VPN પ્રદાતા બદલવો: ફક્ત IP નહીં, હોસ્ટનામનું આયોજન કરો
નવું DNS રેકોર્ડ હાલના સત્રોને ખસેડતું નથી. નામ કોણ નિયંત્રિત કરે છે, દરેક ક્લાયન્ટ તેને ક્યારે ઉકેલે છે અને જૂના એન્ડપોઇન્ટને કેવી રીતે નિવૃત્ત કરશો તેનું આયોજન કરો.
તમારું DNS રેકોર્ડ સાચું છે, બદલી સ્વસ્થ છે, અને તોપણ કેટલાક ક્લાયન્ટ કલાકો સુધી જૂના સરનામાંને ડાયલ કરે છે. થોડા એવા નામ સામે તરત જ નિષ્ફળ જાય છે જે ઉકેલાય છે અને ક્યારેય જવાબ આપતું નથી. બંને પરિણામ એક જ ખાલીપણામાંથી આવે છે: હોસ્ટનામ બદલે છે કે ક્લાયન્ટ શું શોધે છે, નહીં કે તે ક્યારે શોધે છે, અને નહીં કે જવાબ આવે ત્યારે તે શું ભરોસો રાખે છે.
લક્ષણ: સાચું રેકોર્ડ, જૂની ટનલ
નામ સંગ્રહિત કરતી પ્રોફાઇલ એ ક્લાયન્ટ નથી જે તેને સતત ઉકેલે. મોટાભાગના એક વાર ઉકેલે છે, ગોઠવણી લાગુ કરતી વખતે અથવા ટનલ ઉપર આવે ત્યારે, અને પછી સત્ર પૂરું થાય ત્યાં સુધી તે જ સરનામું વાપરે છે. તેની ઉપર લાંબું TTL હોવું એ જ કારણ છે કે સંક્રમણને DNS સંપાદનની આસપાસ નહીં, પુનઃકનેક્શનની આસપાસ આયોજિત કરવું પડે.
બંનેમાંથી કોઈ વર્તન ખામી નથી, અને એ જ લક્ષણને ગૂંચવણભર્યું બનાવે છે. ક્લાયન્ટ પહેલાં મળેલા જવાબ પર કામ કરે છે, અને સર્વરની બાજુ કંઈ જ બતાવતું નથી કે તે કયો જવાબ હતો. પુનઃકનેક્શનને જાળવણી વિન્ડોમાં ગોઠવો અને વપરાશકર્તાઓને કહો કે તેઓ શું જોશે, અથવા વિન્ડો ટિકિટના જવાબમાં ગાળો. સરખા અહેવાલોની કતાર સામાન્ય પરિણામ છે.
નામ કોણ નિયંત્રિત કરે છે અને ક્લાયન્ટ શું ચકાસે છે
ઝોન પરનું નિયંત્રણ નક્કી કરે છે કે સ્થળાંતર કેટલી ઝડપથી આગળ વધી શકે. રેકોર્ડ એવા રજિસ્ટ્રાર પાસે રાખો જ્યાં તમે લોગ ઇન કરી શકો, અને લખી રાખો કે બીજું કોણ તેને બદલી શકે છે.
વિશ્વાસ નામ પાછળ ચાલતો નથી. TLS આધારિત ક્લાયન્ટ પ્રમાણપત્રની ઓળખ અથવા પિન કરેલું નામ ચકાસી શકે છે, જ્યારે WireGuard પીઅરની જાહેર કી પ્રમાણિત કરે છે અને હોસ્ટનામને સંપૂર્ણ અવગણે છે. એ ફરક નક્કી કરે છે કે DNS સંપાદન પૂરતું છે કે દરેક પ્રોફાઇલને નવી ફિંગરપ્રિન્ટ જોઈએ. રેકોર્ડ ફેરફારે ક્યારેય એવા એન્ડપોઇન્ટને અધિકૃત કરવો ન જોઈએ જેને કોઈએ મંજૂર કર્યો ન હોય.
વહીવટી અને પુનઃપ્રાપ્તિ ઍક્સેસને જાહેર ક્લાયન્ટ નામથી દૂર રાખો. હોસ્ટિંગ ખાતું ગુમાવવાથી ક્લાયન્ટને રીડાયરેક્ટ કરતું રેકોર્ડ પણ ગુમાવવું ન જોઈએ. પુનઃપ્રાપ્તિ માર્ગ એવી જગ્યાએ સંગ્રહો જે તમે છોડી રહ્યા છો તે પ્રદાતા પર આધારિત ન હોય.
દરેક ક્લાયન્ટ ક્યારે નામ ફરી વાંચે છે
ઉકેલવાનો સમય દરેક ક્લાયન્ટની મિલકત છે, તેથી સંક્રમણ વિન્ડોનું વચન આપતા પહેલાં તમે ખરેખર વહેંચો છો તે અમલીકરણ તપાસો. wg-quick ઇન્ટરફેસ ઉપર આવે ત્યારે એન્ડપોઇન્ટ ઉકેલે છે અને ટનલ ફરી શરૂ થાય ત્યાં સુધી તે સરનામું રાખે છે. OpenVPN ક્લાયન્ટ કનેક્ટ થાય ત્યારે નામ શોધે છે, અને પુનઃકનેક્શન વખતે ફરી જુએ છે કે નહીં તે તેના વિકલ્પો પર આધાર રાખે છે.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
મોબાઇલ ક્લાયન્ટ સામાન્ય આશ્ચર્ય છે, કારણ કે તેઓ ઊંઘ અથવા નેટવર્ક ફેરફાર દરમિયાન ઉકેલાયેલું સરનામું રાખી શકે છે. A અને AAAA રેકોર્ડ ફક્ત ત્યારે પ્રકાશિત કરો જ્યારે બદલી બંને કુટુંબોમાં જવાબ આપે. એક કુટુંબમાં જવાબ આપતું સરનામું બીજા વિશે કંઈ સાબિત કરતું નથી, અને મૃત AAAA રેકોર્ડ દરેક પ્રયાસમાં સમયમર્યાદા ઉમેરે છે. તમે સમર્થન આપો છો તે દરેક ક્લાયન્ટ માટે ઉકેલવાનું વર્તન દસ્તાવેજ કરો, પછી લોકો ખરેખર વાપરે છે તે ઉપકરણો પર પરીક્ષણ કરો.
પુનઃકનેક્શન મોટાભાગના ક્લાયન્ટમાં વપરાશકર્તાની ક્રિયા છે, અને સર્વર તેને ફરજિયાત કરી શકતું નથી. એ પગલું જાળવણી નોંધમાં મૂકો, સાથે એક લીટી કે જ્યારે તે થાય ત્યારે વપરાશકર્તા શું જોશે.
પુરાવા પર સંક્રમણ કરો, પછી જૂના એન્ડપોઇન્ટને નિવૃત્ત કરો
સ્વિચ પહેલાં બદલી પર દરેક સ્તર સાબિત કરો: શ્રોતા જવાબ આપે છે, ફાયરવોલ પોર્ટ પસાર કરે છે, રૂટ સાચી દિશામાં પાછા ફરે છે, નામ નવા સરનામે ઉકેલાય છે, અને જાણીતી ઓળખ સ્વીકારાય છે. કનેક્શન સ્વીકારતો શ્રોતા હેન્ડશેક પૂરો કરતા શ્રોતા જેવો નથી, તેથી પોર્ટ નહીં, હેન્ડશેકનું પરીક્ષણ કરો. વર્તમાન રદ કરવાની સૂચિ ગોઠવણીની બાજુમાં રાખો, કારણ કે પુનઃસ્થાપિત બેકઅપ પીઅર સૂચિને જેમ હતી તેમ ફરી બનાવે છે અને તમે પહેલેથી બંધ કરેલી ઍક્સેસ ફરી ખોલશે. તમે કઈ ઓળખ સાથે પરીક્ષણ કર્યું તે નોંધો, કારણ કે «તે કામ કરે છે» એવો પુરાવો નથી જે કોઈ પુનરાવર્તન કરી શકે.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesસંક્રમણ દરમિયાન, એ જ ઓળખ માટે બંને એન્ડપોઇન્ટ પર કનેક્શન પ્રયાસો પર નજર રાખો. જૂના સરનામા સામે હજી પ્રમાણીકરણ કરતો ક્લાયન્ટ એ પ્રોફાઇલ અથવા કેશ કરેલો જવાબ છે જે ક્યારેય ખસ્યો નથી. જૂના એન્ડપોઇન્ટને તારીખવાળી યોજના પ્રમાણે નિવૃત્ત કરો, કારણ કે એક ઓળખ સ્વીકારતી બે સેવાઓ બે દરવાજા ખુલ્લા રાખે છે.
સંક્રમણ પરીક્ષણ એ નવા એન્ડપોઇન્ટ દ્વારા એપ્લિકેશન સત્ર છે, પિંગ નહીં. એ સત્ર કામ કરે અને જૂનો એન્ડપોઇન્ટ સંપૂર્ણ પુનઃકનેક્શન ચક્ર દરમિયાન કોઈ અધિકૃત પ્રયાસ લોગ ન કરે, પછી સ્થળાંતર પૂરું થયું છે.