Skipta um VPN-þjónustu: skipuleggðu hýsilnafnið, ekki bara IP-töluna
Ný DNS-færsla flytur ekki núverandi lotur. Skipuleggðu hver stjórnar nafninu, hvenær hver biðlari leitar þess upp og hvernig þú lætur gamla endapunktinn hætta.
DNS-færslan þín er rétt, staðgengillinn er heilbrigður, og samt eyða sumir biðlarar klukkustundum í að hringja í gamla vistfangið. Nokkrir mistakast samstundis á nafni sem leysist upp og svarar aldrei. Báðar niðurstöðurnar koma frá einu eyðu: hýsilnafn breytir því sem biðlari leitar að, ekki hvenær hann leitar að því, og ekki því sem hann treystir þegar svarið berst.
Einkennið: rétt færsla, úrelt göng
Prófíll sem geymir nafn er ekki biðlari sem heldur áfram að leysa það upp. Flestir leysa það einu sinni, við beitingu stillinganna eða þegar gangurinn fer upp, og endurnýta svo það vistfang þar til lotunni lýkur. Langt TTL ofan á því er ástæðan fyrir því að skipuleggja verður skiptinguna í kringum endurtengingar en ekki í kringum DNS-breytinguna.
Hvort tveggja er ekki galli, og það er einmitt það sem gerir einkennið ruglingslegt. Biðlarinn vinnur út frá svari sem hann fékk áður, og ekkert á þjónsstefnunni sýnir hvaða svar það var. Skipuleggðu endurtengingu inn í viðhaldsgluggann og segðu notendum hvað þeir muni sjá, eða eyddu glugganum í að svara miðum. Röð af sams konar skýrslum er venjulega niðurstaðan.
Hver stjórnar nafninu, og hvað biðlarinn staðfestir
Stjórn á svæðinu ræður því hversu hratt flutningur getur gengið. Hafðu færsluna hjá skráningaraðila sem þú getur skráð þig inn hjá, og skrifaðu niður hverjir aðrir geta breytt henni.
Traust fylgir ekki nafninu. Biðlari sem byggir á TLS getur athugað auðkenni vottorðs eða fest nafn, á meðan WireGuard sannprófar opinberan lykil mótaðilans og hunsar hýsilnafnið algjörlega. Sá munur ræður því hvort DNS-breyting nægir eða hvort hver prófíll þarf nýtt fingrafar. Breyting á færslu ætti aldrei að heimila endapunkt sem enginn samþykkti.
Haltu stjórnunar- og endurheimtaðgangi fjarri opinbera biðlaranafninu. Að missa hýsingarreikning ætti ekki líka að kosta þig færsluna sem beinir biðlurum áfram. Geymdu endurheimtaleiðina einhvers staðar sem er ekki háð þjónustuaðilanum sem þú ert að yfirgefa.
Hvenær hver biðlari les nafnið aftur
Tímasetning upplausnar er eiginleiki hvers biðlara, svo skoðaðu útfærsluna sem þú sendir í raun áður en þú lofar skiptiglugga. wg-quick leysir endapunktinn upp þegar viðmótið fer upp og heldur því vistfangi þar til gangurinn er endurræstur. OpenVPN-biðlari leitar nafnsins þegar hann tengist, og hvort hann horfir aftur við endurtengingu fer eftir valkostum hans.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Farsímabiðlarar eru venjulega óvæntir, því þeir geta haldið uppleystu vistfangi í gegnum svefn eða netbreytingu. Birtu A- og AAAA-færslur aðeins ef staðgengillinn svarar á báðum fjölskyldum. Vistfang sem svarar á einni fjölskyldu sannar ekkert um hina, og dauð AAAA-færsla bætir tímatakmörkun við hverja tilraun. Skjalfestu upplausnarhegðun fyrir hvern biðlara sem þú styður, prófaðu síðan á þeim tækjum sem fólk notar í raun.
Endurtenging er aðgerð notandans í flestum biðlurum, og þjónninn getur ekki þvingað hana. Settu það skref í viðhaldsminnisblaðið, með línu um hvað notandinn muni sjá þegar það gerist.
Skiptu á grundvelli sönnunar og lættu síðan gamla endapunktinn hætta
Fyrir skiptinguna skaltu sanna hvert lag á staðgenglinum: hlustandinn svarar, eldveggurinn hleypir portinu í gegn, leiðirnar snúa rétt við, nafnið leysist upp í nýja vistfangið, og þekkt auðkenni er samþykkt. Hlustandi sem tekur við tengingu er ekki það sama og sá sem lýkur handabandi, svo prófaðu handabandið en ekki portið. Haltu núverandi afturköllunarlista við hlið stillinganna, því endurheimt öryggisafrit endurskapar jafningjalistann eins og hann var og myndi opna aðgang sem þú hefur þegar lokað. Skráðu hvaða auðkenni þú prófaðir með, því «það virkar» er ekki sönnun sem nokkur getur endurtekið.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesÁ meðan á skiptingunni stendur, fylgstu með tengingartilraunum á báðum endapunktum fyrir sama auðkenni. Biðlari sem enn sannprófar sig gegn gamla vistfanginu er prófíll eða skyndiminnið svar sem flutti sig aldrei. Láttu gamla endapunktinn hætta samkvæmt tímasettri áætlun, því tvær þjónustur sem taka við einu auðkenni skilja tvær dyr opnar.
Skiptiprófið er forritalota í gegnum nýja endapunktinn, ekki ping. Þegar sú lota virkar og gamli endapunkturinn skráir engar heimilaðar tilraunir yfir fulla endurtengingarlotu, er flutningnum lokið.