Промена на VPN провајдер: планирајте го името на домаќинот, не само IP
Новиот DNS запис не ги преместува постоечките сесии. Планирајте кој го контролира името, кога секој клиент го решава и како ќе ја повлечете старата крајна точка.
Вашиот DNS запис е точен, замената е здрава, а некои клиенти сепак поминуваат часови бирајќи ја старата адреса. Неколку веднаш паѓаат на име што се решава и никогаш не одговара. Двата исхода доаѓаат од една празнина: името на домаќинот го менува она што клиентот го бара, не кога го бара, ниту пак во што верува кога пристигнува одговорот.
Симптомот: точен запис, застарени тунели
Профилот што чува име не е клиент што постојано го решава. Повеќето го решаваат еднаш, при примена на конфигурацијата или кога тунелот се крева, а потоа ја користат таа адреса до крајот на сесијата. Долг TTL натрупан врз тоа е причината зошто преминот мора да се планира околу повторните поврзувања, а не околу уредувањето на DNS.
Ниту едното од двете однесувања не е дефект, и токму тоа го прави симптомот збунувачки. Клиентот работи со одговор што го добил порано, и ништо на серверската страна не покажува кој одговор бил тоа. Планирајте го повторното поврзување во сервисниот прозорец и кажете им на корисниците што ќе видат, или поминете го прозорецот одговарајќи на барања. Ред од идентични извештаи е вообичаениот резултат.
Кој го контролира името и што проверува клиентот
Контролата врз зоната одлучува колку брзо може да се движи миграцијата. Чувајте го записот кај регистрар во кој можете да се најавите и запишете кој друг може да го промени.
Довербата не го следи името. Клиент заснован на TLS може да проверува идентитет на сертификат или закачено име, додека WireGuard го автентицира јавниот клуч на партнерот и целосно го игнорира името на домаќинот. Таа разлика одлучува дали уредувањето на DNS е доволно или секој профил бара нов отпечаток. Промената на запис никогаш не треба да овластува крајна точка што никој не ја одобрил.
Држете го административниот пристап и пристапот за враќање подалеку од јавното име на клиентот. Губењето на хостинг сметка не треба да ве чини и записот што ги пренасочува клиентите. Чувајте ја патеката за враќање некаде што не зависи од провајдерот што го напуштате.
Кога секој клиент повторно го чита името
Времето на решавање е својство на секој клиент, затоа проверете ја имплементацијата што навистина ја испорачувате пред да ветите прозорец за премин. wg-quick ја решава крајната точка кога интерфејсот се крева и ја чува таа адреса додека тунелот не се рестартира. Клиентот OpenVPN го бара името при поврзување, а дали повторно ќе погледне при повторно поврзување зависи од неговите опции.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Мобилните клиенти се вообичаеното изненадување, бидејќи можат да држат решена адреса низ сон или промена на мрежата. Објавувајте A и AAAA записи само ако замената одговара во двете фамилии. Адреса што одговара во една фамилија не докажува ништо за другата, а мртов AAAA запис додава временско ограничување на секој обид. Документирајте го однесувањето при решавање за секој клиент што го поддржувате, потоа тестирајте на уредите што луѓето навистина ги користат.
Повторното поврзување кај повеќето клиенти е дејство на корисникот и серверот не може да го наметне. Ставете го тој чекор во сервисната белешка, со ред за тоа што ќе види корисникот кога ќе се случи.
Преминете врз основа на докази, потоа повлечете ја старата крајна точка
Пред префрлањето докажете го секој слој кај замената: слушателот одговара, огнениот ѕид го пропушта портот, рутите се враќаат правилно, името се решава на новата адреса и познат идентитет е прифатен. Слушател што прифаќа врска не е исто како оној што завршува ракување, затоа тестирајте го ракувањето, а не портот. Држете го тековниот список за отповикување покрај конфигурацијата, бидејќи вратена резервна копија повторно го создава списокот со партнери каков што бил и повторно би отворила пристап што веќе сте го затвориле. Запишете со кој идентитет сте тестирале, бидејќи „работи“ не е доказ што некој може да го повтори.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesЗа време на преминот набљудувајте ги обидите за поврзување на двете крајни точки за истиот идентитет. Клиент што сѐ уште се автентицира кон старата адреса е профил или кеширан одговор што никогаш не се преместил. Повлечете ја старата крајна точка според датиран план, бидејќи две услуги што прифаќаат еден идентитет оставаат две врати отворени.
Тестот за премин е апликациска сесија низ новата крајна точка, а не ping. Штом таа сесија проработи и старата крајна точка не забележи ниту еден овластен обид во целосен циклус на повторно поврзување, преместувањето е завршено.