古いDDNSレコードか壊れたVPNエンドポイントか：見分け方

外から見ると、古いホスト名と壊れたVPNは同じに見えます。クライアントは名前を解決し、その名前はどこかを指し、接続はタイムアウトするか拒否されます。一方はDNS更新の問題で、もう一方は認証または転送の問題であり、その違いは公開されているアドレスと回線が実際に持つアドレスを比べたときに初めて明らかになります。

同じように見える二つの故障

第一の故障は、レコードがまだ昨日のWANアドレスを載せていることです。第二は、レコードが正しく、トンネルが独自の理由で接続を拒否していることです。どちらもクライアントには同じメッセージを出し、証明書を再生成し始めたくなります。

ここでは順序が重要です。DNSの確認は一分で済み、元に戻せます。CAの再生成はどちらでもありません。

何よりも先にアドレスを突き合わせる

回線が現在どのアドレスを持っているかをネットワークの所有者に尋ね、次にDNSが何を公開しているかを尋ねてください。dig +short vpn.example.comはクライアントが受け取る答えを返し、dig @1.1.1.1 vpn.example.comは別のリゾルバが違うものを見ているかどうかを示します。この二つが食い違うなら、あなたが見ているのは壊れた更新ツールではなくキャッシュの挙動です。

再帰的な応答はTTLの分だけ更新に遅れることがあるので、権威レコードとノートPCがキャッシュしたものは別の箱に分けて保管してください。

更新ツールの資格情報とは何か

古いDDNS機器はアカウントのパスワードそのもので認証することが多く、そのためパスワードを変更すると黙って壊れます。機器は古い値で再試行を続け、役に立つことは何も報告しません。No-IPのデバイス用パスワードのガイダンスは、古いハードウェアにおけるこの互換性の問題をまさに文書化しており、妥当な対応はより弱いアカウントパスワードではなく、範囲を限定した更新用資格情報です。

より新しい仕組みは、独自のライフサイクルを持つ更新トークンまたは鍵を別に発行します。それがルーターにローテーションすべき値であり、資格情報の台帳に記録すべき値です。デバッグ中にチャットのスレッドに貼り付ける値でもありません。

更新ツールの秘密でない状態（最後に成功した時刻、応答の分類、自分が所有していると考えるホスト名）を確認してください。資格情報の拒否と接続性の障害では、必要な修正が異なります。

DNSの修正ではできないこと

レコードを直しても、内向きの到達性は生まれません。回線がキャリアグレードNATの背後にあるなら、どんなホスト名でも内向きの接続は機能しません。ファイアウォールの規則を開くことも、ポートを転送することもありません。そして、証明書が原因だと決めつけたときに人が取る行動であるクライアントのサーバー検証の無効化は、決してその理由になりません。

逆に、VPNのパスワード変更は古いDNSの修正ではありません。同じチケットに二つ目の障害を足すだけです。

再接続して端から端まで証明する

権威レコードが正しくなったら、クライアントはまだ古い照会結果を保持しているかもしれません。対応している再接続やエンドポイントの更新を使い、接続を連打するのではなく少し待ってください。そのうえで、名前を解決し、アドレスを確認し、リスナーに到達できるかを確かめ、認証するという四つの手順で経路を証明します。四つの別々の結果、四つの別々の答えです。

更新ツールはVPNアカウントの隣のローテーション確認リストに入れておいてください。意図された単一のレコード所有者、有効な資格情報、そして観測できる成功が、このチケットの次の版を防ぎます。