VPN-pakkuja vahetamine: planeerige hostinimi, mitte ainult IP
Uus DNS-kirje ei vii olemasolevaid sessioone üle. Planeerige, kes nime kontrollib, millal iga klient selle lahendab ja kuidas te vana lõpp-punkti kasutusest kõrvaldate.
Teie DNS-kirje on õige, asendus on terve, ja ometi kulutavad mõned kliendid tunde vana aadressi valimisele. Mõni ebaõnnestub kohe nime vastu, mis lahendub ja ei vasta kunagi. Mõlemad tulemused tulevad ühest lüngast: hostinimi muudab seda, mida klient otsib, mitte seda, millal ta seda otsib, ega seda, mida ta usaldab, kui vastus saabub.
Sümptom: õige kirje, aegunud tunnelid
Profiil, mis salvestab nime, ei ole klient, kes seda pidevalt lahendab. Enamik lahendab selle üks kord, konfiguratsiooni rakendamisel või tunneli tõusmisel, ja kasutab seejärel seda aadressi sessiooni lõpuni. Pikk TTL selle peal on põhjus, miks üleminek tuleb planeerida ümberühenduste, mitte DNS-i muutmise ümber.
Kumbki käitumine ei ole defekt, ja just see teeb sümptomi segadusse ajavaks. Klient töötab varem saadud vastusega ja serveripool ei näita, milline vastus see oli. Planeerige ümberühendus hooldusaknasse ja öelge kasutajatele, mida nad näevad, või veetke aken piletitele vastates. Tavaline tulemus on järjekord ühesuguseid teatisi.
Kes nime kontrollib ja mida klient kontrollib
Tsooni kontroll otsustab, kui kiiresti migratsioon saab liikuda. Hoidke kirjet registripidaja juures, kuhu saate sisse logida, ja kirjutage üles, kes veel saab seda muuta.
Usaldus ei järgi nime. TLS-il põhinev klient võib kontrollida sertifikaadi identiteeti või kinnitatud nime, samas kui WireGuard autendib partneri avaliku võtme ja eirab hostinime täielikult. See erinevus otsustab, kas DNS-i muutmisest piisab või vajab iga profiil uut sõrmejälge. Kirje muutmine ei tohiks kunagi volitada lõpp-punkti, mida keegi ei kinnitanud.
Hoidke haldus- ja taastamisjuurdepääs avalikust kliendinimest eemal. Hostingukonto kaotamine ei tohiks teilt võtta ka kirjet, mis suunab kliente ümber. Hoidke taastamistee kohas, mis ei sõltu pakkujast, kelle juurest lahkute.
Millal iga klient nime uuesti loeb
Lahendamise aeg on iga kliendi omadus, seega kontrollige rakendust, mida te tegelikult tarnite, enne kui lubate üleminekuakent. wg-quick lahendab lõpp-punkti liidese tõusmisel ja hoiab seda aadressi, kuni tunnel taaskäivitub. Klient OpenVPN otsib nime ühendamisel ja see, kas ta vaatab uuesti ümberühendamisel, sõltub tema valikutest.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Mobiilikliendid on tavaline üllatus, sest nad võivad hoida lahendatud aadressi üle une või võrguvahetuse. Avaldage A- ja AAAA-kirjed ainult siis, kui asendus vastab mõlemas peres. Aadress, mis vastab ühes peres, ei tõesta midagi teise kohta, ja surnud AAAA-kirje lisab igale katsele ajalõpu. Dokumenteerige lahendamiskäitumine iga kliendi jaoks, mida toetate, ja testige seejärel seadmetel, mida inimesed tegelikult kasutavad.
Ümberühendamine on enamikus klientides kasutaja tegevus ja server ei saa seda peale suruda. Pange see samm hooldusmärkusse, koos reaga selle kohta, mida kasutaja näeb, kui see juhtub.
Minge üle tõendite põhjal ja kõrvaldage siis vana lõpp-punkt
Enne ümberlülitamist tõestage asendusel iga kiht: kuulaja vastab, tulemüür laseb pordi läbi, marsruudid pöörduvad õigesti tagasi, nimi lahendub uueks aadressiks ja tuntud identiteet võetakse vastu. Ühenduse vastu võttev kuulaja ei ole sama, mis kätlust lõpetav kuulaja, seega testige kätlust, mitte porti. Hoidke kehtiv tühistamisnimekiri konfiguratsiooni kõrval, sest taastatud varukoopia loob partnerite nimekirja uuesti sellisena, nagu see oli, ja avaks uuesti juurdepääsu, mille te juba sulgesite. Märkige üles, millise identiteediga te testisite, sest «see töötab» ei ole tõend, mida keegi saaks korrata.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesÜlemineku ajal jälgige ühenduskatseid mõlemas lõpp-punktis sama identiteedi jaoks. Klient, kes endiselt autendib end vana aadressi vastu, on profiil või vahemällu salvestatud vastus, mis ei liikunud kunagi. Kõrvaldage vana lõpp-punkt kuupäevaga plaanis, sest kaks teenust, mis võtavad vastu ühe identiteedi, jätavad kaks ust lahti.
Ülemineku test on rakenduse sessioon uue lõpp-punkti kaudu, mitte ping. Kui see sessioon töötab ja vana lõpp-punkt ei logi ühtegi volitatud katset terve ümberühendustsükli jooksul, on üleviimine lõpetatud.