WireGuard კვლავ ძველ საბოლოო წერტილს იყენებს DNS ცვლილებების შემდეგ

გვირაბმა ტრაფიკის გატარება შეწყვიტა მას შემდეგ, რაც სერვერის DNS ჩანაწერი გადაადგილდა, და სახელი იმავე მანქანიდან სწორად იხსნება. ეს ორი ფაქტი ერთმანეთს არ ეწინააღმდეგება. WireGuard კონფიგურაცია ინახავს საბოლოო წერტილს, და ხელსაწყო სახელს იმ მომენტში ხსნის, როცა ამ კონფიგურაციას იყენებს, ამიტომ მომუშავე ინტერფეისს შეუძლია გააგრძელოს იმ მისამართის გამოყენება, რომელიც საათების წინ მიიღო. შეამოწმეთ, რას იყენებს ინტერფეისი, სანამ გასაღებებს შეცვლით ან გვირაბის დიაპაზონს შეეხებით.

სახელი ერთხელ იხსნება და არა უწყვეტად

WireGuard-ის ძირითადი კონფიგურაცია საბოლოო წერტილს იღებს როგორც მისამართსა და პორტს, და ინტერფეისის ამწევი ხელსაწყო ჰოსტის სახელს სწორედ იმ მომენტში ხსნის. ძირითად პროტოკოლში არაფერი ეკითხება DNS-ს განრიგის მიხედვით, და კლიენტურ აპლიკაციას შეუძლია დაამატოს თავისი განახლების ქცევა. გახსნილი მისამართის, ოჯახის და პორტის სახელის გვერდით ჩაწერა ამ ხარვეზს თვალსაჩინოს ხდის. ამ ჩანაწერის გარეშე კონფიგურაცია სწორად გამოიყურება, სანამ ინტერფეისი სხვა რამეს ესაუბრება.

არსებობს ერთი ნამდვილი ავტომატური განახლება, და ღირს მისი ცოდნა, რადგან ის DNS განახლებას ჰგავს, თუმცა არ არის. წყვილის საბოლოო წერტილი შეიძლება გადაადგილდეს, როცა სწორად ავთენტიფიცირებული ტრაფიკი ახალი მისამართიდან მოდის, რაც როუმინგია და არა სახელის გახსნა არის. ის მიჰყვება წყვილს, ამიტომ ვერ აღმოაჩენს დაუკავშირებელ ახალ სერვერს, რომელთანაც ძველი საბოლოო წერტილი არასოდეს დაკავშირებულა.

შეადარეთ ჩანაწერი გამოყენებულ მისამართს

ჰკითხეთ დოკუმენტირებულ სახელს იმ გადამწყვეტის მეშვეობით, რომელსაც კლიენტი იყენებს, შემდეგ ჰკითხეთ ინტერფეისს, რომელ საბოლოო წერტილს ინახავს. ორი პასუხი არის ის შედარება, რომელიც განსაზღვრავს ამ გვერდის დარჩენილ ნაწილს:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

ამ ხაზების მიერ გამოყენებული show ქვებრძანებები აღწერილია wg(8) სახელმძღვანელოში. შეადარეთ ასევე მისამართის ოჯახი და არა მხოლოდ მისამართი, რადგან ჩანაწერი, რომელმაც IPv6 ჩანაწერი მიიღო, სხვა შედარებაა, ვიდრე ის, რომლის IPv4 მისამართი შეიცვალა. თუ საბოლოო წერტილი ჩანაწერისგან განსხვავდება, ინტერფეისი მოძველებული ინფორმაციით მუშაობს და სახელი არასოდეს ყოფილა პრობლემა. თუ ისინი ემთხვევა და გვირაბი მაინც ვერ მუშაობს, გადადით მსმენელსა და წესებზე და არა პროფილზე.

ხელის ჩამორთმევის დროის ნიშანი იმ ბლოკშია, რადგან მხოლოდ საბოლოო წერტილი არ ამბობს, მისაწვდომია თუ არა წყვილი. სწორი საბოლოო წერტილის გვერდით მოძველებული დროის ნიშანი ბილიკის პრობლემაა და არა გახსნის, და ეს განსხვავება ცვლის, რას შეეხებით შემდეგ.

გადატვირთეთ ინტერფეისის მენეჯერიდან

მას შემდეგ, რაც საბოლოო წერტილი მოძველებულად დადასტურდება, განაახლეთ ის იმ მექანიზმით, რომელსაც ინტერფეისი ეკუთვნის ცოცხალი კონფიგურაციის რედაქტირების ნაცვლად. wg-quick-ით გაშვებული ინტერფეისისთვის ეს ჩამოშვება და აწევაა, systemd ერთეულისთვის გადატვირთვა, ხოლო მენეჯერის საკუთრებაში არსებული ინტერფეისისთვის ცვლილება, რომელიც სწორედ იმ მენეჯერში კეთდება, რადგან მუშაობის დროს რედაქტირება შემდეგ გამოყენებაზე გადაიწერება:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

შემდეგ დაადასტურეთ, რომ შემცვლელი მსმენელი და მისი იდენტობა ის სერვისია, რომელიც განიზრახეთ. DNS-ის გადაადგილება იდენტობის ცვლილება არ არის, ამიტომ ის არასოდეს უნდა იყოს არაშემოწმებული გასაღების ნდობის მიზეზი. თუ ინტერფეისი ახლა ახალ მისამართს აცნობებს და მაინც ხელის ჩამორთმევა არ ხდება, ხარვეზი ახალ ქსელურ ბილიკზე ან მსმენელზე გადავიდა, რაც წინსვლაა და არა იგივე ხარვეზი ორჯერ.

ჯერ ხელის ჩამორთმევა, შემდეგ მონაცემთა ბილიკი

სანამ ჩამონათვალს აირჩევთ, გამოყავით ორი შედეგი. ხელის ჩამორთმევა, რომელიც წარმატებულია წარუმატებელი აპლიკაციის ქვეშ, მონაცემთა ბილიკის პრობლემაა: მარშრუტები, დაშვებული პრეფიქსები ან გვირაბის შიგნით არსებული DNS. ხელის ჩამორთმევა, რომელიც არასოდეს ხდება, საბოლოო წერტილზე მისაწვდომობის ან იდენტობის პრობლემაა. ორივეს შერევა წარმოქმნის ანგარიშს, რომელსაც ვერავინ გაიმეორებს, და ცვლილებათა ჟურნალს სამი დაუკავშირებელი რედაქტირებით.

ჩაწერეთ სახელი, გახსნილი მისამართი, გამოყენებული საბოლოო წერტილი და ის, დასრულდა თუ არა ხელის ჩამორთმევა. ეს ოთხი ფაქტი პასუხობს კითხვას, რომელსაც ეს ხარვეზი გამუდმებით სვამს, და შემდეგ შემთხვევას ორწუთიან შემოწმებად აქცევს. სახელის მოვლა და კლიენტების დანერგვა ცალკე სამუშაოებად რჩება: ჩანაწერის გასწორება დანერგვას არ ასრულებს, და ინტერფეისის გადატვირთვა ჯერ კიდევ არასწორ ჩანაწერს არ ასწორებს.