VPN нийлүүлэгчийг солих: зөвхөн IP биш, хост нэрийг төлөвлө
Шинэ DNS бичлэг одоо байгаа сессийг зөөхгүй. Нэрийг хэн удирдах, клиент бүр түүнийг хэзээ шийдэх, хуучин төгсгөлийн цэгийг хэрхэн зогсоохыг төлөвлө.
Таны DNS бичлэг зөв, орлуулагч эрүүл, гэвч зарим клиент хуучин хаягийг цагаар залгадаг. Цөөн хэд нь шийдэгддэг ч хэзээ ч хариу өгдөггүй нэрний эсрэг шууд бүтэлгүйтдэг. Хоёр үр дүн нэг цоорхойноос гардаг: хост нэр нь клиент юу хайдгийг өөрчилдөг, хэзээ хайдгийг биш, хариу ирэхэд юунд итгэдгийг ч биш.
Шинж тэмдэг: зөв бичлэг, хуучирсан туннель
Нэр хадгалдаг профайл түүнийг байнга шийддэг клиент биш. Ихэнх нь нэг удаа шийддэг — тохиргоог хэрэглэх үед эсвэл туннель өргөгдөх үед — дараа нь сесс дуустал тэр хаягийг дахин ашигладаг. Дээр нь овоолсон урт TTL нь шилжилтийг DNS засварын эргэн тойронд биш, дахин холбогдлын эргэн тойронд төлөвлөх ёстойн шалтгаан.
Эдгээр хоёр зан төлөвийн аль нь ч гэмтэл биш, яг үүнээс шинж тэмдэг будлиантай болдог. Клиент өмнө авсан хариугаар ажиллаж байгаа бөгөөд серверийн талд тэр аль хариу байсныг харуулах зүйл байхгүй. Дахин холбогдлыг засвар үйлчилгээний цонхонд оруулж, хэрэглэгчдэд юу харахыг нь хэл, эсвэл цонхыг тасалбарт хариулахдаа зарцуул. Ижил тайлангуудын дараалал бол ердийн үр дүн.
Нэрийг хэн удирдах, клиент юуг шалгах
Бүсийн хяналт нүүдэл хэр хурдан явахыг тодорхойлно. Бичлэгийг нэвтрэх боломжтой бүртгэгчид байлгаж, өөр хэн өөрчилж болохыг бичиж аваарай.
Итгэл нэрийг дагадаггүй. TLS-д суурилсан клиент гэрчилгээний таних эсвэл бэхэлсэн нэрийг шалгаж болох бол WireGuard хамтрагчийн нийтийн түлхүүрийг баталгаажуулж, хост нэрийг бүрэн үл хэрэгсдэг. Энэ ялгаа нь DNS засвар хангалттай эсэх, эсвэл профайл бүрт шинэ хурууны хээ хэрэгтэй эсэхийг шийддэг. Бичлэгийн өөрчлөлт хэзээ ч хэн ч зөвшөөрөөгүй төгсгөлийн цэгийг зөвшөөрөх ёсгүй.
Захиргааны болон сэргээх хандалтыг олон нийтийн клиент нэрээс хол байлга. Хостингийн бүртгэлээ алдах нь клиентүүдийг чиглүүлдэг бичлэгээ ч алдах шалтгаан болох ёсгүй. Сэргээх замыг орхиж буй нийлүүлэгчээс хамааралгүй газар хадгал.
Клиент бүр нэрийг хэзээ дахин уншдаг
Шийдэх хугацаа нь клиент бүрийн шинж чанар тул шилжилтийн цонх амлахын өмнө бодитоор түгээж буй хэрэгжүүлэлтээ шалга. wg-quick интерфейс өргөгдөх үед төгсгөлийн цэгийг шийдэж, туннель дахин эхлэх хүртэл тэр хаягийг хадгална. OpenVPN клиент холбогдох үед нэрийг хайдаг бөгөөд дахин холбогдох үед дахин харах эсэх нь түүний сонголтоос хамаарна.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Гар утасны клиентүүд ердийн гэнэтийн зүйл, учир нь тэд унтах эсвэл сүлжээ солигдох үед шийдэгдсэн хаягийг хадгалж чадна. A болон AAAA бичлэгийг орлуулагч хоёр гэр бүлд хоёуланд нь хариу өгсөн тохиолдолд л нийтэл. Нэг гэр бүлд хариу өгдөг хаяг нөгөөгийн талаар юу ч нотолдоггүй бөгөөд үхсэн AAAA бичлэг оролдлого бүрт хугацааны хязгаар нэмдэг. Дэмжиж буй клиент бүрийн шийдэх зан төлөвийг баримтжуулж, дараа нь хүмүүсийн бодитоор ашигладаг төхөөрөмжүүд дээр туршиж үз.
Дахин холбогдол ихэнх клиентэд хэрэглэгчийн үйлдэл бөгөөд сервер үүнийг албадах боломжгүй. Тэр алхмыг засвар үйлчилгээний тэмдэглэлд оруулж, тохиолдох үед хэрэглэгч юу харахыг нэг мөрөөр бич.
Нотолгоонд үндэслэн шилжиж, дараа нь хуучин төгсгөлийн цэгийг зогсоо
Шилжихээс өмнө орлуулагч дээр давхарга бүрийг нотол: сонсогч хариу өгнө, галт хана портыг нэвтрүүлнэ, маршрутууд зөв буцаж ирнэ, нэр шинэ хаяг руу шийдэгдэж, мэдэгдэх таних нэгдэнэ. Холболт хүлээж авдаг сонсогч гар барилтыг дуусгадагтай ижил биш тул портыг биш, гар барилтыг турш. Одоогийн хүчингүй болгох жагсаалтыг тохиргооны хажууд байлга, учир нь сэргээсэн нөөц хуулбар хамтрагчийн жагсаалтыг урьдын адил дахин бүрдүүлж, аль хэдийн хаасан хандалтыг дахин нээх байсан. Ямар танихтай туршсанаа бичиж аваарай, учир нь «ажиллаж байна» бол хэн ч давтаж чадах нотолгоо биш.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesШилжилтийн үеэр нэг танихын хувьд хоёр төгсгөлийн цэг дээрх холболтын оролдлогыг ажигла. Хуучин хаягийн эсрэг одоо ч баталгаажуулж буй клиент бол хэзээ ч зөөгдөөгүй профайл эсвэл кэшлэсэн хариу юм. Хуучин төгсгөлийн цэгийг огноотой төлөвлөгөөгөөр зогсоо, учир нь нэг танихыг хүлээж авдаг хоёр үйлчилгээ хоёр хаалгыг нээлттэй үлдээдэг.
Шилжилтийн туршилт бол шинэ төгсгөлийн цэгээр дамжсан програмын сесс, ping биш. Тэр сесс ажиллаж, хуучин төгсгөлийн цэг бүрэн дахин холбогдлын циклд нэг ч зөвшөөрөгдсөн оролдлого бүртгэхгүй бол нүүдэл дууссан.