WireGuard käyttää yhä vanhaa päätepistettä DNS-muutosten jälkeen

Tunneli lakkasi välittämästä liikennettä, kun palvelimen DNS-tietue siirtyi, ja nimi ratkeaa oikein samalta koneelta. Nämä kaksi tosiasiaa eivät ole ristiriidassa. WireGuardin kokoonpano sisältää päätepisteen, ja työkalu ratkaisee nimen sinä hetkenä, kun se soveltaa tätä kokoonpanoa, joten käynnissä oleva liitäntä voi jatkaa sen osoitteen käyttöä, jonka se haki tunteja sitten. Tarkista, mitä liitäntä käyttää, ennen kuin vaihdat avaimia tai kosket tunnelin aluetta.

Nimi ratkeaa kerran, ei jatkuvasti

WireGuardin peruskokoonpano ottaa päätepisteen osoitteena ja porttina, ja työkalu, joka nostaa liitännän, ratkaisee isäntänimen tuona hetkenä. Mikään perusprotokollassa ei kysy DNS:ää aikataulun mukaan, ja asiakasohjelma voi lisätä päälle oman päivityskäyttäytymisensä. Ratkenneen osoitteen, osoiteperheen ja portin kirjaaminen nimen viereen tekee aukon näkyväksi. Ilman sitä merkintää kokoonpano näyttää oikealta, kun liitäntä puhuu jonkin muun kanssa.

On yksi aito automaattinen päivitys, ja se kannattaa tuntea, koska se muistuttaa DNS-päivitystä olematta sitä. Vertaispäätepiste voi siirtyä, kun oikein todennettu liikenne saapuu uudesta osoitteesta, mikä on vaeltamista eikä nimien ratkaisua. Se seuraa vertaista, joten se ei voi löytää erillistä uutta palvelinta, johon vanha päätepiste ei koskaan ollut yhteydessä.

Vertaa tietuetta käytössä olevaan osoitteeseen

Kysy dokumentoitu nimi asiakkaan käyttämältä ratkaisijalta ja kysy sitten liitännältä, mitä päätepistettä se pitää. Kaksi vastausta muodostavat vertailun, joka ratkaisee lopun tästä sivusta:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Käsikirja wg(8) dokumentoi show-alikomennot, joita nämä rivit käyttävät. Vertaa myös osoiteperhettä, ei vain osoitetta, koska tietue, joka on saanut IPv6-merkinnän, on eri vertailu kuin se, jonka IPv4-osoite on muuttunut. Jos päätepiste poikkeaa tietueesta, liitäntä toimii vanhentuneella tiedolla eikä nimi koskaan ollut ongelma. Jos ne täsmäävät ja tunneli silti epäonnistuu, siirry kuuntelijaan ja sääntöihin profiilin sijaan.

Kättelyn aikaleima on siinä lohkossa, koska päätepiste yksin ei kerro, onko vertainen tavoitettavissa. Vanhentunut aikaleima oikean päätepisteen vieressä on reittiongelma, ei ratkaisuongelma, ja tämä ero muuttaa sitä, mihin seuraavaksi kosket.

Käynnistä uudelleen liitännän hallinnan kautta

Kun päätepiste on vahvistettu vanhentuneeksi, päivitä se mekanismin kautta, joka omistaa liitännän sen sijaan että muokkaisit käytössä olevaa kokoonpanoa. wg-quick-ohjelman käynnistämälle liitännälle se on alas ja ylös, systemd-yksikölle uudelleenkäynnistys ja hallinnon omistamalle liitännälle muutos siinä hallinnassa, koska ajonaikainen muokkaus ylikirjoitetaan seuraavalla sovelluksella:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Vahvista sitten, että korvaava kuuntelija ja sen identiteetti ovat se palvelu, jonka tarkoitit. DNS-siirto ei ole identiteetin muutos, joten sen ei pitäisi koskaan olla syy luottaa avaimeen, jota et ole vahvistanut. Jos liitäntä nyt raportoi uuden osoitteen eikä silti synny kättelyä, vika on siirtynyt uudelle verkkoreitille tai kuuntelijalle, mikä on edistystä eikä sama vika kahdesti.

Ensin kättely, sitten datareitti

Erottele kaksi lopputulosta ennen tarkistuslistan valintaa. Kättely, joka onnistuu sovelluksen alla, joka epäonnistuu, on datareitin ongelma: reitit, sallitut etuliitteet tai DNS tunnelin sisällä. Kättely, jota ei koskaan tapahdu, on tavoitettavuuden tai identiteetin ongelma päätepisteessä. Kahden sekoittaminen tuottaa raportin, jota kukaan ei voi toistaa, ja muutoslokin, jossa on kolme toisiinsa liittymätöntä muokkausta.

Kirjaa nimi, ratkennut osoite, käytössä oleva päätepiste ja se, valmistuiko kättely. Nämä neljä tosiasiaa vastaavat kysymykseen, jota tämä vika jatkuvasti esittää, ja tekevät seuraavasta tapauksesta kahden minuutin tarkistuksen. Nimen ylläpito ja asiakkaiden käyttöönotto pysyvät erillisinä töinä: tietueen korjaaminen ei tee käyttöönottoa, eikä liitännän uudelleenkäynnistys korjaa tietuetta, joka on yhä väärin.