A WireGuard a DNS-változások után is a régi végpontot használja

Az alagút leállt a forgalom továbbításával, miután a szerver DNS-rekordja elmozdult, a név pedig ugyanarról a gépről helyesen oldódik fel. Ez a két tény nem mond ellent egymásnak. A WireGuard konfigurációja egy végpontot tartalmaz, és az eszköz a név feloldását abban a pillanatban végzi, amikor alkalmazza ezt a konfigurációt, ezért a futó interfész tovább használhatja azt a címet, amelyet órákkal korábban kérdezett le. A kulcsok cseréje vagy az alagút tartományának megérintése előtt ellenőrizze, mit használ az interfész.

A név egyszer oldódik fel, nem folyamatosan

A WireGuard alapkonfigurációja egy végpontot címként és portként vesz át, és az interfészt felemelő eszköz abban a pillanatban oldja fel a gazdagépnevet. Az alap protokollban semmi nem kérdezi a DNS-t ütemezés szerint, és egy kliensalkalmazás saját frissítési viselkedést tehet rá. A feloldott cím, a címcsalád és a port feljegyzése a név mellé láthatóvá teszi ezt a rést. Ilyen feljegyzés nélkül a konfiguráció helyesnek látszik, miközben az interfész valami mással beszél.

Van egyetlen valódi automatikus frissítés, és érdemes ismerni, mert DNS-frissítésre hasonlít anélkül, hogy az lenne. A partner végpontja elmozdulhat, amikor helyesen hitelesített forgalom érkezik egy új címről, ami vándorlás, és nem névfeloldás. Követi a partnert, ezért nem tud felfedezni egy független új szervert, amellyel a régi végpont soha nem lépett kapcsolatba.

Hasonlítsa össze a rekordot a használt címmel

Kérdezze le a dokumentált nevet azon a feloldón keresztül, amelyet a kliens használ, majd kérdezze meg az interfészt, melyik végpontot tartja. A két válasz az az összehasonlítás, amely eldönti az oldal többi részét:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

A wg(8) kézikönyv dokumentálja azokat a show-alkapcsolókat, amelyeket ezek a sorok használnak. Hasonlítsa össze a címcsaládot is, ne csak a címet, mert egy rekord, amely IPv6-bejegyzést kapott, más összehasonlítás, mint amelynek az IPv4-címe megváltozott. Ha a végpont eltér a rekordtól, az interfész elavult információval fut, és a név soha nem volt a probléma. Ha megegyeznek, és az alagút továbbra is meghiúsul, lépjen tovább a hallgatóra és a szabályokra, ne a profilra.

A kézfogás időbélyege azért van abban a blokkban, mert a végpont önmagában nem mondja meg, elérhető-e a partner. Egy elavult időbélyeg egy helyes végpont mellett útvonalprobléma, nem feloldási probléma, és ez a különbség megváltoztatja, mihez nyúl legközelebb.

Indítsa újra az interfész kezelőjén keresztül

Miután a végpont elavultként megerősítést nyert, frissítse azon a mechanizmuson keresztül, amely az interfészt birtokolja ahelyett, hogy a futó konfigurációt szerkesztené. A wg-quick által indított interfész esetében ez egy le és fel, egy systemd-egység esetében újraindítás, egy kezelő tulajdonában lévő interfész esetében pedig a kezelőben végrehajtott módosítás, mert a futásidejű szerkesztés a következő alkalmazáskor felülíródik:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Ezután erősítse meg, hogy a helyettesítő hallgató és annak identitása az a szolgáltatás, amelyet szánt. A DNS elmozdulása nem identitásváltozás, ezért soha nem szabad alkalomnak lennie arra, hogy egy nem ellenőrzött kulcsban bízzon. Ha az interfész most az új címet jelenti, és továbbra sem jön létre kézfogás, a hiba átkerült az új hálózati útvonalra vagy a hallgatóra, ami előrelépés, és nem ugyanaz a hiba kétszer.

Először a kézfogás, aztán az adatút

Válassza szét a két eredményt, mielőtt ellenőrzőlistát választ. Az a kézfogás, amely egy meghiúsuló alkalmazás alatt sikerül, adatút-probléma: útvonalak, engedélyezett előtagok vagy az alagúton belüli DNS. Az a kézfogás, amely soha nem történik meg, elérhetőségi vagy identitásprobléma a végpontnál. A kettő összekeverése olyan jelentést ad, amelyet senki nem tud megismételni, és három független szerkesztést tartalmazó változásnaplót.

Jegyezze fel a nevet, a feloldott címet, a használt végpontot és azt, hogy a kézfogás befejeződött-e. Ez a négy tény válaszol arra a kérdésre, amelyet ez a hiba folyton feltesz, és kétperces ellenőrzéssé teszi a következő előfordulást. A névkarbantartás és az ügyfélátvétel továbbra is külön feladat: a rekord javítása nem végzi el az átvételt, és az interfész újraindítása nem javítja meg a még mindig hibás rekordot.