VPN प्रदायक बदल्नु: IP मात्र होइन, होस्टनेमको योजना बनाउनु
नयाँ DNS रेकर्डले विद्यमान सत्रहरू सार्दैन। नाम कसले नियन्त्रण गर्छ, प्रत्येक क्लाइन्टले यो कहिले समाधान गर्छ र तपाईंले पुरानो अन्तबिन्दु कसरी अवकाश दिनुहुन्छ योजना बनाउनु।
तपाईंको DNS रेकर्ड सही छ, प्रतिस्थापन स्वस्थ छ, र तैपनि केही क्लाइन्ट घण्टौं पुरानो ठेगानामा डायल गर्छन्। केही समाधान हुने र कहिल्यै जवाफ नदिने नाममा तुरुन्तै असफल हुन्छन्। दुवै नतिजा एउटै खालीपनबाट आउँछन्: होस्टनेमले क्लाइन्टले के खोज्छ भन्ने परिवर्तन गर्छ, कहिले खोज्छ भन्ने होइन, र जवाफ आउँदा केमा भरोसा गर्छ भन्ने पनि होइन।
लक्षण: सही रेकर्ड, पुराना सुरुङ
नाम भण्डारण गर्ने प्रोफाइल त्यसलाई निरन्तर समाधान गर्ने क्लाइन्ट होइन। अधिकांशले एक पटक समाधान गर्छन्, कन्फिगरेसन लागू गर्दा वा सुरुङ माथि आउँदा, र त्यसपछि सत्र सकिएसम्म त्यही ठेगाना पुनः प्रयोग गर्छन्। त्यसमाथि लामो TTL हुनु नै कारण हो कि परिवर्तन DNS सम्पादनको वरिपरि होइन, पुनः जडानहरूको वरिपरि योजना बनाउनुपर्छ।
दुवै व्यवहारमध्ये कुनै पनि दोष होइन, र यसैले लक्षणलाई भ्रमित बनाउँछ। क्लाइन्ट पहिले प्राप्त गरेको जवाफमा काम गरिरहेको छ, र सर्भरको तर्फ त्यो कुन जवाफ थियो भनेर देखाउने केही छैन। पुनः जडानलाई मर्मत विन्डोमा समावेश गर्नु र प्रयोगकर्तालाई के देख्नेछन् भन्नु, वा विन्डो टिकटको जवाफ दिनमा बिताउनु। एउटै प्रकारका रिपोर्टको लाइन सामान्य नतिजा हो।
नाम कसले नियन्त्रण गर्छ, र क्लाइन्टले के प्रमाणित गर्छ
जोनमाथिको नियन्त्रणले स्थानान्तरण कति छिटो अघि बढ्न सक्छ भन्ने निर्धारण गर्छ। रेकर्ड त्यस्तो दर्ताकर्तामा राख्नु जहाँ तपाईं लग इन गर्न सक्नुहुन्छ, र अरू कसले यो परिवर्तन गर्न सक्छ लेख्नु।
विश्वास नामको पछि जाँदैन। TLS-आधारित क्लाइन्टले प्रमाणपत्रको पहिचान वा पिन गरिएको नाम जाँच्न सक्छ, जबकि WireGuard साथीको सार्वजनिक कुञ्जी प्रमाणित गर्छ र होस्टनेमलाई पूर्ण रूपमा बेवास्ता गर्छ। यही भिन्नताले DNS सम्पादन पर्याप्त छ कि प्रत्येक प्रोफाइललाई नयाँ औंलाको छाप चाहिन्छ भन्ने निर्धारण गर्छ। रेकर्ड परिवर्तनले कहिल्यै कसैले स्वीकृत नगरेको अन्तबिन्दुलाई अधिकृत गर्नु हुँदैन।
प्रशासनिक र पुनःप्राप्ति पहुँचलाई सार्वजनिक क्लाइन्ट नामबाट टाढा राख्नु। होस्टिङ खाता गुमाउँदा क्लाइन्टहरूलाई पुनर्निर्देशित गर्ने रेकर्ड पनि गुम्नु हुँदैन। पुनःप्राप्ति मार्गलाई तपाईंले छोड्नुभएको प्रदायकमा निर्भर नहुने ठाउँमा भण्डारण गर्नु।
प्रत्येक क्लाइन्टले नाम कहिले पुनः पढ्छ
समाधानको समय प्रत्येक क्लाइन्टको गुण हो, त्यसैले परिवर्तन विन्डोको वाचा गर्नुअघि तपाईंले साँच्चै वितरण गर्ने कार्यान्वयन जाँच्नु। wg-quick इन्टरफेस माथि आउँदा अन्तबिन्दु समाधान गर्छ र सुरुङ पुनः सुरु नभएसम्म त्यो ठेगाना राख्छ। OpenVPN क्लाइन्ट जडान गर्दा नाम खोज्छ, र पुनः जडानमा फेरि हेर्छ कि हुँदैन त्यो यसका विकल्पहरूमा निर्भर गर्छ।
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
मोबाइल क्लाइन्टहरू सामान्य आश्चर्य हुन्, किनकि तिनीहरूले निद्रा वा सञ्जाल परिवर्तनको क्रममा समाधान गरिएको ठेगाना राख्न सक्छन्। A र AAAA रेकर्डहरू तब मात्र प्रकाशित गर्नु जब प्रतिस्थापन दुवै परिवारमा जवाफ दिन्छ। एउटा परिवारमा जवाफ दिने ठेगानाले अर्कोबारे केही प्रमाणित गर्दैन, र मृत AAAA रेकर्डले प्रत्येक प्रयासमा समयसीमा थप्छ। तपाईंले समर्थन गर्नुभएको प्रत्येक क्लाइन्टका लागि समाधान व्यवहार दस्तावेज गर्नु, त्यसपछि मानिसहरूले साँच्चै प्रयोग गर्ने उपकरणहरूमा परीक्षण गर्नु।
पुनः जडान अधिकांश क्लाइन्टमा प्रयोगकर्ताको क्रिया हो, र सर्भरले यसलाई बाध्य गर्न सक्दैन। त्यो चरण मर्मत टिप्पणीमा राख्नु, त्यो हुँदा प्रयोगकर्ताले के देख्नेछ भन्ने एक लाइनसहित।
प्रमाणको आधारमा परिवर्तन गर्नु, त्यसपछि पुरानो अन्तबिन्दु अवकाश दिनु
परिवर्तनअघि प्रतिस्थापनमा प्रत्येक तह प्रमाणित गर्नु: श्रोता जवाफ दिन्छ, फायरवालले पोर्ट पास गर्न दिन्छ, मार्गहरू सही रूपमा फर्कन्छन्, नाम नयाँ ठेगानामा समाधान हुन्छ, र ज्ञात पहिचान स्वीकार गरिन्छ। जडान स्वीकार गर्ने श्रोता हात मिलाउने कार्य पूरा गर्ने जस्तै होइन, त्यसैले पोर्ट होइन, हात मिलाउने परीक्षण गर्नु। हालको रद्दीकरण सूची कन्फिगरेसनको छेउमा राख्नु, किनकि पुनःस्थापित ब्याकअपले साथी सूची पहिले जस्तै पुनः सिर्जना गर्छ र तपाईंले पहिले नै बन्द गरेको पहुँच पुनः खोल्नेछ। तपाईंले कुन पहिचानसँग परीक्षण गर्नुभयो लेख्नु, किनकि «यो चल्छ» भन्ने प्रमाण होइन जो कोहीले दोहोर्याउन सक्छ।
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesसंक्रमणको क्रममा, एउटै पहिचानका लागि दुवै अन्तबिन्दुमा जडान प्रयासहरू निगरानी गर्नु। पुरानो ठेगानाविरुद्ध अझै प्रमाणित हुने क्लाइन्ट प्रोफाइल वा क्यास गरिएको जवाफ हो जो कहिल्यै सरेन। पुरानो अन्तबिन्दुलाई मिति भएको योजनाअनुसार अवकाश दिनु, किनकि एउटै पहिचान स्वीकार गर्ने दुई सेवाहरूले दुई ढोका खुला राख्छन्।
परिवर्तनको परीक्षण नयाँ अन्तबिन्दुबाट हुने अनुप्रयोग सत्र हो, पिङ होइन। त्यो सत्र चलेपछि र पुरानो अन्तबिन्दुले पूर्ण पुनः जडान चक्रमा कुनै अधिकृत प्रयास लग नगरेपछि, स्थानान्तरण सकिएको छ।