WireGuard masih memakai titik akhir lama setelah perubahan DNS

Terowongan berhenti meneruskan lalu lintas setelah catatan DNS server berpindah, padahal nama tersebut terurai dengan benar dari mesin yang sama. Kedua fakta itu tidak saling bertentangan. Konfigurasi WireGuard menyimpan sebuah titik akhir, dan perkakas mengurai nama pada saat menerapkan konfigurasi tersebut, sehingga antarmuka yang berjalan dapat terus memakai alamat yang diambilnya beberapa jam lalu. Periksa apa yang dipakai antarmuka sebelum mengganti kunci atau menyentuh rentang terowongan.

Nama diurai sekali, bukan terus-menerus

Konfigurasi dasar WireGuard menerima titik akhir sebagai alamat dan porta, dan perkakas yang menaikkan antarmuka mengurai nama host pada saat itu. Tidak ada apa pun di protokol dasar yang menanyakan DNS menurut jadwal, dan aplikasi klien dapat menambahkan perilaku penyegaran sendiri di atasnya. Mencatat alamat hasil uraian, keluarga, dan porta di samping nama membuat celah itu terlihat. Tanpa catatan tersebut konfigurasi tampak benar sementara antarmuka berbicara dengan tempat lain.

Ada satu pembaruan otomatis yang sungguh-sungguh, dan perlu diketahui karena mirip penyegaran DNS tanpa benar-benar menjadi demikian. Titik akhir rekan dapat berpindah ketika lalu lintas yang terautentikasi dengan benar datang dari alamat baru, yang merupakan perayauan dan bukan penguraian nama. Ia mengikuti rekannya, jadi ia tidak dapat menemukan server baru yang tidak terkait yang tidak pernah dihubungi titik akhir lama.

Bandingkan catatan dengan alamat yang sedang dipakai

Tanyakan nama terdokumentasi melalui resolver yang dipakai klien, lalu tanyakan kepada antarmuka titik akhir mana yang dipegangnya. Kedua jawaban itulah perbandingan yang menentukan sisa halaman ini:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Halaman manual wg(8) mendokumentasikan subperintah show yang dipakai baris-baris ini. Bandingkan juga keluarga alamat, bukan hanya alamatnya, karena catatan yang mendapat entri IPv6 adalah perbandingan yang berbeda dari catatan yang alamat IPv4-nya berubah. Jika titik akhir berbeda dari catatan, antarmuka berjalan dengan informasi basi dan namanya bukanlah masalahnya. Jika keduanya cocok dan terowongan tetap gagal, beralihlah ke pendengar dan aturan, bukan ke profil.

Stempel waktu jabat tangan ada di blok itu karena titik akhir saja tidak mengatakan apakah rekannya dapat dijangkau. Stempel waktu basi di samping titik akhir yang benar adalah masalah jalur, bukan masalah penguraian, dan perbedaan itu mengubah apa yang Anda sentuh berikutnya.

Mulai ulang lewat manajer antarmuka

Setelah titik akhir dipastikan basi, segarkan melalui mekanisme yang memiliki antarmuka tersebut alih-alih menyunting konfigurasi yang sedang berjalan. Untuk antarmuka yang dijalankan oleh wg-quick itu berarti turun dan naik, untuk unit systemd berarti mulai ulang, dan untuk antarmuka yang dimiliki manajer berarti perubahan yang dibuat di manajer tersebut, karena suntingan saat berjalan ditimpa pada penerapan berikutnya:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Lalu pastikan pendengar pengganti dan identitasnya adalah layanan yang Anda maksudkan. Perpindahan DNS bukan perubahan identitas, jadi hal itu tidak boleh menjadi kesempatan mempercayai kunci yang belum Anda verifikasi. Jika antarmuka kini melaporkan alamat baru dan tetap tidak menghasilkan jabat tangan, kesalahannya telah berpindah ke jalur jaringan atau pendengar yang baru, yang merupakan kemajuan dan bukan kesalahan yang sama dua kali.

Jabat tangan lebih dulu, lalu jalur data

Pisahkan kedua hasil sebelum memilih daftar periksa. Jabat tangan yang berhasil di bawah aplikasi yang gagal adalah masalah jalur data: rute, prefiks yang diizinkan, atau DNS di dalam terowongan. Jabat tangan yang tidak pernah terjadi adalah masalah keterjangkauan atau identitas di titik akhir. Mencampur keduanya menghasilkan laporan yang tidak dapat diulang siapa pun dan catatan perubahan dengan tiga suntingan yang tidak terkait.

Catat nama, alamat hasil uraian, titik akhir yang dipakai, dan apakah jabat tangan selesai. Keempat fakta itu menjawab pertanyaan yang terus diajukan kesalahan ini, dan mengubah kejadian berikutnya menjadi pemeriksaan dua menit. Pemeliharaan nama dan adopsi klien tetap merupakan pekerjaan terpisah: memperbaiki catatan tidak melakukan adopsi, dan memulai ulang antarmuka tidak memperbaiki catatan yang masih salah.