Un registre DDNS obsolet davant d’un punt final VPN trencat: com distingir-los

Des de fora, un nom d’amfitrió obsolet i una VPN trencada semblen idèntics. El client resol un nom, el nom apunta enlloc, i la connexió expira o es refusa. Un és un problema d’actualització del DNS i l’altre és un problema d’autenticació o d’encaminament, i la diferència només es fa evident quan compareu l’adreça publicada amb l’adreça que la vostra línia té realment.

Dues fallades que es presenten igual

La primera fallada és que el registre encara llista l’adreça WAN d’ahir. La segona és que el registre és correcte i el túnel us refusa per motius propis. Totes dues produeixen el mateix missatge al client, i la temptació és començar a regenerar certificats.

L’ordre importa aquí. Comprovar el DNS triga un minut i és reversible. Regenerar una CA no és ni una cosa ni l’altra.

Compareu les adreces abans que res

Pregunteu al propietari de la xarxa quina adreça té la línia actualment, i després pregunteu al DNS què publica. dig +short vpn.example.com dóna la resposta que rebrà el vostre client, i dig @1.1.1.1 vpn.example.com mostra si un altre resolutor veu una cosa diferent. Si aquests dos no coincideixen, esteu mirant el comportament de la memòria cau i no un actualitzador trencat.

Una resposta recursiva pot quedar-se enrere respecte d’una actualització pel seu TTL, així que guardeu el registre autoritatiu i el que el vostre portàtil ha emmagatzemat en caixes separades.

Què és realment la credencial de l’actualitzador

Els dispositius DDNS antics sovint s’autentiquen amb la mateixa contrasenya del compte, i per això canviar aquesta contrasenya els trenca en silenci. Continuen reintentant amb el valor antic i no informen de res útil. La guia de contrasenyes de dispositiu de No-IP documenta exactament aquest problema de compatibilitat en maquinari antic, i la resposta sensata és una credencial d’actualització d’abast limitat en lloc d’una contrasenya de compte més feble.

Els mecanismes més nous emeten un testimoni o clau d’actualització separat amb el seu propi cicle de vida. Aquest és el valor que cal rotar al router, i el que cal registrar a l’inventari de credencials. Tampoc no és el valor que cal enganxar en un fil de xat mentre depureu.

Reviseu l’estat no secret de l’actualitzador: hora de l’últim èxit, categoria de resposta i el nom d’amfitrió que creu que posseeix. Un rebuig de credencial i una fallada de connectivitat necessiten correccions diferents.

Què no pot fer una correcció del DNS

Corregir el registre no crea accessibilitat entrant. Si la línia és darrere d’un NAT de nivell operador, cap nom d’amfitrió farà funcionar una connexió entrant. Tampoc no obre una regla de tallafoc ni reenvia un port. I mai no és una raó per desactivar la verificació del servidor al client, que és el moviment que fa la gent quan decideix que el certificat ha de ser el problema.

A la inversa, un canvi de contrasenya de la VPN no és cap correcció per a un DNS obsolet. Només afegeix una segona fallada al mateix tiquet.

Torneu a connectar i demostreu-ho d’extrem a extrem

Un cop el registre autoritatiu sigui correcte, el client pot encara conservar una consulta antiga. Feu servir la seva reconnexió o refresc de punt final compatible i doneu-li un moment en lloc de martellejar la connexió. Després demostreu el camí en quatre passos: resolgueu el nom, confirmeu l’adreça, comproveu que l’oient és accessible i autentiqueu-vos. Quatre resultats separats, quatre respostes separades.

Manteniu l’actualitzador a la llista de verificació de rotació al costat del compte de la VPN. Un propietari de registre previst, una credencial vàlida i un èxit observable és el que evita la propera versió d’aquest tiquet.