VPN провайдерін ауыстыру: тек IP емес, хост атын жоспарлаңыз
Жаңа DNS жазбасы бар сессияларды жылжытпайды. Атауды кім басқаратынын, әр клиент оны қашан шешетінін және ескі соңғы нүктені қалай шығаратыныңызды жоспарлаңыз.
DNS жазбаңыз дұрыс, ауыстырғыш сау, бірақ кейбір клиенттер ескі мекенжайға сағаттар бойы қоңырау шалады. Бірнешеуі шешілетін және ешқашан жауап бермейтін атауға бірден сәтсіздікке ұшырайды. Екі нәтиже де бір олқылықтан туады: хост аты клиенттің нені іздейтінін өзгертеді, оны қашан іздейтінін емес, және жауап келгенде неге сенетінін де емес.
Симптом: дұрыс жазба, ескірген туннельдер
Атауды сақтайтын профиль оны үнемі шешіп отыратын клиент емес. Көпшілігі оны бір рет шешеді — конфигурацияны қолданғанда немесе туннель көтерілгенде — содан кейін сессия бітпейінше сол мекенжайды қайта пайдаланады. Оның үстіне қаланған ұзақ TTL ауысуды DNS өңдеуінің айналасында емес, қайта қосылулардың айналасында жоспарлау қажеттігінің себебі.
Бұл екі мінез-құлықтың ешқайсысы ақау емес, және симптомды шатастыратын да осы. Клиент бұрын алған жауаппен жұмыс істейді, ал сервер жағында оның қай жауап екенін көрсететін ештеңе жоқ. Қайта қосылуды техникалық қызмет көрсету терезесіне енгізіп, пайдаланушыларға не көретінін айтыңыз, әйтпесе терезені билеттерге жауап беруге жұмсаңыз. Бірдей есептер кезегі әдеттегі нәтиже.
Атауды кім басқарады және клиент нені тексереді
Аймақты басқару миграцияның қаншалықты жылдам жүретінін анықтайды. Жазбаны кіре алатын тіркеушіде ұстаңыз және оны тағы кім өзгерте алатынын жазып қойыңыз.
Сенім атауға ілеспейді. TLS негізіндегі клиент сертификаттың жеке басын немесе бекітілген атауды тексере алады, ал WireGuard серіктестің ашық кілтін аутентификациялайды және хост атын мүлдем елемейді. Бұл айырмашылық DNS өңдеуі жеткілікті ме, әлде әр профильге жаңа саусақ ізі керек пе — соны шешеді. Жазба өзгерісі ешқашан ешкім мақұлдамаған соңғы нүктеге рұқсат бермеуі керек.
Әкімшілік және қалпына келтіру рұқсатын жалпыға ашық клиент атынан алыс ұстаңыз. Хостинг аккаунтын жоғалту клиенттерді бағыттайтын жазбаны да жоғалтуға әкелмеуі керек. Қалпына келтіру жолын сіз тастап кететін провайдерге тәуелді емес жерде сақтаңыз.
Әр клиент атауды қашан қайта оқиды
Шешу уақыты әр клиенттің қасиеті, сондықтан ауысу терезесін уәде етпей тұрып, шынымен тарататын іске асыруды тексеріңіз. wg-quick интерфейс көтерілгенде соңғы нүктені шешеді және туннель қайта іске қосылғанша сол мекенжайды сақтайды. OpenVPN клиенті қосылғанда атауды іздейді, ал қайта қосылғанда қайта қарай ма, ол оның опцияларына байланысты.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Мобильді клиенттер әдеттегі таңқаларлық, өйткені олар шешілген мекенжайды ұйқы немесе желі өзгерісі кезінде сақтай алады. A және AAAA жазбаларын ауыстырғыш екі отбасында да жауап берсе ғана жариялаңыз. Бір отбасында жауап беретін мекенжай екіншісі туралы ештеңе дәлелдемейді, ал өлі AAAA жазбасы әр әрекетке уақыт шегін қосады. Қолдайтын әр клиент үшін шешу мінез-құлқын құжаттаңыз, содан кейін адамдар шынымен пайдаланатын құрылғыларда сынаңыз.
Қайта қосылу көп клиентте пайдаланушы әрекеті және сервер оны мәжбүрлей алмайды. Бұл қадамды техникалық қызмет жазбасына қосыңыз, ол болғанда пайдаланушы не көретіні туралы бір жолмен.
Дәлелге сүйеніп ауысыңыз, содан кейін ескі соңғы нүктені шығарыңыз
Ауысу алдында ауыстырғышта әр қабатты дәлелдеңіз: тыңдаушы жауап береді, брандмауэр портты өткізеді, маршруттар дұрыс қайтады, атау жаңа мекенжайға шешіледі және белгілі жеке бас қабылданады. Қосылымды қабылдайтын тыңдаушы қол алысуды аяқтайтынмен бірдей емес, сондықтан портты емес, қол алысуды сынаңыз. Ағымдағы қайтарып алу тізімін конфигурацияның жанында ұстаңыз, өйткені қалпына келтірілген сақтық көшірме серіктестер тізімін бұрынғыдай қайта жасайды және сіз жапқан рұқсатты қайта ашады. Қандай жеке баспен сынағаныңызды жазыңыз, өйткені «бұл жұмыс істейді» — ешкім қайталай алатын дәлел емес.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesАуысу кезінде бір жеке бас үшін екі соңғы нүктедегі қосылу әрекеттерін қадағалаңыз. Ескі мекенжайға қарсы әлі де аутентификацияланатын клиент — ешқашан жылжымаған профиль немесе кэштелген жауап. Ескі соңғы нүктені күні бар жоспар бойынша шығарыңыз, өйткені бір жеке басты қабылдайтын екі қызмет екі есікті ашық қалдырады.
Ауысу сынағы — жаңа соңғы нүкте арқылы қосымша сессиясы, ping емес. Сол сессия жұмыс істеп, ескі соңғы нүкте толық қайта қосылу циклінде бірде-бір рұқсат етілген әрекетті тіркемесе, көшіру аяқталды.