Pasenęs DDNS įrašas ar sugedęs VPN galinis taškas: kaip atskirti

Iš išorės pasenęs prieglobos vardas ir sugedusi VPN atrodo vienodai. Klientas išsprendžia vardą, vardas į ką nors rodo, o ryšys arba baigiasi dėl laiko limito, arba atmetamas. Vienas yra DNS atnaujinimo problema, kitas – autentifikavimo arba perdavimo problema, ir skirtumas paaiškėja tik tada, kai palyginate paskelbtą adresą su adresu, kurį jūsų linija iš tikrųjų turi.

Du gedimai, kurie atrodo vienodai

Pirmasis gedimas yra tai, kad įrašas vis dar nurodo vakar dienos WAN adresą. Antrasis – kad įrašas teisingas, o tunelis jus atmeta dėl savo priežasčių. Abu klientui pateikia tą pačią žinutę, ir kyla pagunda pradėti iš naujo generuoti sertifikatus.

Čia svarbi tvarka. DNS patikrinimas užtrunka minutę ir yra grįžtamas. CA generavimas iš naujo nėra nei viena, nei kita.

Pirmiausia palyginkite adresus

Paklauskite tinklo savininko, kokį adresą linija turi dabar, tada paklauskite DNS, ką jis skelbia. dig +short vpn.example.com pateikia atsakymą, kurį gaus jūsų klientas, o dig @1.1.1.1 vpn.example.com parodo, ar kitas sprendėjas mato ką nors kita. Jei šie du nesutampa, matote podėlio elgseną, o ne sugedusį atnaujintuvą.

Rekursyvus atsakymas gali atsilikti nuo atnaujinimo savo TTL, todėl laikykite autoritetingą įrašą ir tai, ką jūsų nešiojamasis kompiuteris išsaugojo podėlyje, atskirose dėžėse.

Kas iš tikrųjų yra atnaujintuvo kredencialas

Senesni DDNS įrenginiai dažnai autentifikuojasi pačiu paskyros slaptažodžiu, todėl jį pakeitus jie tyliai sugenda. Jie toliau bando su sena reikšme ir nepraneša nieko naudingo. No-IP įrenginio slaptažodžio gairės dokumentuoja būtent šią suderinamumo problemą senesnėje aparatinėje įrangoje, o pagrįstas atsakymas yra ribotos apimties atnaujinimo kredencialas, o ne silpnesnis paskyros slaptažodis.

Naujesni mechanizmai išduoda atskirą atnaujinimo žetoną arba raktą su savo gyvavimo ciklu. Tai vertė, kurią reikia įsukti į maršrutizatorių, ir ta, kurią reikia įrašyti į kredencialų inventorių. Tai taip pat ne ta vertė, kurią reikėtų įklijuoti į pokalbio giją derinant.

Peržiūrėkite ne slaptą atnaujintuvo būseną: paskutinės sėkmės laiką, atsakymo kategoriją ir prieglobos vardą, kurį jis mano turįs. Kredencialo atmetimas ir ryšio gedimas reikalauja skirtingų pataisymų.

Ko DNS pataisa negali padaryti

Įrašo pataisymas nesukuria įeinančio pasiekiamumo. Jei linija yra už operatoriaus lygio NAT, joks prieglobos vardas nepadarys įeinančio ryšio veikiančio. Tai taip pat neatveria ugniasienės taisyklės ir nepersiunčia prievado. Ir tai niekada nėra priežastis išjungti serverio tikrinimą kliente, ką žmonės daro nusprendę, kad sertifikatas turi būti problema.

Priešingai, VPN slaptažodžio keitimas nėra pasenusio DNS pataisa. Jis tik prideda antrą gedimą prie to paties bilieto.

Prisijunkite iš naujo ir įrodykite tai nuo galo iki galo

Kai autoritetingas įrašas teisingas, klientas vis dar gali laikyti seną užklausą. Naudokite jo palaikomą prisijungimą iš naujo arba galinio taško atnaujinimą ir duokite jam akimirką, o ne spauskite jungtis be perstojo. Tada įrodykite kelią keturiais žingsniais: išspręskite vardą, patvirtinkite adresą, patikrinkite, ar klausytojas pasiekiamas, ir autentifikuokitės. Keturi atskiri rezultatai, keturi atskiri atsakymai.

Laikykite atnaujintuvą rotacijos kontroliniame sąraše šalia VPN paskyros. Vienas numatytas įrašo savininkas, galiojantis kredencialas ir stebima sėkmė yra tai, kas užkerta kelią kitai šio bilieto versijai.