WireGuard brukar framleis det gamle endepunktet etter DNS-endringar

Tunnelen slutta å føre trafikk etter at DNS-oppføringa til tenaren flytta seg, og namnet blir slått riktig opp frå same maskin. Dei to fakta er ikkje i konflikt. Ei WireGuard-konfigurasjon inneheld eit endepunkt, og verktøyet slår opp namnet i det augneblinken det brukar konfigurasjonen, så grensesnittet som køyrer kan halde fram med å bruke adressa det fann for timar sidan. Kontroller kva grensesnittet brukar før du byter nøklar eller rører tunnelområdet.

Namnet blir slått opp éin gong, ikkje fortløpande

Grunnleggjande WireGuard-konfigurasjon tek eit endepunkt som adresse og port, og verktøyet som reiser eit grensesnitt slår opp eit vertsnamn i det augneblinken. Ingenting i basisprotokollen spør DNS etter ein tidsplan, og ein klientapplikasjon kan leggje si eiga oppfriskingsåtferd oppå. Å notere den oppslåtte adressa, familien og porten ved sida av namnet gjer gapet synleg. Utan den noten ser konfigurasjonen riktig ut medan grensesnittet snakkar med ein annan stad.

Det finst éi ekte automatisk oppdatering, og ho er verdt å kjenne fordi ho liknar ei DNS-oppfrisking utan å vere det. Eit peer-endepunkt kan flytte seg når korrekt autentisert trafikk kjem frå ei ny adresse, noko som er roaming og ikkje namneoppslag. Det følgjer peeren, så det kan ikkje oppdage ein urelatert ny tenar som det gamle endepunktet aldri kontakta.

Samanlikn oppføringa med adressa som blir brukt

Spør på det dokumenterte namnet gjennom resolvaren klienten brukar, og spør deretter grensesnittet kva endepunkt det held. Dei to svara er samanlikninga som avgjer resten av denne sida:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Manualen for wg(8) dokumenterer show-underkommandoane som desse linjene brukar. Samanlikn også adressefamilien, ikkje berre adressa, fordi ei oppføring som har fått ei IPv6-oppføring er ei anna samanlikning enn ei der IPv4-adressa er endra. Viss endepunktet avvik frå oppføringa, køyrer grensesnittet på utdatert informasjon, og namnet var aldri problemet. Viss dei stemmer og tunnelen framleis feilar, gå til lyttaren og reglane i staden for til profilen.

Tidsstemplet for handtrykket står i den blokka fordi endepunktet åleine ikkje seier om peeren blir nådd. Eit utdatert tidsstempel ved sida av eit riktig endepunkt er eit vegproblem, ikkje eit oppslagsproblem, og den skilnaden endrar kva du rører neste gong.

Start på nytt gjennom administratoren for grensesnittet

Når endepunktet er stadfesta utdatert, oppfrisk det gjennom mekanismen som eig grensesnittet i staden for å redigere den køyrande konfigurasjonen. For eit grensesnitt starta av wg-quick er det ein ned og opp, for ei systemd-eining er det ein omstart, og for eit grensesnitt som blir eigd av ein administrator er det ei endring gjord i den administratoren, fordi ei redigering under køyring blir overskriven ved neste bruk:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Stadfest deretter at den nye lyttaren og identiteten hans er tenesta du meinte. Ei DNS-flytting er ikkje ei identitetsendring, så ho bør aldri vere grunnen til å stole på ein nøkkel du ikkje har verifisert. Viss grensesnittet no rapporterer den nye adressa og framleis ikkje gir noko handtrykk, har feilen flytta seg til den nye nettverksvegen eller lyttaren, noko som er framgang og ikkje den same feilen to gonger.

Handtrykk først, deretter datastien

Skil dei to utfalla før du vel ei sjekkliste. Eit handtrykk som lukkast under ein applikasjon som feilar, er eit datastiproblem: ruter, tillatne prefiks eller DNS inne i tunnelen. Eit handtrykk som aldri skjer, er eit tilgjenge- eller identitetsproblem ved endepunktet. Å blande dei to gir ein rapport ingen kan gjenskape, og ein endringslogg med tre urelaterte rettingar.

Noter namnet, den oppslåtte adressa, endepunktet som blir brukt og om handtrykket vart fullført. Dei fire fakta svarar på spørsmålet denne feilen stadig stiller, og gjer neste førekomst til ein sjekk på to minutt. Namnevedlikehald og klientinnføring blir verande separate oppgåver: å rette oppføringa utfører ikkje innføringa, og å starte grensesnittet på nytt rettar ikkje ei oppføring som framleis er feil.