WireGuard kasutab pärast DNS-i muudatusi endiselt vana lõpp-punkti

Tunnel lakkas liiklust läbi laskmast pärast seda, kui serveri DNS-kirje liikus, ja nimi laheneb samalt masinalt õigesti. Need kaks fakti ei ole vastuolus. WireGuard konfiguratsioon hoiab lõpp-punkti ja tööriist lahendab nime selle konfiguratsiooni rakendamise hetkel, nii et töötav liides võib jätkata selle aadressi kasutamist, mille see tunde tagasi leidis. Kontrollige, mida liides kasutab, enne kui võtmeid vahetate või tunneli vahemikku puudutate.

Nimi laheneb üks kord, mitte pidevalt

WireGuardi põhikonfiguratsioon võtab lõpp-punkti aadressi ja pordina ning tööriist, mis liidese üles tõstab, lahendab hostinime sel hetkel. Põhiprotokollis ei küsita DNS-i ajakava järgi ja kliendirakendus võib selle peale lisada oma värskenduskäitumise. Lahendatud aadressi, aadressiperekonna ja pordi kirja panemine nime kõrvale teeb vahe nähtavaks. Ilma selle kirjeta tundub konfiguratsioon õige, samal ajal kui liides räägib millegi muuga.

On üks tõeline automaatne värskendus ja seda tasub teada, sest see sarnaneb DNS-i värskendusega olemata seda. Kaaslase lõpp-punkt võib liikuda, kui õigesti autenditud liiklus saabub uuelt aadressilt, mis on rändlus, mitte nimelahendus. See järgib kaaslast, seega ei suuda see avastada sõltumatut uut serverit, millega vana lõpp-punkt kunagi ühendust ei võtnud.

Võrrelge kirjet kasutatava aadressiga

Küsige dokumenteeritud nime resolvri kaudu, mida klient kasutab, seejärel küsige liideselt, millist lõpp-punkti see hoiab. Need kaks vastust on võrdlus, mis otsustab ülejäänud lehekülje:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Käsiraamat wg(8) dokumenteerib show-alakäsud, mida need read kasutavad. Võrrelge ka aadressiperekonda, mitte ainult aadressi, sest kirje, mis on saanud IPv6-kirje, on teistsugune võrdlus kui kirje, mille IPv4-aadress muutus. Kui lõpp-punkt erineb kirjest, töötab liides vananenud teabega ja nimi ei olnud kunagi probleem. Kui need kattuvad ja tunnel ikka ei tööta, minge kuulaja ja reeglite juurde, mitte profiili juurde.

Käepigistuse ajatempel on selles plokis, sest lõpp-punkt üksi ei ütle, kas kaaslane on kättesaadav. Vananenud ajatempel õige lõpp-punkti kõrval on tee probleem, mitte lahenduse probleem, ja see erinevus muudab seda, mida te järgmisena puudutate.

Taaskäivitage liidese halduri kaudu

Kui lõpp-punkt on vananenuks kinnitatud, värskendage seda mehhanismi kaudu, millele liides kuulub selle asemel et muuta töötavat konfiguratsiooni. wg-quick poolt käivitatud liidese puhul on see alla ja üles, systemd-üksuse puhul taaskäivitus ja haldurile kuuluva liidese puhul muudatus selles halduris, sest tööaegne muudatus kirjutatakse järgmisel rakendamisel üle:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Seejärel kinnitage, et asendav kuulaja ja selle identiteet on teenus, mida kavatsesite. DNS-i liikumine ei ole identiteedi muutus, seega ei tohiks see kunagi olla põhjuseks usaldada võtit, mida te ei ole kontrollinud. Kui liides teatab nüüd uuest aadressist ja käepigistust ikka ei teki, on viga liikunud uue võrgutee või kuulaja juurde, mis on edasiminek, mitte sama viga kaks korda.

Kõigepealt käepigistus, siis andmetee

Eraldage kaks tulemust enne kontroll-loendi valimist. Käepigistus, mis õnnestub rakenduse juures, mis ebaõnnestub, on andmetee probleem: marsruudid, lubatud eesliited või DNS tunnelis sees. Käepigistus, mida kunagi ei toimu, on kättesaadavuse või identiteedi probleem lõpp-punktis. Kahe segamine annab aruande, mida keegi ei suuda korrata, ja muudatuste logi kolme sõltumatu muudatusega.

Kirjutage üles nimi, lahendatud aadress, kasutatav lõpp-punkt ja see, kas käepigistus lõpetati. Need neli fakti vastavad küsimusele, mida see viga pidevalt esitab, ja muudavad järgmise juhtumi kaheminutiliseks kontrolliks. Nimehaldus ja klientide kasutuselevõtt jäävad eraldi töödeks: kirje parandamine ei tee kasutuselevõttu ja liidese taaskäivitamine ei paranda kirjet, mis on endiselt vale.