Keisti VPN tiekėją: planuokite pagrindinio kompiuterio vardą, o ne tik IP
Naujas DNS įrašas neperkelia esamų sesijų. Suplanuokite, kas valdo vardą, kada kiekvienas klientas jį išsprendžia ir kaip išjungsite seną galinį tašką.
Jūsų DNS įrašas teisingas, pakaitinis serveris sveikas, o kai kurie klientai vis tiek valandų valandas renka seną adresą. Keletas iš karto nepavyksta prie vardo, kuris išsprendžiamas ir niekada neatsako. Abu rezultatai kyla iš vienos spragos: pagrindinio kompiuterio vardas keičia tai, ko klientas ieško, o ne kada jis to ieško, ir ne tai, kuo jis pasitiki, kai atsakymas atkeliauja.
Simptomas: teisingas įrašas, pasenę tuneliai
Profilis, kuriame saugomas vardas, nėra klientas, kuris jį nuolat sprendžia. Dauguma jį išsprendžia vieną kartą – taikant konfigūraciją arba pakilus tuneliui – ir tada naudoja tą adresą iki sesijos pabaigos. Ilgas TTL ant viršaus yra priežastis, kodėl perėjimą reikia planuoti pagal pakartotinius prisijungimus, o ne pagal DNS redagavimą.
Nė vienas iš šių dviejų elgesio būdų nėra defektas, ir būtent tai daro simptomą painų. Klientas dirba su atsakymu, kurį gavo anksčiau, ir niekas serverio pusėje nerodo, kuris tai buvo atsakymas. Suplanuokite pakartotinį prisijungimą techninės priežiūros lange ir pasakykite naudotojams, ką jie pamatys, arba praleiskite langą atsakydami į užklausas. Eilė identiškų pranešimų yra įprastas rezultatas.
Kas valdo vardą ir ką klientas tikrina
Zonos kontrolė lemia, kaip greitai migracija gali judėti. Laikykite įrašą pas registratorių, į kurį galite prisijungti, ir užrašykite, kas dar gali jį pakeisti.
Pasitikėjimas neseka vardu. TLS pagrindu veikiantis klientas gali tikrinti sertifikato tapatybę arba prisegtą vardą, o WireGuard autentifikuoja partnerio viešąjį raktą ir visiškai ignoruoja pagrindinio kompiuterio vardą. Šis skirtumas lemia, ar pakanka DNS redagavimo, ar kiekvienam profiliui reikia naujo piršto atspaudo. Įrašo pakeitimas niekada neturėtų įgalioti galinio taško, kurio niekas nepatvirtino.
Laikykite administravimo ir atkūrimo prieigą toli nuo viešo kliento vardo. Hostingo paskyros praradimas neturėtų atimti ir įrašo, kuris nukreipia klientus. Atkūrimo kelią saugokite ten, kur jis nepriklauso nuo tiekėjo, kurį paliekate.
Kada kiekvienas klientas perskaito vardą
Sprendimo laikas yra kiekvieno kliento savybė, todėl prieš žadėdami perėjimo langą patikrinkite tai, ką iš tikrųjų platinote. wg-quick išsprendžia galinį tašką, kai sąsaja pakyla, ir išlaiko tą adresą, kol tunelis paleidžiamas iš naujo. OpenVPN klientas ieško vardo prisijungdamas, o ar jis žvilgtelės dar kartą prisijungus iš naujo, priklauso nuo jo parinkčių.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Mobilieji klientai yra įprasta staigmena, nes jie gali išlaikyti išspręstą adresą per miegą ar tinklo pasikeitimą. Skelbkite A ir AAAA įrašus tik tuo atveju, jei pakaitinis serveris atsako abiejose šeimose. Adresas, atsakantis vienoje šeimoje, nieko neįrodo apie kitą, o negyvas AAAA įrašas prideda laiko limitą prie kiekvieno bandymo. Dokumentuokite sprendimo elgesį kiekvienam palaikomam klientui, tada testuokite įrenginiuose, kuriuos žmonės iš tikrųjų naudoja.
Pakartotinis prisijungimas daugumoje klientų yra naudotojo veiksmas, ir serveris negali jo primesti. Įrašykite šį žingsnį į techninės priežiūros pastabą su eilute apie tai, ką naudotojas pamatys, kai tai įvyks.
Pereikite remdamiesi įrodymais, tada išjunkite seną galinį tašką
Prieš perjungimą įrodykite kiekvieną sluoksnį pakaitiniame serveryje: klausytojas atsako, užkarda praleidžia prievadą, maršrutai grįžta teisingai, vardas išsprendžiamas į naują adresą ir žinoma tapatybė priimama. Klausytojas, priimantis ryšį, nėra tas pats, kas užbaigiantis rankos paspaudimą, todėl testuokite rankos paspaudimą, o ne prievadą. Laikykite galiojantį atšaukimo sąrašą šalia konfigūracijos, nes atkurtas atsarginis sąrašas iš naujo sukuria partnerių sąrašą tokį, koks buvo, ir vėl atvertų jau uždarytą prieigą. Užsirašykite, su kokia tapatybe testavote, nes „tai veikia“ nėra įrodymas, kurį kas nors galėtų pakartoti.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesPerėjimo metu stebėkite prisijungimo bandymus abiejuose galiniuose taškuose dėl tos pačios tapatybės. Klientas, kuris vis dar autentifikuojasi prie seno adreso, yra profilis arba podėlyje saugomas atsakymas, kuris niekada nepasikeitė. Išjunkite seną galinį tašką pagal datuotą planą, nes dvi paslaugos, priimančios vieną tapatybę, palieka dvejas duris atviras.
Perėjimo testas yra programos sesija per naują galinį tašką, o ne ping. Kai ta sesija veikia ir senasis galinis taškas per visą pakartotinio prisijungimo ciklą neužregistruoja nė vieno leidžiamo bandymo, perkėlimas baigtas.