VPN hornitzailea aldatzea: planifikatu ostalari-izena, ez soilik IPa
DNS erregistro berri batek ez ditu lehendik dauden saioak mugitzen. Planifikatu nor den izenaren kontrola, noiz ebazten duen bezero bakoitzak eta nola erretiratuko duzun amaierako puntu zaharra.
Zure DNS erregistroa zuzena da, ordezkoa osasuntsu dago, eta hala ere bezero batzuek orduak ematen dituzte helbide zaharrera deitzen. Gutxi batzuek berehala huts egiten dute ebazten den eta inoiz erantzuten ez duen izen baten aurka. Bi emaitzak hutsune beretik datoz: ostalari-izen batek aldatzen du bezeroak zer bilatzen duen, ez noiz bilatzen duen, eta ez zer fidatzen den erantzuna iristean.
Sintoma: erregistro zuzena, tunel zaharkituak
Izen bat gordetzen duen profil bat ez da etengabe hura ebazten duen bezero bat. Gehienek behin ebazten dute, konfigurazioa aplikatzean edo tunela igotzean, eta gero helbide hori berrerabiltzen dute saioa amaitu arte. Horren gainean TTL luze bat egotea da aldaketa berreraikuntzen inguruan planifikatu behar izateko arrazoia, DNS edizioaren inguruan beharrean.
Bi jokabideetako bat ere ez da akats bat, eta horrek egiten du sintoma nahasgarri. Bezeroa lehenago lortutako erantzun batekin ari da lanean, eta zerbitzariaren aldean ezerk ez du erakusten zein erantzun zen. Planifikatu berreraikuntza mantentze-leihoan eta esan erabiltzaileei zer ikusiko duten, edo igaro leihoa txartelei erantzuten. Erantzun berdinak dituen ilara da ohiko emaitza.
Nork kontrolatzen du izena eta zer egiaztatzen du bezeroak
Eremuaren kontrolak erabakitzen du migrazio bat zein azkar mugi daitekeen. Mantendu erregistroa sartu zaitezkeen erregistratzaile batean, eta idatzi nor beste alda dezakeen.
Konfiantzak ez dio izenari jarraitzen. TLSn oinarritutako bezero batek ziurtagiri baten identitatea edo finkatutako izen bat egiaztatu dezake, WireGuardek parearen gako publikoa autentifikatzen duen bitartean eta ostalari-izena erabat baztertzen du. Aldea horrek erabakitzen du DNS edizio bat nahikoa den edo profil bakoitzak hatz-marka berri bat behar duen. Erregistro-aldaketa batek ez luke inoiz inork onartu ez duen amaierako puntu bat baimendu behar.
Mantendu administrazio-sarbidea eta berreskuratze-sarbidea bezeroaren izen publikotik urrun. Ostalaritza-kontu bat galtzeak ez luke bezeroak birbideratzen dituen erregistroa ere kosta behar. Gorde berreskuratze-bidea uzten ari zaren hornitzailearen mendekoa ez den leku batean.
Noiz irakurtzen du berriro izena bezero bakoitzak
Ebazteko unea bezero bakoitzaren propietatea da, beraz egiaztatu benetan bidaltzen duzun inplementazioa aldaketa-leiho bat agindu aurretik. wg-quickek amaierako puntua ebazten du interfazea igotzean, eta helbide horri eusten dio tunela berrabiarazi arte. OpenVPN bezero batek izena bilatzen du konektatzean, eta berriz begiratzen duen berreraikuntzan bere aukeren araberakoa da.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Bezero mugikorrak ohiko ezustekoa dira, ebatzitako helbide bat loaldi edo sare-aldaketa baten zehar gorde dezaketelako. Argitaratu A eta AAAA erregistroak ordezkoak bi familietan erantzuten badu soilik. Familia batean erantzuten duen helbide batek ez du ezer frogatzen besteaz, eta hildako AAAA erregistro batek denbora-muga gehitzen dio saiakera bakoitzari. Dokumentatu onartzen duzun bezero bakoitzaren ebazpen-jokabidea, eta gero probatu jendeak benetan erabiltzen dituen gailuetan.
Berreraikuntza erabiltzailearen ekintza da bezero gehienetan, eta zerbitzariak ezin du behartu. Jarri urrats hori mantentze-oharrean, gertatzen denean erabiltzaileak zer ikusiko duen dioen lerro batekin.
Egin aldaketa frogak oinarri hartuta, eta gero erretiratu amaierako puntu zaharra
Aldaketa egin aurretik, frogatu geruza bakoitza ordezkoan: entzuleak erantzuten du, suebakiak portua pasatzen uzten du, ibilbideek ondo itzultzen dute, izena helbide berrira ebazten da, eta identitate ezagun bat onartzen da. Konexio bat onartzen duen entzule bat ez da eskua ematea osatzen duenaren berdina, beraz probatu eskua ematea eta ez portua. Mantendu uneko errebokazio-zerrenda konfigurazioaren ondoan, zeren berrezarritako babeskopia batek pare-zerrenda lehen zegoen bezala berregiten baitu eta jada itxi duzun sarbidea berriro irekiko luke. Idatzi zein identitaterekin probatu zenuen, zeren «funtzionatzen du» ez baita inork errepika dezakeen froga.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesTrantsizioan zehar, behagotu konexio-saiakerak bi amaierako puntuetan identitate bererako. Helbide zaharraren aurka oraindik autentifikatzen den bezero bat inoiz mugitu ez zen profil bat edo cachean gordetako erantzun bat da. Erretiratu amaierako puntu zaharra data duen plan baten arabera, zeren identitate bat onartzen duten bi zerbitzuk bi ate irekita uzten baitituzte.
Aldaketaren proba amaierako puntu berriaren bidezko aplikazio-saio bat da, ez ping bat. Saio horrek funtzionatzen duenean eta amaierako puntu zaharrak ez duenean saiakera baimendurik erregistratzen berreraikuntza-ziklo oso batean, lekualdaketa amaitu da.