Zastaralý záznam DDNS versus rozbitý koncový bod VPN: jak to rozeznat

Zvenčí vypadá zastaralé jméno hostitele a rozbitá VPN stejně. Klient přeloží jméno, jméno ukazuje někam a spojení buď vyprší, nebo je odmítnuto. Jedno je problém aktualizace DNS a druhé problém autentizace nebo předávání, a rozdíl je zřejmý teprve tehdy, když porovnáte adresu, která je zveřejněná, s adresou, kterou vaše linka skutečně má.

Dvě poruchy, které vypadají stejně

První porucha je, že záznam stále uvádí včerejší adresu WAN. Druhá je, že záznam je správný a tunel vás odmítá z vlastních důvodů. Obě dávají v klientovi stejnou zprávu a pokušení je začít znovu generovat certifikáty.

Na pořadí zde záleží. Kontrola DNS trvá minutu a je vratná. Znovuvygenerování CA není ani jedno.

Nejdřív porovnejte adresy

Zeptejte se vlastníka sítě, jakou adresu linka právě má, a potom se zeptejte DNS, co zveřejňuje. dig +short vpn.example.com dá odpověď, kterou váš klient dostane, a dig @1.1.1.1 vpn.example.com ukáže, zda jiný překladač vidí něco jiného. Pokud se tyto dva rozcházejí, díváte se na chování mezipaměti, ne na rozbitý aktualizátor.

Rekurzivní odpověď může za aktualizací zaostávat o svou TTL, takže držte autoritativní záznam a to, co si váš notebook uložil do mezipaměti, v oddělených krabicích.

Co je vlastně přihlašovací údaj aktualizátoru

Starší zařízení DDNS se často autentizují samotným heslem účtu, a proto je změna tohoto hesla tiše rozbije. Stále zkoušejí starou hodnotu a nehlásí nic užitečného. Pokyny No-IP k heslu zařízení dokumentují přesně tento problém kompatibility u staršího hardwaru a rozumnou reakcí je přihlašovací údaj pro aktualizaci s omezeným rozsahem, nikoli slabší heslo účtu.

Novější mechanismy vydávají samostatný token nebo klíč pro aktualizaci s vlastním životním cyklem. To je hodnota, kterou je třeba rotovat do routeru, a ta, kterou je třeba zapsat do inventáře přihlašovacích údajů. Také to není hodnota, kterou byste měli vkládat do chatovacího vlákna při ladění.

Prohlédněte si neutajovaný stav aktualizátoru: čas posledního úspěchu, kategorii odpovědi a jméno hostitele, o kterém se domnívá, že mu patří. Odmítnutí přihlašovacích údajů a selhání připojení vyžadují různé opravy.

Co oprava DNS nedokáže

Oprava záznamu nevytváří příchozí dostupnost. Pokud linka sedí za NAT na úrovni operátora, žádné jméno hostitele příchozí spojení nezprovozní. Také neotevře pravidlo firewallu ani nepřesměruje port. A nikdy není důvodem vypnout ověřování serveru v klientovi, což je krok, který lidé udělají, když usoudí, že problémem musí být certifikát.

Naopak změna hesla VPN není opravou zastaralého DNS. Jen přidá druhou poruchu do stejného tiketu.

Připojte se znovu a dokažte to od začátku do konce

Když je autoritativní záznam správný, klient může stále držet starý překlad. Použijte jeho podporované opětovné připojení nebo obnovení koncového bodu a dejte mu chvíli, místo abyste neustále mačkali připojení. Potom dokažte cestu ve čtyřech krocích: přeložte jméno, potvrďte adresu, ověřte, že je naslouchající prvek dostupný, a autentizujte se. Čtyři oddělené výsledky, čtyři oddělené odpovědi.

Držte aktualizátor v kontrolním seznamu rotace vedle účtu VPN. Jeden zamýšlený vlastník záznamu, platný přihlašovací údaj a pozorovatelný úspěch jsou to, co zabrání další verzi tohoto tiketu.