WireGuard sigue usando el extremo antiguo tras los cambios de DNS

El túnel dejó de pasar tráfico después de que el registro DNS del servidor se moviera, y el nombre se resuelve correctamente desde la misma máquina. Esos dos hechos no están en conflicto. Una configuración de WireGuard contiene un extremo, y la herramienta resuelve el nombre cuando aplica esa configuración, así que la interfaz en ejecución puede seguir usando la dirección que consultó hace horas. Compruebe qué usa la interfaz antes de sustituir claves o tocar el rango del túnel.

El nombre se resuelve una vez, no de forma continua

La configuración básica de WireGuard toma un extremo como dirección y puerto, y la herramienta que levanta una interfaz resuelve un nombre de host en ese momento. Nada en el protocolo base consulta DNS según un calendario, y una aplicación cliente puede añadir encima su propio comportamiento de actualización. Registrar la dirección resuelta, la familia y el puerto junto al nombre hace visible la brecha. Sin ese registro la configuración parece correcta mientras la interfaz habla con otro sitio.

Hay una actualización automática genuina, y merece conocerse porque se parece a una actualización de DNS sin serlo. Un extremo de par puede moverse cuando llega tráfico correctamente autenticado desde una dirección nueva, lo que es itinerancia y no resolución de nombres. Sigue al par, así que no puede descubrir un servidor nuevo no relacionado con el que el extremo antiguo nunca contactó.

Compare el registro con la dirección en uso

Consulte el nombre documentado a través del resolutor que usa el cliente y luego pregunte a la interfaz qué extremo mantiene. Las dos respuestas son la comparación que decide el resto de esta página:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

El manual de wg(8) documenta los subcomandos show que usan estas líneas. Compare también la familia de la dirección, no solo la dirección, porque un registro que ha ganado una entrada IPv6 es una comparación distinta de uno cuya dirección IPv4 ha cambiado. Si el extremo difiere del registro, la interfaz funciona con información obsoleta y el nombre nunca fue el problema. Si coinciden y el túnel sigue fallando, pase al escucha y a las reglas en lugar de al perfil.

La marca de tiempo del apretón de manos está en ese bloque porque el extremo por sí solo no dice si el par es alcanzable. Una marca obsoleta junto a un extremo correcto es un problema de ruta, no de resolución, y esa distinción cambia qué toca a continuación.

Reinicie a través del gestor de la interfaz

Una vez confirmado que el extremo está obsoleto, actualícelo a través del mecanismo que posee la interfaz en lugar de editar la configuración en vivo. Para una interfaz iniciada por wg-quick eso es una bajada y una subida, para una unidad systemd es un reinicio, y para una interfaz propiedad de un gestor es un cambio hecho en ese gestor, porque una edición en tiempo de ejecución se sobrescribe en la siguiente aplicación:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Después confirme que el escucha de sustitución y su identidad son el servicio que pretendía. Un movimiento de DNS no es un cambio de identidad, así que nunca debería ser la ocasión de confiar en una clave que no ha verificado. Si la interfaz ahora informa de la dirección nueva y sigue sin producir ningún apretón de manos, el fallo se ha trasladado a la nueva ruta de red o al escucha, lo que es progreso y no el mismo fallo dos veces.

Primero el apretón de manos, luego la ruta de datos

Separe los dos resultados antes de elegir una lista de comprobación. Un apretón de manos que tiene éxito bajo una aplicación que falla es un problema de la ruta de datos: rutas, prefijos permitidos o DNS dentro del túnel. Un apretón de manos que nunca ocurre es un problema de alcanzabilidad o de identidad en el extremo. Mezclar los dos produce un informe que nadie puede reproducir y un registro de cambios con tres ediciones no relacionadas.

Anote el nombre, la dirección resuelta, el extremo en uso y si el apretón de manos se completó. Esos cuatro hechos responden la pregunta que este fallo no deja de hacer, y convierten la próxima aparición en una comprobación de dos minutos. El mantenimiento del nombre y la adopción del cliente siguen siendo tareas separadas: corregir el registro no realiza la adopción, y reiniciar la interfaz no arregla un registro que sigue siendo incorrecto.