WireGuard masih menggunakan titik akhir lama selepas perubahan DNS

Terowong berhenti menyalurkan trafik selepas rekod DNS pelayan berpindah, sedangkan nama itu diuraikan dengan betul daripada mesin yang sama. Kedua-dua fakta itu tidak bercanggah. Konfigurasi WireGuard menyimpan satu titik akhir, dan alat mengurai nama pada saat ia menggunakan konfigurasi itu, jadi antara muka yang sedang berjalan boleh terus menggunakan alamat yang diambilnya beberapa jam lalu. Semak apa yang digunakan oleh antara muka sebelum anda menggantikan kunci atau menyentuh julat terowong.

Nama diurai sekali sahaja, bukan berterusan

Konfigurasi asas WireGuard menerima titik akhir sebagai alamat dan port, dan alat yang menaikkan antara muka mengurai nama hos pada saat itu. Tiada apa-apa dalam protokol asas yang bertanya kepada DNS mengikut jadual, dan aplikasi klien boleh menambah tingkah laku penyegaran sendiri di atasnya. Merekod alamat yang diurai, keluarga dan port di sebelah nama menjadikan jurang itu kelihatan. Tanpa rekod itu konfigurasi kelihatan betul sedangkan antara muka bercakap dengan tempat lain.

Ada satu kemas kini automatik yang sebenar, dan ia wajar diketahui kerana ia menyerupai penyegaran DNS tanpa benar-benar begitu. Titik akhir rakan sebaya boleh berpindah apabila trafik yang disahkan dengan betul tiba dari alamat baharu, iaitu perayauan dan bukan penguraian nama. Ia mengikut rakan sebaya itu, jadi ia tidak boleh menemui pelayan baharu yang tidak berkaitan yang tidak pernah dihubungi oleh titik akhir lama.

Bandingkan rekod dengan alamat yang sedang digunakan

Tanyakan nama berdokumen melalui penyelesai yang digunakan oleh klien, kemudian tanyakan kepada antara muka titik akhir mana yang dipegangnya. Kedua-dua jawapan itulah perbandingan yang menentukan baki halaman ini:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Halaman manual wg(8) mendokumenkan subperintah show yang digunakan oleh baris-baris ini. Bandingkan juga keluarga alamat, bukan alamat sahaja, kerana rekod yang memperoleh entri IPv6 ialah perbandingan berbeza daripada rekod yang alamat IPv4-nya berubah. Jika titik akhir berbeza daripada rekod, antara muka berjalan dengan maklumat lapuk dan nama itu tidak pernah menjadi masalahnya. Jika kedua-duanya sepadan dan terowong masih gagal, beralihlah kepada pendengar dan peraturan, bukan kepada profil.

Cap masa jabat tangan berada dalam blok itu kerana titik akhir sahaja tidak menyatakan sama ada rakan sebaya boleh dicapai. Cap masa lapuk di sebelah titik akhir yang betul ialah masalah laluan, bukan masalah penguraian, dan perbezaan itu mengubah apa yang anda sentuh seterusnya.

Mulakan semula melalui pengurus antara muka

Setelah titik akhir disahkan lapuk, segarkan semula melalui mekanisme yang memiliki antara muka itu dan bukannya menyunting konfigurasi yang sedang berjalan. Bagi antara muka yang dimulakan oleh wg-quick itu ialah turun dan naik, bagi unit systemd itu ialah mula semula, dan bagi antara muka milik pengurus itu ialah perubahan yang dibuat dalam pengurus itu, kerana suntingan semasa berjalan ditimpa pada penggunaan seterusnya:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Kemudian sahkan bahawa pendengar pengganti dan identitinya ialah perkhidmatan yang anda maksudkan. Perpindahan DNS bukan perubahan identiti, jadi ia tidak sepatutnya menjadi kesempatan untuk mempercayai kunci yang belum anda sahkan. Jika antara muka kini melaporkan alamat baharu dan masih tidak menghasilkan jabat tangan, kerosakan telah berpindah ke laluan rangkaian atau pendengar baharu, yang merupakan kemajuan dan bukan kerosakan yang sama dua kali.

Jabat tangan dahulu, kemudian laluan data

Asingkan kedua-dua hasil sebelum memilih senarai semak. Jabat tangan yang berjaya di bawah aplikasi yang gagal ialah masalah laluan data: laluan, awalan yang dibenarkan atau DNS di dalam terowong. Jabat tangan yang tidak pernah berlaku ialah masalah kebolehcapaian atau identiti pada titik akhir. Mencampurkan keduanya menghasilkan laporan yang tiada siapa dapat menghasilkan semula dan log perubahan dengan tiga suntingan tidak berkaitan.

Catat nama, alamat yang diurai, titik akhir yang digunakan dan sama ada jabat tangan selesai. Keempat-empat fakta itu menjawab soalan yang sentiasa diajukan oleh kerosakan ini, dan menjadikan kejadian seterusnya pemeriksaan dua minit. Penyelenggaraan nama dan penerimaan klien kekal sebagai kerja berasingan: membetulkan rekod tidak melakukan penerimaan, dan memulakan semula antara muka tidak membaiki rekod yang masih salah.