Brauchs du dynameschen DNS fir e Heem-VPN-Server?

Dynameschen DNS reparéiert den Numm, net de Wee dobannen. Dräi Kontrollen entscheeden, ob en Hostnumm fir e Heem-VPN-Server duergeet oder ob de Wee dobannen futti ass.

Déi meescht Heem-VPN-Feeler, déi een mir erkläert, sinn net DNS-Feeler, an trotzdeem kaafen d'Leit fir d'éischt en dynameschen DNS-Abonnement. Ier s de eppes konfiguréiers, entscheet, ob den Hostnumm deen Deel ass, deen tatsächlech futti ass. En Updater schreift en Enregistrement ëm, wann d'Adress, déi dengem ISP dech ginn huet, sech verréckelt; en kann awer keen Port opmaachen, net duerch de Carrier-NAT kommen an eng lafend WireGuard-Sessioun net bemierke loossen, datt hiren Endpunkt sech geännert huet. Dräi Bedingunge entscheeden, ob dynameschen DNS déi ganz Léisung ass oder just eng Linn dovun.

Bedingung éischt: deng Adress verréckelt sech wierklech

Wunnadressen verréckele sech aus gewéinleche Grënn: de Modem synchroniséiert sech no engem Stroumausfall nei, den ISP balancéiert e Pool nei aus, eng nei Locatioun kënnt no enger laanger Stéierung. Op verschiddene Linnen verréckele se sech och seele, an ech hunn gesinn, wéi déiselwecht Adress ee Joer iwwerlieft huet; Geschäftspläng enthalen dacks eng statesch. Wann sech an zwielef Méint näischt geännert huet, ass een eenzegen A-Enregistrement, deen s de vun Hand änderst, een Daemon manner, deen s de lieweg muss halen.

Mooss et, amplaz ze roden. Liest d'WAN-Adress op der Statussäit vum Router a vergläich se mat deem, wat d'Aussewelt gesäit. Féier dëst vun enger Maschinn am LAN aus:

curl -fsS https://api.ipify.org; echo

Wann déi zwou Wäerter sech ënnerscheeden, iwwersetzt eppes virun dengem Router an keen Hostnumm-Update reparéiert dat. Eng Adress bannent 100.64.0.0/10 ass de gedeelte Beräich fir Carrier-Grade-NAT, an dat ass de gewéinleche Grond, firwat en richteg aktualiséierten Numm vun dobaussen nach ëmmer an en Timeout leeft.

Bedingung zweet: d'Cliente kucken den Numm nees no

En kuerzen TTL ass deen Deel, deen d'Leit iwwersprangen. Rekursiv Resolver respektéieren den TTL vum Enregistrement, awer Client-Stäck cachéieren getrennt, an en Tunnel, deen schonn steet, léist näischt nees op. Setz den Enregistrement op 60-300 Sekonnen, während s de debuggst; dat verkierzt d'Fënster, an där eng veroudert Äntwert ausgeliwwert gëtt, an et migréiert keng verbonnen Sessioun.

OpenVPN léist d'Linn remote vpn.example.net 1194 bei all Reconnect nees op, an resolv-retry infinite hält en dobäi, et nach eng Kéier ze probéieren, amplaz opzehalen, wann d'Opdreiwen feelt. Um Server léisst float eng etabléiert Sessioun engem Peer nogoen, deem seng Quelladress sech geännert huet. WireGuard ass méi direkt: wg-quick up léist den Endpoint beim Applizéiere vun der Konfiguratioun op, an de Client léist en nees op, wann en den Tunnel nees opbaut, also en Handshake, dee nach géint déi al Adress geléngt, geléngt weider, bis en ophält.

Dee Ënnerscheed formt de Plang. Wa Clienten op Ufro verbannen, kascht eng Adressännerung eng Reconnectioun. Wa se eng Sessioun Deeg laang oppen halen, erwaart, datt den Tunnel beim nächsten Handshake stierft, a maach, datt de Client et nach eng Kéier probéiert, amplaz unzehuelen, datt en uewen bleift.

Bedingung drëtt: de Wee dobannen ass nach oppen

Dynameschen DNS ännert just, wouhi den Numm weist, an soss näischt. D'Port-Weiderleedung um Router, d'Firewall-Reeg um VPN-Host an d'Erlabnes vum ISP fir erakommend Pakete mussen all do sinn, ier den Enregistrement zielt. Kuck, wourop d'Weiderleedung zilt: wann se un eng WAN-Adress amplaz un d'Interface gebonne ass, brécht eng Adressännerung d'Weiderleedung roueg an den Enregistrement kritt d'Schold.

Test vu baussen. En Telefon iwwer Mobilfunk mat ausgeschaltem Wi-Fi ass dee bëllegsten éierlechen Test; en Laptop am selwechten LAN ass et net. Wann den Numm op deng ëffentlech Adress opléist an de Router kee NAT-Loopback huet, feelt en Test vun bannen, obwuel den Enregistrement komplett richteg ass, an dat schéckt déi meescht Leit en Enregistrement botzen, dee ni falsch war.

Wat ausféieren, wann all dräi stëmmen

ddclient ass dee mannst iwwerraschenden Updater fir e klengen Host. Eng minimal Konfiguratioun verëffentlecht d'Adress, déi de Provider gesäit, wat de Feeler mam duebelen NAT ëmgeet:

protocol=dyndns2
use=web, web=https://api.ipify.org
server=updates.your-dns-provider.net
login=vpn-home
password=update-token
vpn.example.net

Féier en aus engem systemd-Timer all puer Minutten aus, amplaz aus enger Shell-Schleif, a log d'Äntwert vum Provider, amplaz Erfolleg unzehuelen. Behandel d'Credential wéi e Schlëssel, well et entscheet, wouhi all Client geschéckt gëtt: benotz en agegrenzten Update-Token amplaz en Kont-Passwuert, hal den Fichier am Modus 0600 a schéck Updates iwwer HTTPS.

Verifizéier, ier s de dech festleeës

Eng eenzeg Ufro seet der, wat de Rescht vun der Welt gesäit, an dréckt den TTL aus, op de s de no enger Ännerung misst waarden:

dig +noall +answer vpn.example.net @1.1.1.1

Vergläich déi Adress mam WAN vum Router. Wann se iwwereneestëmmen, mécht den Numm seng Aarbecht a wat nach feelt ass erakommend Erreechbarkeet, e Schlëssel oder en Client, deen net nees opgeléist huet. Wann se sech ënnerscheeden, verëffentlecht den Updater dat falscht Interface, dacks well en um VPN-Host hannert dem Router gelaf ass, amplaz um Router selwer.

Hal en Zeréckzuch parat, deen eng Minutt dauert: notéier déi lescht funktionéierend Adress an den virege TTL, sou datt s de béides vun Hand verëffentleche kanns, während de Provider en schlechten Nomëtteg huet.

Wann d'Äntwert nee ass

Wann Bedingung éischt oder drëtt feelt, ännert sech d'Entscheedung, net d'Konfiguratioun. Hannert dem Carrier-NAT sinn deng praktesch Optiounen, den ISP ëm eng ëffentlech Adress ze froen, den Agang op e klengen VPS mat enger stabiler Adress ze verleeën, oder en Overlay ze benotzen, deen säin eegene Rendez-vous hält. Wann d'Adress statesch ass, spréng den Updater iwwer: een A-Enregistrement, een AAAA-Enregistrement, wann s de IPv6 bedreiws, déiselwecht Port-Weiderleedung.

Wann d'Adress sech ännert, während d'Cliente verbonne bleiwen, wunnt dee éierlechen Fix am Client: Reconnect-Logik an en Intervall fir nei Versich, keen méi séieren Updater. En zweeten Provider verdeckt just den Intervall.

Ier s de weidergéis, bestäteg véier Saachen an der Rei:

  • D'Adress, déi den Updater verëffentlecht, entsprécht dem WAN vum Router.
  • Den TTL vum Enregistrement ass kuerz genuch, datt eng Ännerung a Minutten opfält.
  • D'Port-Weiderleedung ass un d'Interface gebonnen, net un eng fest Adress.
  • Een echte Client huet sech zënter der leschter Ännerung nei verbonnen a Verkéier duerchgelooss.

Wann all véier stëmmen, looss d'Astellung a Rou; deng nächst Stéierung ass e Schlëssel oder eng Firewall-Reeg an net e Nummproblem. Wann eng feelt, reparéier déi Rei, ier s de nach en beweeglecht Deel derbäisetz. RFC 2136 beschreift de Update-Mechanismus selwer, wann s de wëlls gesinn, wat den Daemon op d'Leitung leet.

Ähnlech Artikelen