A oes angen DNS deinamig ar gyfer gweinydd VPN cartref?

Nid methiannau DNS yw’r rhan fwyaf o fethiannau VPN cartref y mae pobl yn gofyn i mi amdanynt, ac eto maen nhw’n prynu tanysgrifiad DNS deinamig yn gyntaf. Cyn i chi ffurfweddu unrhyw beth, penderfynwch ai’r enw gwesteiwr yw’r rhan sydd mewn gwirionedd wedi torri. Mae diweddarwr yn ailysgrifennu cofnod pan fydd y cyfeiriad a roddodd eich ISP i chi yn symud; ni all agor porth, torri trwy NAT y cludydd, na gwneud i sesiwn WireGuard fyw sylwi bod ei his-bhwynt wedi newid. Mae tri amod yn penderfynu ai DNS deinamig yw’r ateb cyfan neu un llinell yn unig ohono.

Amod un: mae eich cyfeiriad yn symud o ddifrif

Mae cyfeiriadau preswyl yn symud am resymau digyffro: mae’r modem yn ailsymud ar ôl toriad pŵer, mae’r ISP yn ailgydbwyso cronfa, mae prydles newydd yn glanio ar ôl diffyg hir. Maen nhw hefyd yn symud yn anaml ar rai llinellau, ac rwyf wedi gweld yr un cyfeiriad yn goroesi am flwyddyn; mae cynlluniau busnes yn aml yn cynnwys un statig. Os nad oes dim wedi newid mewn deuddeng mis, mae un cofnod A rydych yn ei olygu â llaw yn un daemon yn llai i’w gadw’n fyw.

Mesurwch yn hytrach na dyfalu. Darllenwch y cyfeiriad WAN ar dudalen statws y llwybrydd, yna cymharwch ef â’r hyn a wel y byd y tu allan. Rhedwch hyn o beiriant ar y LAN:

curl -fsS https://api.ipify.org; echo

Os yw’r ddau werth yn wahanol, mae rhywbeth yn cyfieithu o flaen eich llwybrydd, ac ni fydd unrhyw ddiweddariad enw gwesteiwr yn trwsio hynny. Mae cyfeiriad y tu mewn i 100.64.0.0/10 yn yr ystod a rennir ar gyfer NAT gradd cludydd, a dyna’r rheswm arferol pam mae enw a ddiweddarwyd yn gywir yn dal i amseru allan o’r tu allan.

Amod dau: mae cleientiaid yn edrych i fyny’r enw eto

TTL byr yw’r rhan mae pobl yn ei hepgor. Mae datryswyr ailadroddus yn anrhydeddu TTL y cofnod, ond mae staciau cleientiaid yn cachio ar wahân, ac nid yw twnnel sydd eisoes i fyny yn ailddatrys unrhyw beth. Gosodwch y cofnod i 60-300 eiliad wrth ddadfygio; mae hynny’n byrhau’r ffenestr lle gweinir ateb hen ac nid yw’n mudo sesiwn gysylltiedig.

OpenVPN yn ailddatrys y llinell remote vpn.example.net 1194 bob tro y mae’n ailsgwrsio, ac resolv-retry infinite yn ei gadw i geisio eto yn lle gorffen pan fydd yr edrych i fyny yn methu. Ar y gweinydd, float yn gadael i sesiwn sefydledig ddilyn cyfoed y newidiodd ei gyfeiriad ffynhonnell. Mae WireGuard yn blaenach: wg-quick up yn datrys y Endpoint pan gymhwysir y ffurfwedd, ac mae’r cleient yn ei ddatrys eto pan fydd yn ailadeiladu’r twnnel, felly mae ysgydwad llaw sy’n dal i lwyddo yn erbyn yr hen gyfeiriad yn parhau i lwyddo nes iddo stopio.

Mae’r gwahaniaeth hwnnw’n llywio’r cynllun. Os yw cleientiaid yn cysylltu ar alw, mae newid cyfeiriad yn costio un ailsgwrsiad. Os ydynt yn cadw sesiwn ar agor am ddyddiau, disgwyliwch i’r twnnel farw ar yr ysgydwad llaw nesaf, a gwnewch i’r cleient geisio eto yn lle tybio ei fod yn aros i fyny.

Amod tri: mae’r llwybr i mewn yn dal ar agor

Mae DNS deinamig yn newid i ble mae’r enw’n pwyntio ac yn ddim byd arall. Rhaid i’r ailgyfeirio porth ar y llwybrydd, y rheol mur gwâl ar yr is-bhwynt VPN, a chaniatâd yr ISP i becynnau i mewn fodoli i gyd cyn i’r cofnod fod o bwys. Gwyliwch at beth mae’r ailgyfeirio’n anelu: os yw wedi’i binio i gyfeiriad WAN yn lle’r rhyngwyneb, mae newid cyfeiriad yn torri’r ailgyfeirio’n dawel ac mae’r cofnod yn cymryd y bai.

Profwch o’r tu allan. Ffôn ar ddata symudol gyda Wi-Fi i ffwrdd yw’r prawf onest rhataf; nid gliniadur ar yr un LAN yw hwnnw. Pan fydd yr enw’n datrys i’ch cyfeiriad cyhoeddus ac nad oes gan y llwybrydd ddolen NAT, mae prawf o’r tu mewn yn methu tra bo’r cofnod yn berffaith gywir, sy’n anfon y mwyafrif i olygu cofnod nad oedd erioed yn anghywir.

Beth i’w redeg pan fydd y tri yn dal

ddclient yw’r diweddarwr lleiaf syfrdanol ar gyfer gwesteiwr bach. Mae ffurfweddiad bychan yn cyhoeddi’r cyfeiriad a wel y darparwr, sy’n osgoi’r camgymeriad NAT dwbl:

protocol=dyndns2
use=web, web=https://api.ipify.org
server=updates.your-dns-provider.net
login=vpn-home
password=update-token
vpn.example.net

Rhedwch ef o amserydd systemd bob ychydig funudau yn lle dolen shell, a logiwch ateb y darparwr yn lle tybio llwyddiant. Triniwch y cysylltad megis allwedd, oherwydd mae’n penderfynu i ble y caiff pob cleient ei anfon: defnyddiwch docyn diweddaru cyfyngedig yn lle cyfrinair cyfrif, cadwch y ffeil ar fodd 0600, ac anfonwch ddiweddariadau dros HTTPS.

Gwirwch cyn ymrwymo

Mae un edrychiad i fyny’n dweud wrthych beth a wel gweddill y byd, ac mae’n argraffu’r TTL y mae’n rhaid i chi aros amdano ar ôl newid:

dig +noall +answer vpn.example.net @1.1.1.1

Cymharwch y cyfeiriad hwnnw â chyfeiriad WAN y llwybrydd. Os ydynt yn cyfateb, mae’r enw’n gwneud ei waith a’r hyn sy’n dal i fethu yw cyrhaeddiad i mewn, allwedd, neu gleient nad yw wedi ailddatrys. Os ydynt yn wahanol, mae’r diweddarwr yn cyhoeddi’r rhyngwyneb anghywir, yn aml oherwydd iddo redeg ar is-bhwynt VPN y tu ôl i’r llwybrydd yn lle ar y llwybrydd ei hun.

Cadwch wrthgiliad sy’n cymryd munud: nodwch y cyfeiriad olaf a weithiodd a’r TTL blaenorol, fel y gallwch gyhoeddi’r ddau â llaw tra bo’r darparwr yn cael prynhawn gwael.

Pan fydd yr ateb yn na

Os yw amod un neu dri yn methu, mae’r penderfyniad yn newid yn hytrach na’r ffurfweddiad. Y tu ôl i NAT y cludydd, eich opsiynau ymarferol yw gofyn i’r ISP am gyfeiriad cyhoeddus, symud y pwynt mynediad i VPS bach â chyfeiriad sefydlog, neu ddefnyddio gorlen sy’n cadw ei gyfarfod ei hun. Os yw’r cyfeiriad yn statig, hepgorwch y diweddarwr: un cofnod A, un cofnod AAAA os rhedwch IPv6, yr un ailgyfeirio porth.

Os yw’r cyfeiriad yn newid tra bo cleientiaid yn aros yn gysylltiedig, mae’r trwsiad onest yn byw ar y cleient: rhesymeg ailsgwrsio a chyfwng aildrio, nid diweddarwr cyflymach. Mae ychwanegu ail ddarparwr ond yn cuddio’r cyfwng.

Cyn i chi symud ymlaen, cadarnhewch bedwar peth yn eu trefn:

• Mae’r cyfeiriad y mae’r diweddarwr yn ei gyhoeddi yn cyfateb i gyfeiriad WAN y llwybrydd.
• Mae TTL y cofnod yn ddigon byr i newid ymddangos o fewn munudau.
• Mae’r ailgyfeirio porth wedi’i rwymo i’r rhyngwyneb, nid i gyfeiriad sefydlog.
• Mae un cleient go iawn wedi ailsgwrsio ac wedi pasio traffig ers y newid diwethaf.

Os yw’r pedwar yn dal, gadewch lonydd i’r gosodiad; eich methiant nesaf yw allwedd neu reol mur gwâl yn hytrach na phroblem enwi. Os yw unrhyw un yn methu, trwsiwch y rhes honno cyn ychwanegu rhan symudol arall. RFC 2136 yn disgrifio’r mecanwaith diweddaru ei hun, os ydych am weld beth mae’r daemon yn ei roi ar y weiren.