VPN पुरवठादार बदलणे: फक्त IP नाही, होस्टनेमचे नियोजन करा
नवीन DNS रेकॉर्ड विद्यमान सत्रे हलवत नाही। नाव कोण नियंत्रित करते, प्रत्येक क्लायंट ते कधी सोडवतो आणि तुम्ही जुना एंडपॉइंट कसा निवृत्त कराल याचे नियोजन करा।
तुमचे DNS रेकॉर्ड बरोबर आहे, बदली निरोगी आहे, आणि तरीही काही क्लायंट तासन्तास जुन्या पत्त्यावर डायल करतात। काही सोडवले जाणाऱ्या आणि कधीही उत्तर न देणाऱ्या नावावर लगेच अपयशी होतात। दोन्ही निकाल एकाच पोकळीतून येतात: होस्टनेम क्लायंट काय शोधतो हे बदलते, तो ते कधी शोधतो हे नाही, आणि उत्तर आल्यावर तो कशावर विश्वास ठेवतो हेही नाही।
लक्षण: बरोबर रेकॉर्ड, जुनी सुरुंगे
नाव साठवणारी प्रोफाइल ते सतत सोडवणारा क्लायंट नाही। बहुतेक एकदाच सोडवतात, कॉन्फिगरेशन लागू करताना किंवा सुरुंग वर येताना, आणि नंतर सत्र संपेपर्यंत तोच पत्ता पुन्हा वापरतात। त्यावर लांब TTL असणे हेच कारण आहे की बदल DNS संपादनाभोवती नाही, तर पुन्हा जोडण्यांभोवती नियोजित करावा लागतो।
दोन्हीपैकी कोणतेही वर्तन दोष नाही, आणि यामुळेच लक्षण गोंधळात टाकणारे होते। क्लायंट पूर्वी मिळालेल्या उत्तरावर काम करत आहे, आणि सर्व्हरच्या बाजूला ते कोणते उत्तर होते हे दाखवणारे काहीही नाही। पुन्हा जोडणी देखभाल विंडोमध्ये समाविष्ट करा आणि वापरकर्त्यांना काय दिसेल ते सांगा, किंवा विंडो तिकिटांना उत्तर देण्यात घालवा। एकसारख्या अहवालांची रांग हा नेहमीचा निकाल असतो।
नाव कोण नियंत्रित करते आणि क्लायंट काय पडताळतो
झोनवरील नियंत्रण ठरवते की स्थलांतर किती वेगाने पुढे जाऊ शकते। रेकॉर्ड अशा नोंदणीकर्त्याकडे ठेवा जिथे तुम्ही लॉग इन करू शकता, आणि आणखी कोण ते बदलू शकते ते लिहून ठेवा।
विश्वास नावाच्या मागे जात नाही। TLS-आधारित क्लायंट प्रमाणपत्राची ओळख किंवा पिन केलेले नाव तपासू शकतो, तर WireGuard सहकाऱ्याची सार्वजनिक की प्रमाणित करते आणि होस्टनेम पूर्णपणे दुर्लक्षित करते। हा फरकच ठरवतो की DNS संपादन पुरेसे आहे की प्रत्येक प्रोफाइलला नवीन बोटांचा ठसा हवा। रेकॉर्ड बदलाने कधीही अशा एंडपॉइंटला अधिकृत करू नये ज्याला कोणी मंजूरी दिली नाही।
प्रशासकीय आणि पुनर्प्राप्ती प्रवेश सार्वजनिक क्लायंट नावापासून दूर ठेवा। होस्टिंग खाते गमावल्याने क्लायंटना पुनर्निर्देशित करणारे रेकॉर्डही गमावू नये। पुनर्प्राप्तीचा मार्ग अशा ठिकाणी साठवा जो तुम्ही सोडत असलेल्या पुरवठादारावर अवलंबून नसेल।
प्रत्येक क्लायंट नाव कधी पुन्हा वाचतो
सोडवण्याची वेळ प्रत्येक क्लायंटची वैशिष्ट्य आहे, म्हणून बदलाच्या विंडोचे वचन देण्यापूर्वी तुम्ही खरोखर वितरित करता ती अंमलबजावणी तपासा। wg-quick इंटरफेस वर येताना एंडपॉइंट सोडवते आणि सुरुंग पुन्हा सुरू होईपर्यंत तो पत्ता ठेवते। OpenVPN क्लायंट जोडताना नाव शोधतो, आणि पुन्हा जोडणीत तो पुन्हा पाहतो का हे त्याच्या पर्यायांवर अवलंबून असते।
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
मोबाइल क्लायंट हे नेहमीचे आश्चर्य आहेत, कारण ते झोप किंवा नेटवर्क बदलाच्या काळात सोडवलेला पत्ता ठेवू शकतात। A आणि AAAA रेकॉर्ड तेव्हाच प्रकाशित करा जेव्हा बदली दोन्ही कुटुंबांमध्ये उत्तर देते। एका कुटुंबात उत्तर देणारा पत्ता दुसऱ्याबद्दल काहीही सिद्ध करत नाही, आणि मृत AAAA रेकॉर्ड प्रत्येक प्रयत्नात कालमर्यादा जोडते। तुम्ही समर्थन देता त्या प्रत्येक क्लायंटसाठी सोडवण्याचे वर्तन दस्तऐवजीकृत करा, नंतर लोक खरोखर वापरतात त्या उपकरणांवर चाचणी करा।
पुन्हा जोडणी बहुतेक क्लायंटमध्ये वापरकर्त्याची क्रिया आहे, आणि सर्व्हर ती लादू शकत नाही। ती पायरी देखभाल टीपमध्ये ठेवा, ती घडल्यावर वापरकर्त्याला काय दिसेल याबद्दल एक ओळीसह।
पुराव्याच्या आधारे बदला, नंतर जुना एंडपॉइंट निवृत्त करा
बदलण्यापूर्वी बदलीवर प्रत्येक स्तर सिद्ध करा: श्रोता उत्तर देतो, फायरवॉल पोर्ट पास करू देतो, मार्ग योग्यरित्या परत येतात, नाव नवीन पत्त्यावर सोडवले जाते, आणि ज्ञात ओळख स्वीकारली जाते। कनेक्शन स्वीकारणारा श्रोता हातमिळवणी पूर्ण करणाऱ्यासारखा नसतो, म्हणून पोर्ट नाही, हातमिळवणीची चाचणी करा। सध्याची रद्दीकरण यादी कॉन्फिगरेशनजवळ ठेवा, कारण पुनर्संचयित बॅकअप सहकाऱ्यांची यादी पूर्वीप्रमाणेच पुन्हा तयार करतो आणि तुम्ही आधीच बंद केलेला प्रवेश पुन्हा उघडेल। तुम्ही कोणत्या ओळखीने चाचणी केली ते नोंदवा, कारण «हे चालते» हा असा पुरावा नाही जो कोणी पुन्हा करू शकेल।
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesसंक्रमणादरम्यान, त्याच ओळखीसाठी दोन्ही एंडपॉइंटवरील कनेक्शन प्रयत्नांचे निरीक्षण करा। जुन्या पत्त्याविरुद्ध अजूनही प्रमाणित होणारा क्लायंट म्हणजे कधीही हलला नाही अशी प्रोफाइल किंवा कॅशे केलेले उत्तर। जुना एंडपॉइंट तारखेच्या योजनेनुसार निवृत्त करा, कारण एक ओळख स्वीकारणाऱ्या दोन सेवा दोन दरवाजे उघडे ठेवतात।
बदलाची चाचणी नवीन एंडपॉइंटमधून होणारे अनुप्रयोग सत्र आहे, पिंग नाही। ते सत्र चालले आणि जुन्या एंडपॉइंटने संपूर्ण पुन्हा जोडणी चक्रात एकही अधिकृत प्रयत्न नोंदवला नाही, तर स्थलांतर पूर्ण झाले।