPv4 адрес се е променил. Ако крайната точка се различава от записа, интерфейсът работи със стара информация и името никога не е било проблемът. Ако съвпадат, а тунелът все още се проваля, преминете към слушателя и правилата, а не към профила.

Времевата марка на ръкостискането е в този блок, защото крайната точка сама по себе си не казва дали партньорът е достъпен. Стара времева марка до вярна крайна точка е проблем на пътя, а не на разрешаването, и това разграничение променя какво пипате след това.

Рестартирайте през мениджъра на интерфейса

След като крайната точка е потвърдена като остаряла, обновете я чрез механизма, който притежава интерфейса вместо да редактирате живата конфигурация. За интерфейс, стартиран от wg-quick, това е down и up, за systemd модул това е рестарт, а за интерфейс, притежаван от мениджър, това е промяна, направена в този мениджър, защото редакция по време на работа се презаписва при следващото прилагане:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

След това потвърдете, че заместващият слушател и неговата идентичност са услугата, която сте имали предвид. Преместването на DNS не е промяна на идентичността, затова никога не трябва да е повод да се доверите на ключ, който не сте проверили. Ако интерфейсът сега съобщава новия адрес и все още не дава ръкостискане, повредата се е преместила в новия мрежов път или слушател, което е напредък, а не същата повреда два пъти.

Първо ръкостискането, после пътя на данните

Разделете двата резултата, преди да изберете контролен списък. Ръкостискане, което успява при приложение, което се проваля, е проблем на пътя на данните: маршрути, разрешени префикси или DNS вътре в тунела. Ръкостискане, което никога не се случва, е проблем на достъпност или идентичност в крайната точка. Смесването на двете дава доклад, който никой не може да възпроизведе, и дневник на промените с три несвързани редакции.

Запишете името, разрешения адрес, използваната крайна точка и дали ръкостискането е завършило. Тези четири факта отговарят на въпроса, който тази повреда постоянно задава, и превръщат следващия случай в двуминутна проверка. Поддръжката на имената и внедряването при клиентите остават отделни задачи: коригирането на записа не извършва внедряването, а рестартирането на интерфейса не поправя запис, който все още е грешен.