Feroarje fan VPN-provider: planje de hostnamme, net allinnich it IP
In nij DNS-record ferpleatst besteande sesjes net. Planje wa't de namme beheart, wannear't elke klient dy oplost, en hoe't jo it âlde einpunt ôfslute.
Jo DNS-record is goed, de ferfanging is sûn, en dochs besteegje guon klanten oeren oan it draaien fan it âlde adres. In pear mislearje fuortendaliks tsjin in namme dy't oplost en nea antwurdet. Beide útkomsten komme út ien gat: in hostnamme feroaret wat in klient opsiket, net wannear't er it opsiket, en net wat er fertrout as it antwurd oankomt.
It symptoom: in goed record, ferâldere tunnels
In profyl dat in namme bewarret is gjin klient dy't dy hieltyd oplost. De measte lossen it ien kear op, by it tapassen fan de konfiguraasje of as de tunnel omheech komt, en brûke dat adres dêrnei wer oant de sesje einiget. In lange TTL dêrboppe is wêrom't de oerstap pland wurde moat om werferbiningen hinne en net om de DNS-bewurking hinne.
Gjint fan beide gedragingen is in defekt, en dat is krekt wat it symptoom betiizjend makket. De klient wurket mei in antwurd dat er earder krigen hat, en neat oan 'e tsjinnerkant lit sjen hokker antwurd dat wie. Planje de werferbining yn it ûnderhâldsfinster en fertel brûkers wat se sjogge sille, of besteegje it finster oan it beäntwurdzjen fan tickets. In rige fan itselde rapporten is it gewoane resultaat.
Wa't de namme beheart, en wat de klient ferifiearret
Kontrôle oer de sône beslútet hoe fluch in migraasje bewege kin. Hâld it record by in registrator dêr't jo yn kinne logge, en skriuw op wa't it noch mear feroarje kin.
Fertrouwen folget de namme net. In klient op TLS-basis kin in sertifikaatidentiteit of in fêstsette namme kontrolearje, wylst WireGuard de iepenbiere kaai fan 'e partner ferifiearret en de hostnamme folslein negearret. Dat ferskil beslútet oft in DNS-bewurking genôch is of oft elk profyl in nije fingerôfdruk nedich hat. In recordwiziging moat nea in einpunt autorisearje dat nimmen goedkard hat.
Hâld bestjoerlike tagong en werstel-tagong fuort fan 'e iepenbiere klantnamme. In hostingaccount ferlieze moat jo net ek it record kostje dat klanten trochstjoert. Bewarje it werstelpaad earne dat net fan 'e provider ôfhinget dy't jo ferlitte.
Wannear't elke klient de namme wer lêst
Oplossingstiid is in eigenskip fan elke klient, dus kontrolearje de ymplemintaasje dy't jo echt leverje foardat jo in oerstapfinster tasizze. wg-quick lost it einpunt op as de ynterface omheech komt en hâldt dat adres oant de tunnel wer start. In OpenVPN-klient siket de namme op as er ferbynt, en oft er by werferbining wer sjocht hinget fan syn opsjes ôf.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Mobyle klanten binne de gewoane ferrassing, om't se in oplost adres oer sliep of in netwurkferoaring hâlde kinne. Publisearje A- en AAAA-records allinnich as de ferfanging op beide famyljes antwurdet. In adres dat op ien famylje antwurdet bewiist neat oer de oare, en in dea AAAA-record foeget in tiidferrin ta oan elke poging. Dokumintearje it oplossingsgedrach foar elke klient dy't jo stypje, en test dan op 'e apparaten dy't minsken echt brûke.
In werferbining is by de measte klanten in brûkersaksje, en de tsjinner kin it net ôftwinge. Set dy stap yn 'e ûnderhâldsnotysje, mei in rigel oer wat de brûker sjocht as it bart.
Stap oer op bewiis, en slút dan it âlde einpunt ôf
Bewiis foar de oerskeakeling elke laach by de ferfanging: de listener antwurdet, de firewall lit de poarte troch, rûtes komme goed werom, de namme lost op nei it nije adres, en in bekende identiteit wurdt akseptearre. In listener dy't in ferbining akseptearret is net itselde as ien dy't in hânskodding foltôget, dus test de hânskodding en net de poarte. Hâld de aktuele weromlûkingslist njonken de konfiguraasje, want in werstelde reservekopie makket de partnerlist wer sa't dy wie en soe tagong wer iepenje dy't jo al sletten hawwe. Skriuw op mei hokker identiteit jo test hawwe, want «it wurket» is gjin bewiis dat immen werhelje kin.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesBy de oergong, hâld ferbiningpogingen op beide einpunten foar deselde identiteit yn 'e gaten. In klient dy't him noch tsjin it âlde adres ferifiearret is in profyl of in cache-antwurd dat nea ferhuze is. Slút it âlde einpunt ôf neffens in plan mei datum, want twa tsjinsten dy't ien identiteit akseptearje litte twa doarren iepen.
De oerstaptest is in applikaasjesesje fia it nije einpunt, net in ping. Sadree't dy sesje wurket en it âlde einpunt gjin autorisearre pogingen oer in folsleine werferbiningensyklus logt, is de ferhuzing dien.