WireGuard po DNS pakeitimų vis dar naudoja seną pabaigos tašką

Tunelis nustojo praleisti srautą po to, kai serverio DNS įrašas pasislinko, o vardas tame pačiame kompiuteryje išsprendžiamas teisingai. Šie du faktai vienas kitam neprieštarauja. WireGuard konfigūracija laiko pabaigos tašką, o įrankis vardą išsprendžia tuo metu, kai pritaiko tą konfigūraciją, todėl veikianti sąsaja gali toliau naudoti adresą, kurį gavo prieš kelias valandas. Prieš keisdami raktus ar liesdami tunelio diapazoną patikrinkite, ką naudoja sąsaja.

Vardas išsprendžiamas vieną kartą, o ne nuolat

Pagrindinė WireGuard konfigūracija pabaigos tašką priima kaip adresą ir prievadą, o įrankis, kuris pakelia sąsają, tuo metu išsprendžia pagrindinio kompiuterio vardą. Pagrindiniame protokole niekas nereguliariai klausia DNS, o kliento programa gali ant viršaus pridėti savo atnaujinimo elgseną. Užrašius išspręstą adresą, šeimą ir prievadą šalia vardo, ta spraga tampa matoma. Be tokio įrašo konfigūracija atrodo teisinga, kol sąsaja kalba su kuo nors kitu.

Yra vienas tikras automatinis atnaujinimas, ir verta jį žinoti, nes jis primena DNS atnaujinimą, nors juo nėra. Porininko pabaigos taškas gali pasislinkti, kai teisingai autentifikuotas srautas ateina iš naujo adreso, o tai yra romingas, o ne vardų sprendimas. Jis seka porininką, todėl negali aptikti nesusijusio naujo serverio, su kuriuo senasis pabaigos taškas niekada nesisiekė.

Palyginkite įrašą su naudojamu adresu

Paklauskite dokumentuoto vardo per resolverį, kurį naudoja klientas, tada paklauskite sąsajos, kokį pabaigos tašką ji laiko. Abu atsakymai yra palyginimas, lemiantis likusią šio puslapio dalį:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Šių eilučių naudojamos show subkomandos aprašytos wg(8) vadove. Palyginkite ir adreso šeimą, ne tik adresą, nes įrašas, kuris gavo IPv6 įrašą, yra kitoks palyginimas nei tas, kurio IPv4 adresas pasikeitė. Jei pabaigos taškas skiriasi nuo įrašo, sąsaja veikia su pasenusia informacija, o vardas niekada nebuvo problema. Jei jie sutampa, o tunelis vis tiek nepavyksta, pereikite prie klausytojo ir taisyklių, o ne prie profilio.

Rankos paspaudimo laiko žyma yra tame bloke, nes vien pabaigos taškas nepasako, ar porininkas pasiekiamas. Pasenusi laiko žyma šalia teisingo pabaigos taško yra kelio problema, o ne sprendimo, ir šis skirtumas keičia, ką liesite toliau.

Paleiskite iš naujo per sąsajos valdytoją

Kai pabaigos taškas patvirtinamas kaip pasenęs, atnaujinkite jį mechanizmu, kuriam priklauso sąsaja o ne redaguodami veikiančią konfigūraciją. Sąsajai, kurią paleido wg-quick, tai yra išjungimas ir įjungimas, systemd įtaisui tai paleidimas iš naujo, o valdytojui priklausančiai sąsajai tai pakeitimas, atliktas tame valdytoje, nes veikimo metu atliktas redagavimas perrašomas kitą kartą taikant:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Tada patvirtinkite, kad pakeičiantis klausytojas ir jo tapatybė yra numatyta paslauga. DNS poslinkis nėra tapatybės pakeitimas, todėl jis niekada neturėtų būti proga pasitikėti raktu, kurio nepatikrinote. Jei sąsaja dabar praneša naują adresą ir vis dar neįvyksta rankos paspaudimas, gedimas persikėlė į naują tinklo kelią arba klausytoją, o tai yra pažanga, o ne tas pats gedimas du kartus.

Pirmiausia rankos paspaudimas, tada duomenų kelias

Atskirkite du rezultatus prieš rinkdamiesi kontrolinį sąrašą. Rankos paspaudimas, kuris pavyksta nepavykstančios programos atveju, yra duomenų kelio problema: maršrutai, leidžiami priešdėliai arba DNS tunelio viduje. Rankos paspaudimas, kuris niekada neįvyksta, yra pasiekiamumo arba tapatybės problema pabaigos taške. Sumaišius abu, gaunama ataskaita, kurios niekas negali atkartoti, ir pakeitimų žurnalas su trimis nesusijusiais pakeitimais.

Užrašykite vardą, išspręstą adresą, naudojamą pabaigos tašką ir ar rankos paspaudimas baigtas. Šie keturi faktai atsako į klausimą, kurį šis gedimas nuolat kelia, ir paverčia kitą atvejį dviejų minučių patikra. Vardų priežiūra ir klientų diegimas lieka atskiri darbai: įrašo taisymas neatlieka diegimo, o sąsajos paleidimas iš naujo nepataiso įrašo, kuris vis dar neteisingas.