WireGuard уште ја користи старата крајна точка по промените на DNS

Тунелот престана да пренесува сообраќај откако DNS записот на серверот се премести, а името се разрешува правилно од истиот компјутер. Овие два факти не се противречат. Конфигурацијата на WireGuard содржи крајна точка, а алатката го разрешува името во моментот кога ја применува таа конфигурација, така што интерфејсот што работи може да продолжи да ја користи адресата што ја доби пред часови. Проверете што користи интерфејсот пред да ги замените клучевите или да го допрете опсегот на тунелот.

Името се разрешува еднаш, а не постојано

Основната конфигурација на WireGuard прима крајна точка како адреса и порта, а алатката што крева интерфејс го разрешува името на домаќинот во тој момент. Ништо во основниот протокол не прашува DNS по распоред, а клиентската апликација може да додаде свое однесување за освежување. Запишувањето на разрешената адреса, семејството и портата до името ја прави таа празнина видлива. Без таков запис конфигурацијата изгледа точна додека интерфејсот разговара со нешто друго.

Има едно вистинско автоматско ажурирање и вреди да се знае затоа што наликува на освежување на DNS без да биде тоа. Крајната точка на партнерот може да се премести кога правилно автентициран сообраќај пристигнува од нова адреса, што е роаминг, а не разрешување на имиња. Таа го следи партнерот, па не може да открие неповрзан нов сервер со кој старата крајна точка никогаш не контактирала.

Споредете го записот со адресата што се користи

Прашајте го документираното име преку резолверот што го користи клиентот, потоа прашајте го интерфејсот која крајна точка ја држи. Двата одговори се споредбата што го решава остатокот од оваа страница:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Прирачникот wg(8) ги документира поткомандите show што ги користат овие редови. Споредете го и семејството на адресата, не само адресата, затоа што запис што добил IPv6 запис е поинаква споредба од оној чија адреса IPv4 се променила. Ако крајната точка се разликува од записот, интерфејсот работи со застарени информации и името никогаш не било проблемот. Ако се совпаѓаат, а тунелот уште не успева, преминете на слушателот и правилата, а не на профилот.

Временската ознака на ракувањето е во тој блок затоа што самата крајна точка не кажува дали партнерот е достапен. Застарена временска ознака до точна крајна точка е проблем на патеката, а не на разрешувањето, и таа разлика менува што ќе допрете следно.

Рестартирајте преку менаџерот на интерфејсот

Откако крајната точка ќе се потврди како застарена, освежете ја преку механизмот што го поседува интерфејсот наместо да ја уредувате живата конфигурација. За интерфејс стартуван од wg-quick тоа е спуштање и кревање, за systemd единица тоа е рестартирање, а за интерфејс што го поседува менаџер тоа е промена направена во тој менаџер, затоа што уредувањето за време на работа се препишува при следната примена:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Потоа потврдете дека заменскиот слушател и неговиот идентитет се услугата што сте ја намеравале. Преместувањето на DNS не е промена на идентитетот, па никогаш не треба да биде причина да се верува на клуч што не сте го провериле. Ако интерфејсот сега ја пријавува новата адреса и уште не дава ракување, дефектот се преместил на новата мрежна патека или слушател, што е напредок, а не истиот дефект двапати.

Прво ракувањето, потоа патеката на податоците

Одвојте ги двата исхода пред да изберете контролен список. Ракување што успева под апликација што не успева е проблем на патеката на податоците: маршрути, дозволени префикси или DNS внатре во тунелот. Ракување што никогаш не се случува е проблем на достапност или идентитет кај крајната точка. Мешањето на двете дава извештај што никој не може да го повтори и дневник на промени со три неповрзани уредувања.

Запишете го името, разрешената адреса, крајната точка во употреба и дали ракувањето завршило. Овие четири факти одговараат на прашањето што овој дефект постојано го поставува, и го претвораат следниот случај во проверка од две минути. Одржувањето на имињата и усвојувањето кај клиентите остануваат одделни задачи: исправањето на записот не го извршува усвојувањето, а рестартирањето на интерфејсот не поправа запис што уште е погрешен.