VPN-Anbieter wiesselen: den Hostnumm plangen, net nëmmen d'IP

Ären DNS-Aschreiwung ass korrekt, den Ersatz ass gesond, an trotzdem verbréngen e puer Clienten Stonnen domat, déi al Adress ze wielen. E puer schléissen direkt géint en Numm, deen sech opléist an ni äntwert. Béid Resultater kommen aus enger Lach: en Hostnumm ännert, wat e Client sicht, net wéini en et sicht, an och net, wat en vertraut, wann d'Äntwert ukënnt.

D'Symptom: en korrekten Aschreiwung, al Tunnelen

E Profil, deen en Numm späichert, ass keen Client, deen en ëmmerzu opléist. Déi meescht léisen en eemol op, beim Uwenden vun der Konfiguratioun oder wann den Tunnel eropkënnt, an da benotzen se déi Adress erëm, bis d'Sessioun ophält. En laangen TTL drop gestapelt ass de Grond, firwat de Wiesselen ëm Reconnectiounen a net ëm d'DNS-Ännerung geplangt muss ginn.

Keen vun deenen zwee Verhale ass e Feeler, an dat ass genee, wat d'Symptom verwirrend mécht. De Client schafft mat enger Äntwert, déi en virdrun kritt huet, an näischt op der Serversäit weist, wéi eng Äntwert dat war. Plangt de Reconnect an d'Wartungsfënster an a sot de Benotzer, wat se gesi wäerten, oder verbréngt d'Fënster mat Ticketen ze beäntweren. Eng Schlaang vun identesche Rapporten ass dat üblech Resultat.

Wien den Numm kontrolléiert, a wat de Client iwwerpréift

D'Kontroll iwwer d'Zone entscheet, wéi séier eng Migratioun ka virugoen. Halt den Aschreiwung bei engem Registrar, wou Dir Iech kënnt aloggen, a schreift op, wien en nach ännere kann.

Vertrauen follegt net dem Numm. En TLS-baséierte Client ka Certificatsidentitéit oder en ugepachten Numm kontrolléieren, wärend WireGuard de ëffentleche Schlëssel vum Peer authentifizéiert an den Hostnumm komplett ignoréiert. Dee Ënnerscheed entscheet, ob eng DNS-Ännerung duerga oder ob all Profil en neien Androck brauch. Eng Ännerung vum Aschreiwung sollt ni en Endpunkt autoriséieren, deen kee guttgeheescht huet.

Halt administrativen an Erhuelungszougang wäit vum ëffentlechen Clientnumm. En Hostingkonto ze verléieren soll Iech net och den Aschreiwung kaschten, deen d'Cliente weiderleeden. Späichert den Erhuelungswee esou, datt en net vum Provider ofhänkt, deen Dir verloosst.

Wéini all Client den Numm nach eng Kéier liest

Den Opléisungszäitpunkt ass eng Eegeschaft pro Client, also kontrolléiert d'Implementatioun, déi Dir wierklech verschéckt, ier Dir eng Wiesselfënster versprécht. wg-quick léist den Endpunkt op, wann den Interface eropkënnt, an hält déi Adress, bis den Tunnel nei gestart gëtt. En OpenVPN-Client sicht den Numm, wann en sech verbënnt, an ob en beim Reconnect nach eng Kéier kuckt, hänkt vu sengen Optiounen of.

Mobil Clienten sinn déi üblech Iwwerraschung, well se eng opgeléist Adress iwwer Schlof oder en Netzwierkwiessel halen kënnen. Verëffentlecht A- an AAAA-Aschreiwungen nëmmen, wann den Ersatz op béide Familljen äntwert. Eng Adress, déi op enger Famill äntwert, beweist näischt iwwer déi aner, an en douden AAAA-Aschreiwung setzt all Versuch eng Zäitlimit bäi. Dokumentéiert d'Opléisungsverhalen fir all Client, deen Dir ënnerstëtzt, an test dann op den Apparater, déi d'Leit wierklech benotzen.

E Reconnect ass bei de meeschte Clienten eng Benotzeraktioun, an de Server kann en net forcéieren. Setzt dee Schrëtt an d'Wartungsnotiz, mat enger Linn, wat de Benotzer gesäit, wann et geschitt.

Wiesselt op Basis vun Evidenz, an dann zitt den ale Endpunkt zréck

Beweist virum Wiesselen all Schicht beim Ersatz: de Lauschterer äntwert, d'Firewall léisst de Port duerch, d'Routen komme richteg zréck, den Numm léist sech op déi nei Adress op, an eng bekannt Identitéit gëtt ugeholl. En Lauschterer, deen eng Verbindung unhëlt, ass net datselwecht wéi en, deen en Handshake fäerdeg mécht, also test den Handshake an net de Port. Halt déi aktuell Widderruffslescht nieft der Konfiguratioun, well eng restauréiert Sécherungskopie d'Peerlescht esou opbaut wéi se war an Zougang erëm opmaacht, deen Dir schonn zougemaach hutt. Schreift op, mat wéi enger Identitéit Dir getest hutt, well «et funktionéiert» ass keng Evidenz, déi een iergendeen widderhuele kann.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Wärend dem Iwwergang, observéiert Verbindungsversich op béiden Endpunkten fir déiselwecht Identitéit. En Client, deen sech nach géint déi al Adress authentifizéiert, ass e Profil oder eng gecacht Äntwert, déi ni geréckelt ass. Zitt den ale Endpunkt no engem datéierte Plang zréck, well zwee Servicer, déi eng Identitéit unhuelen, zwou Diere op loosse.

Den Iwwergangstest ass eng Applikatiounssessioun iwwer den neien Endpunkt, net e Ping. Soubal déi Sessioun funktionéiert an den ale Endpunkt iwwer en ganze Reconnect-Zyklus keng autoriséiert Versich protokolléiert, ass den Ëmzug fäerdeg.