VPN-palveluntarjoajan vaihto: suunnittele isäntänimi, älä vain IP
Uusi DNS-tietue ei siirrä olemassa olevia istuntoja. Suunnittele, kuka nimeä hallitsee, milloin kukin asiakas ratkaisee sen ja miten poistat vanhan päätepisteen käytöstä.
DNS-tietueesi on oikein, korvaaja on kunnossa, ja silti jotkut asiakkaat viettävät tunteja soittaen vanhaan osoitteeseen. Muutama epäonnistuu heti nimeä vastaan, joka ratkeaa eikä koskaan vastaa. Molemmat tulokset tulevat yhdestä aukosta: isäntänimi muuttaa sitä, mitä asiakas etsii, ei sitä, milloin se etsii, eikä sitä, mihin se luottaa, kun vastaus saapuu.
Oire: oikea tietue, vanhentuneet tunnelit
Profiili, joka tallentaa nimen, ei ole asiakas, joka ratkaisee sen jatkuvasti. Useimmat ratkaisevat sen kerran, kokoonpanon käyttöönotossa tai tunnelin noustessa, ja käyttävät sitten samaa osoitetta istunnon loppuun asti. Pitkä TTL sen päällä on syy siihen, miksi siirtymä on suunniteltava uudelleenyhdistämisten, ei DNS-muokkauksen, ympärille.
Kumpikaan käyttäytyminen ei ole vika, ja juuri se tekee oireesta hämmentävän. Asiakas työskentelee aiemmin saamansa vastauksen pohjalta, eikä mikään palvelimen puolella näytä, mikä vastaus se oli. Suunnittele uudelleenyhdistäminen huoltosikkunalle ja kerro käyttäjille, mitä he näkevät, tai käytä sikkuna tikettien vastaamiseen. Jono samanlaisia ilmoituksia on tavallinen tulos.
Kuka nimeä hallitsee ja mitä asiakas vahvistaa
Vyöhykkeen hallinta ratkaisee, miten nopeasti migraatio voi edetä. Pidä tietue rekisterinpitäjällä, johon voit kirjautua, ja kirjoita ylös, kuka muu voi muuttaa sitä.
Luottamus ei seuraa nimeä. TLS-pohjainen asiakas voi tarkistaa varmenneidentiteetin tai kiinnitetyn nimen, kun taas WireGuard todentaa vastapuolen julkisen avaimen ja jättää isäntänimen kokonaan huomiotta. Tämä ero ratkaisee, riittääkö DNS-muokkaus vai tarvitseeko jokainen profiili uuden sormenjäljen. Tietueen muutos ei saisi koskaan valtuuttaa päätepistettä, jota kukaan ei hyväksynyt.
Pidä hallinnollinen ja palautuskäyttö erillään julkisesta asiakasnimestä. Hosting-tilin menettäminen ei saisi maksaa myös tietuetta, joka ohjaa asiakkaita. Tallenna palautuspolku jonnekin, mikä ei riipu palveluntarjoajasta, josta olet lähtemässä.
Milloin kukin asiakas lukee nimen uudelleen
Ratkaisuajankohta on asiakaskohtainen ominaisuus, joten tarkista toteutus, jonka todella toimitat, ennen kuin lupaat siirtymäsikkunan. wg-quick ratkaisee päätepisteen, kun liitäntä nousee, ja pitää osoitteen, kunnes tunneli käynnistetään uudelleen. OpenVPN-asiakas etsii nimen yhdistäessään, ja se, katsooko se uudelleen uudelleenyhdistämisessä, riippuu sen valinnoista.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Mobiiliasiakkaat ovat tavallinen yllätys, koska ne voivat pitää ratkaistun osoitteen unen tai verkon vaihdon yli. Julkaise A- ja AAAA-tietueet vain, jos korvaaja vastaa molemmissa perheissä. Yhdessä perheessä vastaava osoite ei todista mitään toisesta, ja kuollut AAAA-tietue lisää aikakatkaisun jokaiseen yritykseen. Dokumentoi ratkaisukäyttäytyminen jokaiselle tukemallesi asiakkaalle ja testaa sitten laitteilla, joita ihmiset oikeasti käyttävät.
Uudelleenyhdistäminen on useimmissa asiakkaissa käyttäjän toiminto, eikä palvelin voi pakottaa sitä. Kirjaa tämä vaihe huoltomuistioon ja lisää rivi siitä, mitä käyttäjä näkee, kun se tapahtuu.
Siirry todisteiden perusteella ja poista sitten vanha päätepiste käytöstä
Todista ennen kytkentää jokainen kerros korvaajassa: kuuntelija vastaa, palomuuri päästää portin läpi, reitit palaavat oikein, nimi ratkeaa uuteen osoitteeseen ja tunnettu identiteetti hyväksytään. Yhteyden hyväksyvä kuuntelija ei ole sama kuin kättelyn suorittava, joten testaa kättelyä äläkä porttia. Pidä nykyinen peruutuslista kokoonpanon vieressä, koska palautettu varmuuskopio luo vastapuolilistan uudelleen sellaisena kuin se oli ja avaisi uudelleen käytön, jonka olet jo sulkenut. Kirjaa, millä identiteetillä testasit, koska «se toimii» ei ole todiste, jonka joku voisi toistaa.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesSiirtymän aikana seuraa yhteysyrityksiä molemmissa päätepisteissä saman identiteetin osalta. Asiakas, joka vielä todentaa vanhaa osoitetta vastaan, on profiili tai välimuistiin tallennettu vastaus, joka ei koskaan siirtynyt. Poista vanha päätepiste käytöstä päivätyn suunnitelman mukaan, koska kaksi palvelua, jotka hyväksyvät yhden identiteetin, jättävät kaksi ovea auki.
Siirtymätesti on sovellusistunto uuden päätepisteen kautta, ei ping. Kun istunto toimii eikä vanha päätepiste lokita yhtään valtuutettua yritystä täyden uudelleenyhdistämisjakson aikana, siirto on valmis.