VPN провайдерин алмаштыруу: IP эмес, хост атын пландаңыз
Жаңы DNS жазуусу учурдагы сессияларды жылдырбайт. Аты ким башкарарын, ар бир кардар аны качан чечерин жана эски акыркы чекитти кантип чыгарарыңызды пландаңыз.
DNS жазууңуз туура, алмаштыргыч соо, бирок кээ бир кардарлар сааттар бою эски дарекке чалышат. Бир аз бөлүгү чечилүүчү жана эч качан жооп бербеген атка дароо ийгиликсиз болот. Эки жыйынтык тең бир кемчиликтен келип чыгат: хост аты кардар эмнени издерин өзгөртөт, аны качан издерин эмес, жана жооп келгенде эмнеге ишенерин да эмес.
Симптом: туура жазуу, эскирген туннелдер
Атты сактаган профиль аны тынымсыз чечип турган кардар эмес. Көпчүлүгү аны бир жолу чечет, конфигурацияны колдонгондо же туннель көтөрүлгөндө, анан сессия бүткөнгө чейин ошол даректи кайра колдонот. Анын үстүнө каланган узун TTL которууну DNS түзөтүүсүнүн айланасында эмес, кайра туташуулардын айланасында пландоо керектигинин себеби.
Бул эки жүрүм-турумдун экөө тең кемчилик эмес, жана симптомду татаалдаштырган да ушул. Кардар мурун алган жооп менен иштейт, ал эми сервер тарапта анын кайсы жооп экенин көрсөткөн эч нерсе жок. Кайра туташууну тейлөө терезесине киргизип, колдонуучуларга эмнени көрөрүн айтыңыз, болбосо терезени билеттерге жооп берүүгө жумшаңыз. Окшош отчеттордун кезеги кадимки натыйжа.
Атты ким башкарат жана кардар эмнени текшерет
Зонаны көзөмөлдөө миграциянын канчалык тез жүрөрүн аныктайт. Жазууну кире алган регистратордо сактаңыз жана аны дагы ким өзгөртө аларын жазып коюңуз.
Ишеним атка ээрчибейт. TLS негизиндеги кардар сертификаттын инсандыгын же бекитилген атты текшере алат, ал эми WireGuard өнөктөштүн ачык ачкычын аутентификациялайт жана хост атын толугу менен этибарга албайт. Бул айырма DNS түзөтүүсү жетиштүүбү же ар бир профилге жаңы манжа изи керекпи экенин чечет. Жазуу өзгөртүү эч качан эч ким жактырбаган акыркы чекитке уруксат бербеши керек.
Административдик жана калыбына келтирүү мүмкүнчүлүгүн коомдук кардар атынан алыс кармаңыз. Хостинг аккаунтун жоготуу кардарларды багыттаган жазууну да жоготууга алып келбеши керек. Калыбына келтирүү жолун сиз таштап кеткен провайдерге көз каранды эмес жерде сактаңыз.
Ар бир кардар атты качан кайра окуйт
Чечүү убактысы ар бир кардардын касиети, андыктан которуу терезесин убада кылганга чейин чындап тарата турган ишке ашырууну текшериңиз. wg-quick интерфейс көтөрүлгөндө акыркы чекитти чечет жана туннель кайра башталганга чейин ошол даректи сактайт. OpenVPN кардары туташканда атты издейт, ал эми кайра туташканда кайра карайбы, анын параметрлерине байланыштуу.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Мобилдик кардарлар кадимки таң калыш, анткени алар уйку же тармак өзгөрүү учурунда чечилген даректи сактай алышат. A жана AAAA жазууларын алмаштыргыч эки үй-бүлөдө тең жооп берсе гана жарыялаңыз. Бир үй-бүлөдө жооп берген дарек экинчиси жөнүндө эч нерсени далилдебейт, ал эми өлүк AAAA жазуусу ар бир аракетке убакыт чегин кошот. Колдогон ар бир кардар үчүн чечүү жүрүм-турумун документтештириңиз, анан адамдар чындап колдонгон түзмөктөрдө сынаңыз.
Кайра туташуу көпчүлүк кардарларда колдонуучунун аракети жана сервер аны мажбурлай албайт. Бул кадамды тейлөө эскертүүсүнө киргизиңиз, ал болгондо колдонуучу эмнени көрөрү тууралуу бир сап менен.
Далилге таянып өтүңүз, анан эски акыркы чекитти чыгарыңыз
Которуудан мурун алмаштыргычта ар бир катмарды далилдеңиз: угуучу жооп берет, брандмауэр портту өткөрөт, маршруттар туура кайтат, ат жаңы дарекке чечилет жана белгилүү инсандык кабыл алынат. Туташууну кабыл алган угуучу кол кармашууну бүткөн менен бирдей эмес, андыктан портту эмес, кол кармашууну сынаңыз. Учурдагы жокко чыгаруу тизмесин конфигурациянын жанында кармаңыз, анткени калыбына келтирилген камдык көчүрмө өнөктөштөр тизмесин мурункудай кайра түзөт жана сиз жапкан мүмкүнчүлүктү кайра ачат. Кандай инсандык менен сынаганыңызды жазыңыз, анткени «иштейт» — эч ким кайталай албаган далил.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesӨтүү учурунда бир эле инсандык үчүн эки акыркы чекиттеги туташуу аракеттерин көзөмөлдөңүз. Эски дарекке каршы дагы эле аутентификацияланган кардар эч качан жылган эмес профиль же кэштенген жооп. Эски акыркы чекитти күнү белгиленген план боюнча чыгарыңыз, анткени бир инсандыкты кабыл алган эки кызмат эки эшикти ачык калтырат.
Которуу сынагы — жаңы акыркы чекит аркылуу колдонмо сессиясы, ping эмес. Ошол сессия иштеп, эски акыркы чекит толук кайра туташуу циклинде бир да уруксат берилген аракетти жазбаса, жылдыруу бүттү.