VPN ദാതാക്കളെ മാറ്റുന്നത്: IP മാത്രമല്ല, ഹോസ്റ്റ്നെയിം ആസൂത്രണം ചെയ്യുക
പുതിയ DNS റെക്കോർഡ് നിലവിലുള്ള സെഷനുകളെ നീക്കില്ല. പേര് ആരു നിയന്ത്രിക്കുന്നു, ഓരോ ക്ലയന്റും അത് എപ്പോൾ പരിഹരിക്കുന്നു, പഴയ എൻഡ്പോയിന്റ് എങ്ങനെ വിരമിക്കും എന്നത് ആസൂത്രണം ചെയ്യുക.
നിങ്ങളുടെ DNS റെക്കോർഡ് ശരിയാണ്, പകരക്കാരൻ ആരോഗ്യകരമാണ്, എന്നിട്ടും ചില ക്ലയന്റുകൾ മണിക്കൂറുകളോളം പഴയ വിലാസത്തിലേക്ക് ഡയൽ ചെയ്യുന്നു. പരിഹരിക്കപ്പെടുകയും ഒരിക്കലും ഉത്തരം നൽകാതിരിക്കുകയും ചെയ്യുന്ന ഒരു പേരിനെതിരെ കുറച്ചെണ്ണം ഉടനടി പരാജയപ്പെടുന്നു. രണ്ട് ഫലങ്ങളും ഒരു വിടവിൽ നിന്നാണ് വരുന്നത്: ഹോസ്റ്റ്നെയിം ക്ലയന്റ് എന്താണ് തിരയുന്നത് എന്നത് മാറ്റുന്നു, എപ്പോൾ തിരയുന്നു എന്നതല്ല, ഉത്തരം എത്തുമ്പോൾ എന്തിൽ വിശ്വസിക്കുന്നു എന്നതുമല്ല.
ലക്ഷണം: ശരിയായ റെക്കോർഡ്, പഴയ ടണലുകൾ
പേര് സൂക്ഷിക്കുന്ന പ്രൊഫൈൽ അത് തുടർച്ചയായി പരിഹരിക്കുന്ന ക്ലയന്റല്ല. മിക്കതും ഒരിക്കൽ പരിഹരിക്കുന്നു, കോൺഫിഗറേഷൻ പ്രയോഗിക്കുമ്പോൾ അല്ലെങ്കിൽ ടണൽ ഉയരുമ്പോൾ, തുടർന്ന് സെഷൻ അവസാനിക്കുന്നതുവരെ അതേ വിലാസം വീണ്ടും ഉപയോഗിക്കുന്നു. അതിനു മുകളിൽ നീണ്ട TTL ഉണ്ടാകുന്നതാണ് മാറ്റം DNS എഡിറ്റിംഗിനു ചുറ്റുമല്ല, വീണ്ടും ബന്ധിപ്പിക്കലുകൾക്കു ചുറ്റും ആസൂത്രണം ചെയ്യേണ്ടതിന്റെ കാരണം.
ഈ രണ്ട് പെരുമാറ്റങ്ങളും തകരാറല്ല, അതാണ് ലക്ഷണത്തെ ആശയക്കുഴപ്പമാക്കുന്നത്. ക്ലയന്റ് മുൻപ് ലഭിച്ച ഒരു ഉത്തരവുമായി പ്രവർത്തിക്കുന്നു, സർവറിന്റെ ഭാഗത്ത് അത് ഏത് ഉത്തരമായിരുന്നു എന്ന് കാണിക്കുന്ന ഒന്നുമില്ല. വീണ്ടും ബന്ധിപ്പിക്കൽ അറ്റകുറ്റപ്പണി വിൻഡോയിൽ ഉൾപ്പെടുത്തി ഉപയോക്താക്കൾ എന്ത് കാണുമെന്ന് പറയുക, അല്ലെങ്കിൽ വിൻഡോ ടിക്കറ്റുകൾക്ക് ഉത്തരം നൽകുന്നതിൽ ചെലവഴിക്കുക. ഒരേപോലുള്ള റിപ്പോർട്ടുകളുടെ നിര സാധാരണ ഫലമാണ്.
പേര് ആരു നിയന്ത്രിക്കുന്നു, ക്ലയന്റ് എന്ത് പരിശോധിക്കുന്നു
സോണിന്മേലുള്ള നിയന്ത്രണം മൈഗ്രേഷന് എത്ര വേഗം നീങ്ങാം എന്ന് തീരുമാനിക്കുന്നു. നിങ്ങൾക്ക് ലോഗിൻ ചെയ്യാൻ കഴിയുന്ന ഒരു രജിസ്ട്രാറിൽ റെക്കോർഡ് സൂക്ഷിക്കുക, അത് മാറ്റാൻ മറ്റാർക്ക് കഴിയും എന്ന് എഴുതിവയ്ക്കുക.
വിശ്വാസം പേരിനെ പിന്തുടരുന്നില്ല. TLS അടിസ്ഥാനമാക്കിയ ക്ലയന്റിന് സർട്ടിഫിക്കറ്റ് ഐഡന്റിറ്റിയോ പിൻ ചെയ്ത പേരോ പരിശോധിക്കാം, അതേസമയം WireGuard പിയറിന്റെ പൊതു കീ പ്രാമാണീകരിക്കുകയും ഹോസ്റ്റ്നെയിം പൂർണ്ണമായി അവഗണിക്കുകയും ചെയ്യുന്നു. ആ വ്യത്യാസമാണ് DNS എഡിറ്റിംഗ് മതിയോ അതോ ഓരോ പ്രൊഫൈലിനും പുതിയ വിരലടയാളം വേണോ എന്ന് തീരുമാനിക്കുന്നത്. റെക്കോർഡ് മാറ്റം ആരും അംഗീകരിക്കാത്ത ഒരു എൻഡ്പോയിന്റിന് ഒരിക്കലും അധികാരം നൽകരുത്.
അഡ്മിനിസ്ട്രേറ്റീവ്, വീണ്ടെടുപ്പ് പ്രവേശനം പൊതു ക്ലയന്റ് പേരിൽ നിന്ന് അകറ്റി നിർത്തുക. ഹോസ്റ്റിംഗ് അക്കൗണ്ട് നഷ്ടപ്പെടുന്നത് ക്ലയന്റുകളെ റീഡയറക്ട് ചെയ്യുന്ന റെക്കോർഡും നഷ്ടപ്പെടുത്തരുത്. നിങ്ങൾ വിട്ടുപോകുന്ന ദാതാവിനെ ആശ്രയിക്കാത്ത ഒരിടത്ത് വീണ്ടെടുപ്പ് പാത സൂക്ഷിക്കുക.
ഓരോ ക്ലയന്റും പേര് വീണ്ടും വായിക്കുന്നത് എപ്പോൾ
പരിഹരിക്കുന്ന സമയം ഓരോ ക്ലയന്റിന്റെയും സ്വഭാവമാണ്, അതിനാൽ മാറ്റ വിൻഡോ വാഗ്ദാനം ചെയ്യുന്നതിന് മുൻപ് നിങ്ങൾ യഥാർത്ഥത്തിൽ വിതരണം ചെയ്യുന്ന നടപ്പാക്കൽ പരിശോധിക്കുക. wg-quick ഇന്റർഫേസ് ഉയരുമ്പോൾ എൻഡ്പോയിന്റ് പരിഹരിക്കുകയും ടണൽ പുനരാരംഭിക്കുന്നതുവരെ ആ വിലാസം നിലനിർത്തുകയും ചെയ്യുന്നു. OpenVPN ക്ലയന്റ് കണക്ട് ചെയ്യുമ്പോൾ പേര് തിരയുന്നു, വീണ്ടും ബന്ധിപ്പിക്കുമ്പോൾ വീണ്ടും നോക്കുന്നുണ്ടോ എന്നത് അതിന്റെ ഓപ്ഷനുകളെ ആശ്രയിച്ചിരിക്കുന്നു.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
മൊബൈൽ ക്ലയന്റുകളാണ് സാധാരണ അത്ഭുതം, കാരണം അവ ഉറക്കത്തിലോ നെറ്റ്വർക്ക് മാറ്റത്തിലോ പരിഹരിച്ച വിലാസം നിലനിർത്തിയേക്കാം. A, AAAA റെക്കോർഡുകൾ പകരക്കാരൻ രണ്ട് കുടുംബങ്ങളിലും ഉത്തരം നൽകുന്നുവെങ്കിൽ മാത്രം പ്രസിദ്ധീകരിക്കുക. ഒരു കുടുംബത്തിൽ ഉത്തരം നൽകുന്ന വിലാസം മറ്റേതിനെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല, മരിച്ച AAAA റെക്കോർഡ് ഓരോ ശ്രമത്തിനും ഒരു സമയപരിധി ചേർക്കുന്നു. നിങ്ങൾ പിന്തുണയ്ക്കുന്ന ഓരോ ക്ലയന്റിനും പരിഹരിക്കൽ സ്വഭാവം രേഖപ്പെടുത്തുക, തുടർന്ന് ആളുകൾ യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന ഉപകരണങ്ങളിൽ പരീക്ഷിക്കുക.
വീണ്ടും ബന്ധിപ്പിക്കൽ മിക്ക ക്ലയന്റുകളിലും ഉപയോക്താവിന്റെ പ്രവർത്തനമാണ്, സർവറിന് അത് നിർബന്ധിക്കാനാവില്ല. ആ ഘട്ടം അറ്റകുറ്റപ്പണി കുറിപ്പിൽ ചേർക്കുക, അത് സംഭവിക്കുമ്പോൾ ഉപയോക്താവ് എന്ത് കാണും എന്ന ഒരു വരിയോടെ.
തെളിവിന്റെ അടിസ്ഥാനത്തിൽ മാറുക, പിന്നീട് പഴയ എൻഡ്പോയിന്റ് വിരമിക്കുക
മാറ്റത്തിന് മുൻപ് പകരക്കാരനിൽ ഓരോ പാളിയും തെളിയിക്കുക: ശ്രോതാവ് ഉത്തരം നൽകുന്നു, ഫയർവാൾ പോർട്ട് കടത്തിവിടുന്നു, റൂട്ടുകൾ ശരിയായി തിരികെ വരുന്നു, പേര് പുതിയ വിലാസത്തിലേക്ക് പരിഹരിക്കപ്പെടുന്നു, അറിയപ്പെടുന്ന ഐഡന്റിറ്റി സ്വീകരിക്കപ്പെടുന്നു. കണക്ഷൻ സ്വീകരിക്കുന്ന ശ്രോതാവ് ഹാൻഡ്ഷേക്ക് പൂർത്തിയാക്കുന്നതിന് തുല്യമല്ല, അതിനാൽ പോർട്ടല്ല, ഹാൻഡ്ഷേക്ക് പരീക്ഷിക്കുക. നിലവിലെ റദ്ദാക്കൽ പട്ടിക കോൺഫിഗറേഷന് അരികിൽ സൂക്ഷിക്കുക, കാരണം പുനഃസ്ഥാപിച്ച ബാക്കപ്പ് പിയർ പട്ടിക മുൻപുണ്ടായിരുന്നതുപോലെ വീണ്ടും സൃഷ്ടിക്കുകയും നിങ്ങൾ ഇതിനകം അടച്ച പ്രവേശനം വീണ്ടും തുറക്കുകയും ചെയ്യും. ഏത് ഐഡന്റിറ്റിയോടെ പരീക്ഷിച്ചു എന്ന് രേഖപ്പെടുത്തുക, കാരണം «ഇത് പ്രവർത്തിക്കുന്നു» എന്നത് ആർക്കും ആവർത്തിക്കാവുന്ന തെളിവല്ല.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesമാറ്റത്തിനിടയിൽ, ഒരേ ഐഡന്റിറ്റിക്കായി രണ്ട് എൻഡ്പോയിന്റുകളിലും കണക്ഷൻ ശ്രമങ്ങൾ നിരീക്ഷിക്കുക. പഴയ വിലാസത്തിനെതിരെ ഇപ്പോഴും പ്രാമാണീകരിക്കുന്ന ക്ലയന്റ് ഒരിക്കലും നീങ്ങാത്ത ഒരു പ്രൊഫൈലോ കാഷ് ചെയ്ത ഉത്തരമോ ആണ്. തീയതിയിട്ട പദ്ധതി പ്രകാരം പഴയ എൻഡ്പോയിന്റ് വിരമിക്കുക, കാരണം ഒരു ഐഡന്റിറ്റി സ്വീകരിക്കുന്ന രണ്ട് സേവനങ്ങൾ രണ്ട് വാതിലുകൾ തുറന്നിടുന്നു.
മാറ്റ പരീക്ഷണം പുതിയ എൻഡ്പോയിന്റിലൂടെയുള്ള ഒരു ആപ്ലിക്കേഷൻ സെഷനാണ്, പിംഗ് അല്ല. ആ സെഷൻ പ്രവർത്തിക്കുകയും പഴയ എൻഡ്പോയിന്റ് ഒരു പൂർണ്ണ വീണ്ടും ബന്ധിപ്പിക്കൽ ചക്രത്തിൽ ഒരു അധികൃത ശ്രമവും രേഖപ്പെടുത്താതിരിക്കുകയും ചെയ്താൽ, നീക്കം പൂർത്തിയായി.