Byt VPN-leverandør: planlegg vertsnamnet, ikkje berre IP-en

DNS-posten din er rett, erstatninga er sunn, og likevel brukar nokre klientar timar på å ringje den gamle adressa. Nokre få feilar med ein gong mot eit namn som blir slått opp og aldri svarar. Begge utfalla kjem frå eitt hol: eit vertsnamn endrar kva ein klient slår opp, ikkje når han slår det opp, og ikkje kva han stolar på når svaret kjem.

Symptomet: ein rett post, utdaterte tunnelar

Ein profil som lagrar eit namn, er ikkje ein klient som held fram med å slå det opp. Dei fleste slår det opp éin gong, når konfigurasjonen blir brukt eller når tunnelen kjem opp, og brukar deretter adressa til økta er over. Ein lang TTL på toppen er grunnen til at overgangen må planleggjast rundt attilkoplingar og ikkje rundt DNS-redigeringa.

Ingen av dei to åtferdene er ein feil, og det er nettopp det som gjer symptomet forvirrande. Klienten arbeider ut frå eit svar han fekk tidlegare, og ingenting på serversida viser kva svar det var. Planlegg attilkoplinga inn i vedlikehaldsvindauget og fortel brukarane kva dei vil sjå, eller bruk vindauget på å svare på saker. Ein kø av identiske rapportar er det vanlege resultatet.

Kven som kontrollerer namnet, og kva klienten verifiserer

Kontrollen over sona avgjer kor raskt ein migrasjon kan flytte seg. Hald posten hos ein registrar du kan logge på, og skriv ned kven andre som kan endre han.

Tillit følgjer ikkje namnet. Ein TLS-basert klient kan kontrollere ein sertifikatidentitet eller eit festa namn, medan WireGuard autentiserer den offentlege nøkkelen til motparten og ignorerer vertsnamnet heilt. Den skilnaden avgjer om ei DNS-redigering er nok, eller om kvar profil treng eit nytt fingeravtrykk. Ei postendring bør aldri autorisere eit endepunkt ingen har godkjent.

Hald administrativ tilgang og gjenopprettingstilgang borte frå det offentlege klientnamnet. Å miste ein hostingkonto bør ikkje også koste deg posten som omdirigerer klientar. Oppbevar gjenopprettingsvegen ein stad som ikkje er avhengig av leverandøren du forlèt.

Når kvar klient les namnet på nytt

Oppslagstidspunktet er ein eigenskap per klient, så undersøk implementasjonen du faktisk leverer før du lovar eit overgangsvindauge. wg-quick slår opp endepunktet når grensesnittet kjem opp, og held adressa til tunnelen blir starta på nytt. Ein OpenVPN-klient slår opp namnet når han koplar til, og om han ser igjen ved attilkopling, kjem an på vala hans.

Mobilklientar er den vanlege overraskinga, fordi dei kan halde ei oppslått adresse gjennom dvale eller eit nettverksbyte. Publiser A- og AAAA-postar berre viss erstatninga svarar på begge familiar. Ei adresse som svarar på éin familie, provar ingenting om den andre, og ein død AAAA-post legg til ein tidsavbrot på kvart forsøk. Dokumenter oppslagsåtferda for kvar klient du støttar, og test deretter på einingane folk faktisk brukar.

Ei attilkopling er ei brukarhandling i dei fleste klientar, og serveren kan ikkje tvinge henne. Skriv det trinnet i vedlikehaldsnotatet, med ei linje om kva brukaren vil sjå når det skjer.

Byt over på bevis, og avvikle deretter det gamle endepunktet

Før bytet må du bevise kvart lag på erstatninga: lyttaren svarar, brannmuren slepp porten gjennom, rutene går rett tilbake, namnet blir slått opp til den nye adressa, og ein kjend identitet blir godteken. Ein lyttar som godtek ei tilkopling, er ikkje det same som ein som fullfører eit handtrykk, så test handtrykket og ikkje porten. Hald den gjeldande tilbakekallingslista ved sida av konfigurasjonen, fordi ein gjenoppretta sikkerheitskopi gjenopprettar motpartlista slik ho var og ville opne tilgang du allereie har lukka. Noter kva identitet du testa med, fordi «det verkar» er ikkje eit bevis nokon kan gjenta.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Under overgangen, overvak tilkoplingsforsøk på begge endepunkta for same identitet. Ein klient som framleis autentiserer mot den gamle adressa, er ein profil eller eit bufra svar som aldri flytta seg. Avvikle det gamle endepunktet etter ein datert plan, fordi to tenester som godtek éin identitet, lèt to dører stå opne.

Overgangstesten er ei applikasjonsøkt gjennom det nye endepunktet, ikkje ein ping. Når den økta verkar og det gamle endepunktet ikkje loggar nokon autoriserte forsøk gjennom ein full attilkoplingssyklus, er flyttinga ferdig.