WireGuard bruger stadig det gamle endepunkt efter DNS-ændringer

Tunnelen holdt op med at føre trafik, efter at serverens DNS-post flyttede sig, og navnet slår korrekt op fra samme maskine. De to fakta er ikke i konflikt. En WireGuard-konfiguration indeholder et endepunkt, og værktøjet slår navnet op, når det anvender konfigurationen, så den kørende grænseflade kan blive ved med at bruge den adresse, den fandt for timer siden. Kontroller, hvad grænsefladen bruger, før du udskifter nøgler eller rører tunnelområdet.

Navnet slås op én gang, ikke løbende

Grundlæggende WireGuard-konfiguration tager et endepunkt som adresse og port, og det værktøj, der rejser en grænseflade, slår et værtsnavn op i det øjeblik. Intet i basisprotokollen spørger DNS efter en tidsplan, og en klientapplikation kan lægge sin egen opdateringsadfærd ovenpå. At notere den opløste adresse, familien og porten ved siden af navnet gør hullet synligt. Uden den note ser konfigurationen korrekt ud, mens grænsefladen taler med et andet sted.

Der findes én ægte automatisk opdatering, og den er værd at kende, fordi den ligner en DNS-opdatering uden at være det. Et peer-endepunkt kan flytte sig, når korrekt autentificeret trafik ankommer fra en ny adresse, hvilket er roaming snarere end navneopløsning. Det følger peer'en, så det kan ikke opdage en urelateret ny server, som det gamle endepunkt aldrig har kontaktet.

Sammenlign posten med den adresse, der bruges

Forespørg på det dokumenterede navn gennem den resolver, klienten bruger, og spørg derefter grænsefladen, hvilket endepunkt den holder. De to svar er den sammenligning, der afgør resten af denne side:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Manualen for wg(8) dokumenterer de show-underkommandoer, som disse linjer bruger. Sammenlign også adressefamilien, ikke bare adressen, fordi en post, der har fået en IPv6-post, er en anden sammenligning end en, hvis IPv4-adresse er ændret. Hvis endepunktet afviger fra posten, kører grænsefladen på forældet information, og navnet var aldrig problemet. Hvis de stemmer overens, og tunnelen stadig fejler, gå til lytteren og reglerne i stedet for til profilen.

Tidsstemplet for håndtrykket står i den blok, fordi endepunktet alene ikke siger, om peer'en kan nås. Et forældet tidsstempel ved siden af et korrekt endepunkt er et vejproblem, ikke et opløsningsproblem, og den forskel ændrer, hvad du rører ved næste gang.

Genstart gennem grænsefladens administrator

Når endepunktet er bekræftet forældet, opdater det gennem den mekanisme, der ejer grænsefladen i stedet for at redigere den kørende konfiguration. For en grænseflade startet af wg-quick er det en ned og op, for en systemd-unit er det en genstart, og for en grænseflade ejet af en administrator er det en ændring foretaget i den administrator, fordi en redigering under kørsel overskrives ved næste anvendelse:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Bekræft derefter, at den nye lytter og dens identitet er den tjeneste, du havde til hensigt. En DNS-flytning er ikke en identitetsændring, så den bør aldrig være anledning til at stole på en nøgle, du ikke har verificeret. Hvis grænsefladen nu rapporterer den nye adresse og stadig ikke giver noget håndtryk, er fejlen flyttet til den nye netværksvej eller lytter, hvilket er fremskridt og ikke den samme fejl to gange.

Håndtryk først, derefter datastien

Skil de to udfald ad, før du vælger en tjekliste. Et håndtryk, der lykkes under en applikation, der fejler, er et datasti-problem: ruter, tilladte præfikser eller DNS inde i tunnelen. Et håndtryk, der aldrig sker, er et tilgængeligheds- eller identitetsproblem ved endepunktet. At blande de to giver en rapport, ingen kan genskabe, og en ændringslog med tre urelaterede rettelser.

Noter navnet, den opløste adresse, det endepunkt der bruges, og om håndtrykket blev fuldført. De fire fakta besvarer det spørgsmål, denne fejl bliver ved med at stille, og de gør næste forekomst til et tjek på to minutter. Navnevedligeholdelse og klientudrulning forbliver separate opgaver: at rette posten udfører ikke udrulningen, og at genstarte grænsefladen retter ikke en post, der stadig er forkert.