WireGuard pēc DNS izmaiņām joprojām izmanto veco galapunktu

Tunelis pārstāja laist cauri datplūsmu pēc tam, kad servera DNS ieraksts pārvietojās, un nosaukums tajā pašā mašīnā tiek atrisināts pareizi. Šie divi fakti nav pretrunā. WireGuard konfigurācija satur galapunktu, un rīks nosaukumu atrisina tajā brīdī, kad tas piemēro šo konfigurāciju, tāpēc strādājošā saskarne var turpināt izmantot adresi, ko tā ieguva pirms vairākām stundām. Pirms nomaināt atslēgas vai aiztiekat tuneļa diapazonu, pārbaudiet, ko saskarne izmanto.

Nosaukums tiek atrisināts vienreiz, nevis nepārtraukti

WireGuard pamatkonfigurācija galapunktu uztver kā adresi un portu, un rīks, kas paceļ saskarni, tajā brīdī atrisina resursdatora nosaukumu. Pamatprotokolā nekas nevaicā DNS pēc grafika, un klienta lietojumprogramma var tam virsū pievienot savu atjaunināšanas uzvedību. Atrisinātās adreses, saimes un porta pierakstīšana blakus nosaukumam padara to starpību redzamu. Bez šāda pieraksta konfigurācija izskatās pareiza, kamēr saskarne runā ar kaut ko citu.

Ir viens īsts automātisks atjauninājums, un to ir vērts zināt, jo tas atgādina DNS atjauninājumu, taču tas nav. Vienaudža galapunkts var pārvietoties, kad no jaunas adreses pienāk pareizi autentificēta datplūsma, kas ir viesošanās, nevis nosaukumu atrisināšana. Tas seko vienaudzim, tāpēc nevar atklāt nesaistītu jaunu serveri, ar ko vecais galapunkts nekad nav sazinājies.

Salīdziniet ierakstu ar izmantoto adresi

Vaicājiet dokumentēto nosaukumu caur atrisinātāju, ko izmanto klients, un pēc tam vaicājiet saskarnei, kuru galapunktu tā tur. Abas atbildes ir salīdzinājums, kas nosaka pārējo šīs lapas daļu:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Šo rindu izmantotās show apakškomandas ir aprakstītas wg(8) rokasgrāmatā. Salīdziniet arī adreses saimi, ne tikai adresi, jo ieraksts, kas ieguvis IPv6 ierakstu, ir cits salīdzinājums nekā tas, kuram mainījās IPv4 adrese. Ja galapunkts atšķiras no ieraksta, saskarne darbojas ar novecojušu informāciju un nosaukums nekad nav bijis problēma. Ja tie sakrīt un tunelis joprojām nedarbojas, pārejiet pie klausītāja un noteikumiem, nevis pie profila.

Rokasspiediena laikspiedols ir tajā blokā, jo galapunkts vien nedod ziņu, vai vienaudzis ir sasniedzams. Novecojis laikspiedols blakus pareizam galapunktam ir ceļa problēma, nevis atrisināšanas problēma, un šī atšķirība maina to, kam pieskarsities tālāk.

Restartējiet caur saskarnes pārvaldnieku

Kad galapunkts ir apstiprināts kā novecojis, atjauniniet to ar mehānismu, kuram pieder saskarne tā vietā, lai rediģētu aktīvo konfigurāciju. Saskarnei, ko palaidis wg-quick, tas ir izslēgšana un ieslēgšana, systemd vienībai tas ir restarts, bet pārvaldniekam piederošai saskarnei tas ir pārvaldniekā veikts mainījums, jo darba laikā veikts labojums tiek pārrakstīts nākamajā piemērošanā:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Pēc tam apstipriniet, ka aizvietotājs klausītājs un tā identitāte ir paredzētais pakalpojums. DNS pārvietošanās nav identitātes maiņa, tāpēc tai nekad nevajadzētu būt iemeslam uzticēties atslēgai, kuru neesat pārbaudījis. Ja saskarne tagad ziņo jauno adresi un joprojām nerodas rokasspiediens, kļūda ir pārvietojusies uz jauno tīkla ceļu vai klausītāju, kas ir progress, nevis tā pati kļūda divreiz.

Vispirms rokasspiediens, pēc tam datu ceļš

Pirms kontrolsaraksta izvēles atdaliet abus iznākumus. Rokasspiediens, kas izdodas lietojumprogrammā, kura cieš neveiksmi, ir datu ceļa problēma: maršruti, atļautie prefiksi vai DNS tuneļa iekšienē. Rokasspiediens, kas nekad nenotiek, ir sasniedzamības vai identitātes problēma galapunktā. Abu sajaukšana rada ziņojumu, ko neviens nevar atkārtot, un izmaiņu žurnālu ar trim nesaistītiem labojumiem.

Pierakstiet nosaukumu, atrisināto adresi, izmantoto galapunktu un to, vai rokasspiediens tika pabeigts. Šie četri fakti atbild uz jautājumu, ko šī kļūda nemitīgi uzdod, un pārvērš nākamo gadījumu divu minūšu pārbaudē. Nosaukumu uzturēšana un klientu ieviešana paliek atsevišķi darbi: ieraksta labošana neveic ieviešanu, un saskarnes restartēšana nelabo ierakstu, kas joprojām ir nepareizs.