Un record DDNS obsoleto contro un endpoint VPN guasto: come distinguerli

Dall’esterno, un nome host obsoleto e una VPN guasta sembrano identici. Il client risolve un nome, il nome punta da qualche parte, e la connessione scade o viene rifiutata. Uno è un problema di aggiornamento DNS e l’altro è un problema di autenticazione o di inoltro, e la differenza diventa evidente solo quando confrontate l’indirizzo pubblicato con l’indirizzo che la vostra linea ha davvero.

Due guasti che si presentano allo stesso modo

Il primo guasto è che il record elenca ancora l’indirizzo WAN di ieri. Il secondo è che il record è corretto e il tunnel vi rifiuta per motivi suoi. Entrambi producono lo stesso messaggio sul client, e la tentazione è iniziare a rigenerare certificati.

Qui l’ordine conta. Controllare il DNS richiede un minuto ed è reversibile. Rigenerare una CA non è né l’uno né l’altro.

Confrontate gli indirizzi prima di ogni altra cosa

Chiedete al proprietario della rete quale indirizzo ha la linea in questo momento, poi chiedete al DNS cosa pubblica. dig +short vpn.example.com dà la risposta che riceverà il vostro client, e dig @1.1.1.1 vpn.example.com mostra se un altro resolver vede qualcosa di diverso. Se questi due non concordano, state guardando il comportamento della cache e non un aggiornatore guasto.

Una risposta ricorsiva può restare indietro rispetto a un aggiornamento del suo TTL, quindi tenete il record autoritativo e ciò che il vostro portatile ha memorizzato in scatole separate.

Che cos’è davvero la credenziale dell’aggiornatore

I dispositivi DDNS più vecchi spesso si autenticano con la password dell’account stessa, ed è per questo che cambiarla li rompe in silenzio. Continuano a riprovare con il vecchio valore e non segnalano nulla di utile. La guida alle password dei dispositivi di No-IP documenta esattamente questo problema di compatibilità su hardware più vecchio, e la risposta sensata è una credenziale di aggiornamento con ambito limitato invece di una password dell’account più debole.

I meccanismi più recenti emettono un token o una chiave di aggiornamento separati con il proprio ciclo di vita. È il valore da ruotare nel router, e quello da annotare nel vostro inventario delle credenziali. Non è nemmeno il valore da incollare in un thread di chat mentre fate debug.

Esaminate lo stato non segreto dell’aggiornatore: ora dell’ultimo successo, categoria di risposta e il nome host che ritiene di possedere. Un rifiuto della credenziale e un guasto di connettività richiedono correzioni diverse.

Che cosa non può fare una correzione del DNS

Correggere il record non crea raggiungibilità in ingresso. Se la linea si trova dietro un NAT di livello operatore, nessun nome host farà funzionare una connessione in ingresso. Non apre nemmeno una regola del firewall e non inoltra una porta. E non è mai un motivo per disattivare la verifica del server sul client, che è la mossa che le persone fanno quando decidono che il certificato deve essere il problema.

Al contrario, cambiare la password della VPN non è una correzione per un DNS obsoleto. Aggiunge solo un secondo guasto allo stesso ticket.

Riconnettete e dimostratelo da un capo all’altro

Una volta che il record autoritativo è corretto, il client potrebbe conservare ancora una vecchia risoluzione. Usate la sua riconnessione o l’aggiornamento dell’endpoint supportati e dategli un momento invece di martellare la connessione. Poi dimostrate il percorso in quattro passi: risolvete il nome, confermate l’indirizzo, verificate che l’ascoltatore sia raggiungibile e autenticatevi. Quattro risultati separati, quattro risposte separate.

Tenete l’aggiornatore nella lista di rotazione accanto all’account VPN. Un proprietario del record previsto, una credenziale valida e un successo osservabile sono ciò che impedisce la prossima versione di questo ticket.