Þarftu kvikt DNS fyrir VPN-þjón í heimahúsi?

Flest VPN-bilun í heimahúsum sem fólk spyr mig um eru ekki DNS-bilun, og samt kaupa menn fyrst áskrift að kviku DNS. Áður en þú stillir eitthvað, ákveddu hvort hýsingarheitið sé sá hlutur sem er í raun bilaður. Uppfærsluforrit endurskrifar færslu þegar heimilisfangið sem þjónustuveitandinn gaf þér hreyfist; það getur ekki opnað port, komist í gegnum NAT rekstraraðilans eða fengið lifandi WireGuard lotu til að taka eftir að endapunktur hennar breyttist. Þrjú skilyrði ráða því hvort kvikt DNS er öll lausnin eða aðeins ein lína af henni.

Skilyrði eitt: heimilisfangið þitt hreyfist í raun

Heimilisföng íbúðarhúsnæðis hreyfast af hversdagslegum ástæðum: mótaldið samstillir sig aftur eftir rafmagnsleysi, þjónustuveitandinn endurjafnar laug, ný leiga kemur eftir langt niðurfall. Á sumum línum hreyfast þau líka sjaldan, og ég hef séð sama heimilisfangið lifa í eitt ár; viðskiptapakkar innihalda oft fast heimilisfang. Ef ekkert hefur breyst í tólf mánuði er ein A-færsla sem þú ritstýrir í höndunum einn púki færri til að halda lifandi.

Mældu það frekar en að giska. Lestu WAN-heimilisfangið á stöðusíðu beinisins og berðu það saman við það sem umheimurinn sér. Keyrðu þetta frá vél á LAN:

curl -fsS https://api.ipify.org; echo

Ef gildin tvö eru ólík þýðir eitthvað fyrir framan beinið þitt og engin uppfærsla hýsingarheitis lagar það. Heimilisfang innan 100.64.0.0/10 er sameiginlega bilið fyrir NAT á stigi rekstraraðila, og það er venjulega ástæðan fyrir því að rétt uppfært nafn rennur samt út að utan.

Skilyrði tvö: biðlarar fletta nafninu upp aftur

Stutt TTL er sá hluti sem fólk sleppir. Endurkvæmir leysarar virða TTL færslunnar, en biðlarastöflur skyggja sérstaklega og göng sem þegar standa leysa ekkert upp aftur. Stilltu færsluna á 60-300 sekúndur meðan þú kembir; það styttir gluggann þar sem úrelt svar er borið fram og færir ekki tengda lotu.

OpenVPN leysir línuna remote vpn.example.net 1194 upp aftur við hverja endurtengingu, og resolv-retry infinite heldur því áfram að reyna í stað þess að hætta þegar uppflettingin mistekst. Á þjóninum leyfir float staðfestri lotu að fylgja jafningja sem skipti um upprunalegt heimilisfang. WireGuard er beinskeyttara: wg-quick up leysir Endpoint upp þegar stillingunni er beitt, og biðlarinn leysir hana upp aftur þegar hann byggir göngin upp á ný, svo handaband sem gengur enn gegn gamla heimilisfanginu heldur áfram að ganga þar til það stöðvast.

Sá munur mótar áætlunina. Ef biðlarar tengjast eftir þörfum kostar heimilisfangsbreyting eina endurtengingu. Ef þeir halda lotu opinni í marga daga má búast við að göngin deyi við næsta handaband, og láta biðlarann reyna aftur í stað þess að gera ráð fyrir að hún standi.

Skilyrði þrjú: leiðin inn er enn opin

Kvikt DNS breytir aðeins því hvert nafnið vísar og engu öðru. Portfærsla á beininum, eldveggjarregla á VPN-hýsingunni og leyfi þjónustuveitandans fyrir innkomnum pakkum verða öll að vera til áður en færslan skiptir máli. Fylgstu með hvað færslan miðar á: ef hún er fest við WAN-heimilisfang í stað viðmótsins brýtur heimilisfangsbreyting færsluna hljóðlaust og færslan fær sökina.

Prófaðu að utan. Sími á farsímagögnum með Wi-Fi slökkt er ódýrasta heiðarlega prófið; fartölva á sama LAN er það ekki. Þegar nafnið leysist í almenna heimilisfangið þitt og beinirinn hefur enga NAT-lykkju mistekst próf að innan meðan færslan er fullkomlega rétt, og það sendir flesta til að ritstýra færslu sem var aldrei röng.

Hvað á að keyra þegar allt þrennt gildir

ddclient er minnst óvænta uppfærsluforritið fyrir litla hýsingu. Lágmarksstilling birtir heimilisfangið sem veitandinn sér, sem kemur í veg fyrir tvískiptu NAT-mistökin:

protocol=dyndns2
use=web, web=https://api.ipify.org
server=updates.your-dns-provider.net
login=vpn-home
password=update-token
vpn.example.net

Keyrðu það frá systemd-tímamæli á nokkurra mínútna fresti í stað skeljalotunnar, og skráðu svar veitandans í stað þess að gera ráð fyrir árangri. Meðhöndlaðu skírteinin sem lykil, því það ræður hvert hver biðlari er sendur: notaðu takmarkað uppfærslutákn í stað lykilorðs reiknings, haltu skránni í ham 0600 og sendu uppfærslur yfir HTTPS.

Staðfestu áður en þú skuldbindur þig

Ein uppfletting segir þér hvað umheimurinn sér, og hún prentar TTL-ið sem þú verður að bíða út eftir breytingu:

dig +noall +answer vpn.example.net @1.1.1.1

Berðu það heimilisfang saman við WAN-heimilisfang beinisins. Ef þau stemma gerir nafnið sitt gagn og það sem enn mistekst er innkomið aðgengi, lykill eða biðlari sem hefur ekki leyst upp aftur. Ef þau eru ólík birtir uppfærsluforritið rangt viðmót, oft vegna þess að það keyrði á VPN-hýsingunni bak við beinið í stað beinisins sjálfs.

Haltu til baka einnar mínútu afturköllun: skráðu síðasta virka heimilisfang og fyrra TTL, svo þú getir birt bæði í höndunum meðan veitandinn á slæman síðdegis.

Þegar svarið er nei

Ef skilyrði eitt eða þrjú bregðast, breytist ákvörðunin en ekki stillingin. Bak við NAT rekstraraðilans eru hagnýtu valkostir þínir að biðja þjónustuveitandann um almennt heimilisfang, að færa innkomuleiðina á litla VPS með stöðugu heimilisfangi, eða að nota yfirlag sem heldur eigin fundi. Ef heimilisfangið er fast skaltu sleppa uppfærsluforritinu: ein A-færsla, ein AAAA-færsla ef þú keyrir IPv6, sama portfærsla.

Ef heimilisfangið breytist meðan biðlarar eru áfram tengdir býr heiðarlega lagfæringin í biðlaranum: endurtengingarrök og endurtekningarbil, ekki hraðara uppfærsluforrit. Annar veitandi felur aðeins bilið.

Áður en þú heldur áfram skaltu staðfesta fjóra hluti í röð:

• Heimilisfangið sem uppfærsluforritið birtir stemmir við WAN-heimilisfang beinisins.
• TTL færslunnar er nógu stutt til að breyting sjáist innan nokkurra mínútna.
• Portfærslan er bundin viðmótinu, ekki föstu heimilisfangi.
• Einn raunverulegur biðlari hefur tengst aftur og flutt umferð síðan síðasta breyting.

Ef allt fjögur gilda skaltu láta uppsetninguna í friði; næsta bilun þín er lykill eða eldveggjarregla en ekki nafnavandamál. Ef eitthvað bregst skaltu laga þá röð áður en þú bætir við annarri hreyfanlegri einingu. RFC 2136 lýsir uppfærsluaðferðinni sjálfri, ef þú vilt sjá hvað púkinn setur á vírinn.