VPN մատակարարի փոփոխում. պլանավորե՛ք հոսթի անունը, ոչ միայն IP-ն
Նոր DNS գրառումը չի տեղափոխում գոյություն ունեցող սեսիաները։ Պլանավորեք, թե ով է վերահսկում անունը, երբ է յուրաքանչյուր հաճախորդը լուծում այն, և ինչպես կհեռացնեք հին վերջնակետը։
Ձեր DNS գրառումը ճիշտ է, փոխարինողը՝ առողջ, և այնուամենայնիվ որոշ հաճախորդներ ժամերով հավաքում են հին հասցեն։ Մի քանիսը անմիջապես ձախողվում են մի անվան դեմ, որը լուծվում է և երբեք չի պատասխանում։ Երկու արդյունքներն էլ գալիս են մեկ բացվածքից. հոսթի անունը փոխում է այն, ինչ հաճախորդը փնտրում է, ոչ թե երբ է փնտրում, և ոչ էլ ինչի է վստահում, երբ պատասխանը հասնում է։
Ախտանիշը՝ ճիշտ գրառում, հնացած թունելներ
Անուն պահող պրոֆիլը այն հաճախորդը չէ, որը շարունակ լուծում է այն։ Մեծամասնությունը լուծում է մեկ անգամ՝ կոնֆիգուրացիան կիրառելիս կամ երբ թունելը բարձրանում է, ապա վերօգտագործում է այդ հասցեն մինչև սեսիայի ավարտը։ Վերևում դրված երկար TTL-ն է պատճառը, որ անցումը պետք է պլանավորվի վերամիացումների շուրջ, այլ ոչ թե DNS-ի խմբագրման։
Վարքագծերից ոչ մեկը թերություն չէ, և հենց դա է ախտանիշը շփոթեցնող դարձնում։ Հաճախորդն աշխատում է ավելի վաղ ստացված պատասխանով, և սերվերի կողմում ոչինչ չի ցույց տալիս, թե որ պատասխանն էր դա։ Պլանավորեք վերամիացումը սպասարկման պատուհանում և ասացեք օգտատերերին, թե ինչ կտեսնեն, կամ պատուհանն անցկացրեք տոմսերին պատասխանելով։ Նույնական հաշվետվությունների հերթը սովորական արդյունք է։
Ով է վերահսկում անունը, և ինչ է ստուգում հաճախորդը
Գոտու վերահսկողությունը որոշում է, թե որքան արագ կարող է շարժվել միգրացիան։ Գրառումը պահեք գրանցողի մոտ, որտեղ կարող եք մուտք գործել, և գրի առեք, թե ով էլ կարող է փոխել այն։
Վստահությունը չի հետևում անվանը։ TLS-ի վրա հիմնված հաճախորդը կարող է ստուգել վկայագրի ինքնությունը կամ ամրացված անուն, մինչդեռ WireGuard-ը նույնականացնում է զույգի հանրային բանալին և ամբողջությամբ անտեսում հոսթի անունը։ Այդ տարբերությունը որոշում է, թե արդյոք DNS-ի խմբագրումը բավարար է, թե յուրաքանչյուր պրոֆիլի նոր մատնահետք է պետք։ Գրառման փոփոխությունը երբեք չպետք է լիազորի վերջնակետ, որը ոչ ոք չի հաստատել։
Վարչական և վերականգնման հասանելիությունը հեռու պահեք հանրային հաճախորդի անվանից։ Հոսթինգի հաշիվը կորցնելը չպետք է նաև խլի հաճախորդներին վերահասցեավորող գրառումը։ Պահեք վերականգնման ուղին մի տեղ, որը կախված չէ այն մատակարարից, որը թողնում եք։
Երբ է յուրաքանչյուր հաճախորդը նորից կարդում անունը
Լուծման ժամանակը յուրաքանչյուր հաճախորդի հատկությունն է, ուստի ստուգեք այն իրականացումը, որը դուք իրականում տրամադրում եք, նախքան անցման պատուհան խոստանալը։ wg-quick-ը լուծում է վերջնակետը, երբ ինտերֆեյսը բարձրանում է, և պահում է այդ հասցեն մինչև թունելի վերագործարկումը։ OpenVPN հաճախորդը փնտրում է անունը միանալիս, և արդյոք նորից կնայի վերամիացման ժամանակ, կախված է իր ընտրանքներից։
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Բջջային հաճախորդները սովորական անակնկալ են, քանի որ նրանք կարող են պահել լուծված հասցեն քնի կամ ցանցի փոփոխության ընթացքում։ Հրապարակեք A և AAAA գրառումներ միայն այն դեպքում, եթե փոխարինողը պատասխանում է երկու ընտանիքներում։ Մեկ ընտանիքում պատասխանող հասցեն ոչինչ չի ապացուցում մյուսի մասին, և մեռած AAAA գրառումը յուրաքանչյուր փորձի ժամանակի սահման է ավելացնում։ Փաստաթղթավորեք լուծման վարքագիծը ձեր աջակցած յուրաքանչյուր հաճախորդի համար, ապա փորձարկեք այն սարքերում, որոնք մարդիկ իրականում օգտագործում են։
Վերամիացումը շատ հաճախորդներում օգտատիրոջ գործողություն է, և սերվերը չի կարող պարտադրել այն։ Դրեք այդ քայլը սպասարկման նշման մեջ, մի տողով այն մասին, թե ինչ կտեսնի օգտատերը, երբ դա տեղի ունենա։
Անցեք ապացույցների հիման վրա, ապա հեռացրեք հին վերջնակետը
Փոխարկումից առաջ ապացուցեք յուրաքանչյուր շերտ փոխարինողի մոտ. լսողը պատասխանում է, հրդեհային պատը բաց է թողնում պորտը, երթուղիները ճիշտ են վերադառնում, անունը լուծվում է նոր հասցեի, և հայտնի ինքնությունը ընդունվում է։ Միացում ընդունող լսողը նույնը չէ, ինչ ձեռքսեղմում ավարտողը, ուստի փորձարկեք ձեռքսեղմումը, ոչ պորտը։ Պահեք ընթացիկ չեղարկման ցանկը կոնֆիգուրացիայի կողքին, որովհետև վերականգնված պահուստը վերստեղծում է զույգերի ցանկը այնպիսին, ինչպիսին եղել է, և կվերաբացի արդեն փակած հասանելիությունը։ Գրի առեք, թե որ ինքնությամբ եք փորձարկել, որովհետև «դա աշխատում է» ապացույց չէ, որ որևէ մեկը կարող է կրկնել։
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesԱնցման ընթացքում հետևեք միացման փորձերին երկու վերջնակետերում նույն ինքնության համար։ Հաճախորդը, որը դեռ նույնականացնում է իրեն հին հասցեի դեմ, պրոֆիլ է կամ պահված պատասխան, որը երբեք չի տեղափոխվել։ Հեռացրեք հին վերջնակետը թվագրված պլանով, որովհետև մեկ ինքնություն ընդունող երկու ծառայություններ երկու դուռ բաց են թողնում։
Անցման թեստը նոր վերջնակետով հավելվածային սեսիա է, ոչ ping։ Հենց այդ սեսիան աշխատի, և հին վերջնակետը ոչ մի լիազորված փորձ չգրանցի ամբողջական վերամիացման ցիկլի ընթացքում, տեղափոխումն ավարտված է։