Skift af VPN-udbyder: planlæg værtsnavnet, ikke kun IP'en

Din DNS-post er korrekt, erstatningen er sund, og alligevel bruger nogle klienter timer på at ringe til den gamle adresse. Et par fejler med det samme mod et navn, der opløses og aldrig svarer. Begge udfald kommer fra et enkelt hul: et værtsnavn ændrer, hvad en klient slår op, ikke hvornår den slår det op, og ikke hvad den stoler på, når svaret kommer.

Symptomet: en korrekt post, forældede tunneller

En profil, der gemmer et navn, er ikke en klient, der bliver ved med at slå det op. De fleste slår op én gang, når konfigurationen anvendes, eller når tunnellen kommer op, og genbruger derefter adressen, indtil sessionen slutter. En lang TTL ovenpå er grunden til, at overgangen skal planlægges omkring genforbindelser i stedet for omkring DNS-redigeringen.

Ingen af de to adfærdsmønstre er en fejl, og det er netop det, der gør symptomet forvirrende. Klienten arbejder ud fra et svar, den fik tidligere, og intet på serversiden viser, hvilket svar det var. Planlæg genforbindelsen ind i vedligeholdelsesvinduet, og fortæl brugerne, hvad de vil se, eller brug vinduet på at svare på sager. En kø af identiske rapporter er det sædvanlige resultat.

Hvem styrer navnet, og hvad klienten verificerer

Kontrollen over zonen afgør, hvor hurtigt en migrering kan bevæge sig. Hold posten hos en registrator, du kan logge ind hos, og skriv ned, hvem der ellers kan ændre den.

Tillid følger ikke navnet. En TLS-baseret klient kan kontrollere en certifikatidentitet eller et fastgjort navn, mens WireGuard godkender peerens offentlige nøgle og ignorerer værtsnavnet helt. Den forskel afgør, om en DNS-redigering er nok, eller om hver profil har brug for et nyt fingeraftryk. En postændring bør aldrig godkende et endepunkt, som ingen har godkendt.

Hold administrativ adgang og gendannelsesadgang væk fra det offentlige klientnavn. At miste en hostingkonto bør ikke også koste dig posten, der omdirigerer klienter. Opbevar gendannelsesvejen et sted, der ikke afhænger af den udbyder, du forlader.

Hvornår hver klient læser navnet igen

Opløsningstidspunktet er en egenskab for hver klient, så undersøg den implementering, du faktisk leverer, før du lover et overgangsvindue. wg-quick opløser endepunktet, når interfacet kommer op, og beholder adressen, indtil tunnellen genstartes. En OpenVPN-klient slår navnet op, når den forbinder, og om den ser igen ved genforbindelse, afhænger af dens valgmuligheder.

Mobilklienter er den sædvanlige overraskelse, fordi de kan holde en opløst adresse gennem dvale eller et netværksskift. Udgiv kun A- og AAAA-poster, hvis erstatningen svarer på begge familier. En adresse, der svarer på én familie, beviser intet om den anden, og en død AAAA-post tilføjer en timeout til hvert forsøg. Dokumentér opløsningsadfærden for hver klient, du understøtter, og test derefter på de enheder, folk faktisk bruger.

En genforbindelse er en brugerhandling i de fleste klienter, og serveren kan ikke fremtvinge den. Skriv det trin i vedligeholdelsesnoten, med en linje om, hvad brugeren vil se, når det sker.

Skift over på bevis, og udfas derefter det gamle endepunkt

Før skiftet skal du bevise hvert lag på erstatningen: lytteren svarer, firewallen lukker porten igennem, ruterne vender rigtigt tilbage, navnet opløses til den nye adresse, og en kendt identitet accepteres. En lytter, der accepterer en forbindelse, er ikke det samme som en, der fuldfører et håndtryk, så test håndtrykket og ikke porten. Hold den aktuelle tilbagekaldelsesliste ved siden af konfigurationen, fordi en gendannet sikkerhedskopi genskaber peer-listen, som den var, og ville genåbne adgang, du allerede har lukket. Notér, hvilken identitet du testede med, fordi «det virker» ikke er et bevis, nogen kan gentage.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Under overgangen overvåger du forbindelsesforsøg på begge endepunkter for den samme identitet. En klient, der stadig godkender mod den gamle adresse, er en profil eller et cachet svar, der aldrig flyttede sig. Udfas det gamle endepunkt efter en plan med dato, fordi to tjenester, der accepterer én identitet, efterlader to døre åbne.

Overgangstesten er en applikationssession gennem det nye endepunkt, ikke en ping. Når den session virker, og det gamle endepunkt ikke logger nogen autoriserede forsøg gennem en fuld genforbindelsescyklus, er flytningen færdig.