Bdil ta' fornitur VPN: ippjana l-isem tal-host, mhux biss l-IP
Rekord DNS ġdid ma jċaqlaqx is-sessjonijiet eżistenti. Ippjana min jikkontrolla l-isem, meta kull klijent jiżviluppah u kif se tirtira l-punt tat-tarf l-antik.
Ir-rekord DNS tiegħek huwa korrett, is-sostitut huwa b'saħħtu, u madankollu xi klijenti jqattgħu sigħat idellu l-indirizz antik. Ftit jonqsu minnufih kontra isem li jiġi riżolt u qatt ma jwieġeb. Iż-żewġ riżultati ġejjin minn vojt wieħed: l-isem tal-host ibiddel dak li klijent ifittex, mhux meta jfittxuh, u lanqas dak li jafda meta tasal it-tweġiba.
Is-sintomu: rekord korrett, tunelli antikwati
Profil li jaħżen isem mhuwiex klijent li jibqa' jiżviluppah. Il-biċċa l-kbira jiżviluppawh darba, meta tiġi applikata l-konfigurazzjoni jew meta jogħla t-tunell, u mbagħad jużaw dak l-indirizz mill-ġdid sa tmiem is-sessjoni. TTL twil imqiegħed fuq dan huwa r-raġuni għaliex il-bdil għandu jiġi ppjanat madwar konnessjonijiet mill-ġdid u mhux madwar l-editjar tad-DNS.
L-ebda waħda miż-żewġ imġiba mhi difett, u dan huwa eżattament dak li jagħmel is-sintomu konfuż. Il-klijent qed jaħdem b'tweġiba li kiseb qabel, u xejn fuq in-naħa tas-server ma juri liema tweġiba kienet. Ippjana l-konnessjoni mill-ġdid fit-tieqa tal-manutenzjoni u għid lill-utenti x'se jaraw, jew qatta' t-tieqa twieġeb biljetti. Ringiela ta' rapporti identiċi hija r-riżultat tas-soltu.
Min jikkontrolla l-isem, u x'jivverifika l-klijent
Il-kontroll fuq iż-żona jiddeċiedi kemm malajr tista' timxi migrazzjoni. Żomm ir-rekord għand reġistratur li tista' tidħol fih, u ikteb min ieħor jista' jibdlu.
Il-fiduċja ma ssegwix l-isem. Klijent ibbażat fuq TLS jista' jivverifika identità ta' ċertifikat jew isem imwaħħal, filwaqt li WireGuard jawtentika l-muftieħ pubbliku tal-pari u jinjora għal kollox l-isem tal-host. Dik id-differenza tiddeċiedi jekk hijiex biżżejjed editjar tad-DNS jew jekk kull profil jeħtieġ marka tas-swaba' ġdida. Bidla fir-rekord m'għandhiex qatt tawtorizza punt tat-tarf li ħadd ma approva.
Żomm aċċess amministrattiv u aċċess ta' rkupru 'l bogħod mill-isem pubbliku tal-klijent. Li titlef kont tal-hosting m'għandux ukoll jiswielek ir-rekord li jidderieġi lill-klijenti. Aħżen il-passaġġ tal-irkupru x'imkien li ma jiddependix mill-fornitur li qed tħalli.
Meta kull klijent jerġa' jaqra l-isem
Il-ħin tar-riżoluzzjoni huwa proprjetà ta' kull klijent, għalhekk iċċekkja l-implimentazzjoni li tassew twassal qabel ma twiegħed tieqa ta' bdil. wg-quick jiżviluppa l-punt tat-tarf meta jogħla l-interface u jżomm dak l-indirizz sakemm it-tunell jerġa' jibda. Klijent OpenVPN ifittex l-isem meta jgħaqqad, u jekk jerġax iħares waqt konnessjoni mill-ġdid jiddependi mill-għażliet tiegħu.
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
Il-klijenti mobbli huma s-sorpriża tas-soltu, għax jistgħu jżommu indirizz riżolt matul irqad jew bidla fin-netwerk. Ippubblika rekords A u AAAA biss jekk is-sostitut iwieġeb fiż-żewġ familji. Indirizz li jwieġeb f'familja waħda ma jipprova xejn dwar l-oħra, u rekord AAAA mejjet iżid timeout ma' kull tentattiv. Iddokumenta l-imġiba tar-riżoluzzjoni għal kull klijent li tappoġġja, imbagħad ittestja fuq it-tagħmir li n-nies tassew jużaw.
Konnessjoni mill-ġdid hija azzjoni tal-utent fil-biċċa l-kbira tal-klijenti, u s-server ma jistax jimponiha. Qiegħed dak il-pass fin-nota tal-manutenzjoni, b'linja dwar x'se jara l-utent meta jiġri.
Aqbeż fuq bażi ta' provi, imbagħad irtira l-punt tat-tarf l-antik
Qabel il-bdil, ipprova kull saff fis-sostitut: is-semmiegħa twieġeb, il-firewall tgħaddi l-port, ir-rotot jerġgħu lura kif suppost, l-isem jiġi riżolt għall-indirizz il-ġdid, u identità magħrufa tiġi aċċettata. Semmiegħa li taċċetta konnessjoni mhijiex l-istess bħal waħda li tlesti handshake, għalhekk ittestja l-handshake u mhux il-port. Żomm il-lista tar-revoka attwali ħdejn il-konfigurazzjoni, għax backup restawrat jerġa' joħloq il-lista tal-pari kif kienet u jerġa' jiftaħ aċċess li diġà għalaqt. Irreġistra b'liema identità ttestjajt, għax «jaħdem» mhix prova li xi ħadd jista' jirrepeti.
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesMatul il-bdil, osserva t-tentattivi ta' konnessjoni fiż-żewġ punti tat-tarf għall-istess identità. Klijent li għadu jawtentika kontra l-indirizz antik huwa profil jew tweġiba fil-cache li qatt ma ċċaqalqet. Irtira l-punt tat-tarf l-antik skont pjan bid-data, għax żewġ servizzi li jaċċettaw identità waħda jħallu żewġ bibien miftuħa.
It-test tal-bdil huwa sessjoni ta' applikazzjoni mill-punt tat-tarf il-ġdid, mhux ping. Ladarba dik is-sessjoni taħdem u l-punt tat-tarf l-antik ma jirreġistrax tentattivi awtorizzati matul ċiklu sħiħ ta' konnessjoni mill-ġdid, it-tmexxija tkun spikkat.