VPN ਪ੍ਰਦਾਤਾ ਬਦਲਣਾ: ਸਿਰਫ਼ IP ਨਹੀਂ, ਹੋਸਟਨਾਮ ਦੀ ਯੋਜਨਾ ਬਣਾਓ
ਨਵਾਂ DNS ਰਿਕਾਰਡ ਮੌਜੂਦਾ ਸੈਸ਼ਨਾਂ ਨੂੰ ਨਹੀਂ ਹਿਲਾਉਂਦਾ। ਯੋਜਨਾ ਬਣਾਓ ਕਿ ਨਾਮ ਕੌਣ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ, ਹਰ ਕਲਾਇੰਟ ਇਸ ਨੂੰ ਕਦੋਂ ਹੱਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਤੁਸੀਂ ਪੁਰਾਣੇ ਐਂਡਪੌਇੰਟ ਨੂੰ ਕਿਵੇਂ ਸੇਵਾਮੁਕਤ ਕਰੋਗੇ।
ਤੁਹਾਡਾ DNS ਰਿਕਾਰਡ ਸਹੀ ਹੈ, ਬਦਲ ਸਿਹਤਮੰਦ ਹੈ, ਅਤੇ ਫਿਰ ਵੀ ਕੁਝ ਕਲਾਇੰਟ ਘੰਟਿਆਂ ਤੱਕ ਪੁਰਾਣੇ ਪਤੇ 'ਤੇ ਡਾਇਲ ਕਰਦੇ ਹਨ। ਕੁਝ ਅਜਿਹੇ ਨਾਮ 'ਤੇ ਤੁਰੰਤ ਫੇਲ੍ਹ ਹੋ ਜਾਂਦੇ ਹਨ ਜੋ ਹੱਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਦੇ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ। ਦੋਵੇਂ ਨਤੀਜੇ ਇੱਕੋ ਖਾਲੀ ਥਾਂ ਤੋਂ ਆਉਂਦੇ ਹਨ: ਹੋਸਟਨਾਮ ਬਦਲਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕੀ ਲੱਭਦਾ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਉਹ ਕਦੋਂ ਲੱਭਦਾ ਹੈ, ਅਤੇ ਇਹ ਵੀ ਨਹੀਂ ਕਿ ਜਵਾਬ ਆਉਣ 'ਤੇ ਉਹ ਕਿਸ 'ਤੇ ਭਰੋਸਾ ਕਰਦਾ ਹੈ।
ਲੱਛਣ: ਸਹੀ ਰਿਕਾਰਡ, ਪੁਰਾਣੀਆਂ ਸੁਰੰਗਾਂ
ਨਾਮ ਸੰਗ੍ਰਹਿ ਕਰਨ ਵਾਲੀ ਪ੍ਰੋਫਾਈਲ ਉਹ ਕਲਾਇੰਟ ਨਹੀਂ ਜੋ ਇਸ ਨੂੰ ਲਗਾਤਾਰ ਹੱਲ ਕਰਦਾ ਰਹੇ। ਬਹੁਤੇ ਇੱਕ ਵਾਰ ਹੱਲ ਕਰਦੇ ਹਨ, ਕਨਫਿਗਰੇਸ਼ਨ ਲਾਗੂ ਕਰਦਿਆਂ ਜਾਂ ਸੁਰੰਗ ਉੱਪਰ ਆਉਣ ਵੇਲੇ, ਅਤੇ ਫਿਰ ਸੈਸ਼ਨ ਖਤਮ ਹੋਣ ਤੱਕ ਉਹੀ ਪਤਾ ਮੁੜ ਵਰਤਦੇ ਹਨ। ਇਸ ਉੱਤੇ ਲੰਮਾ TTL ਹੋਣਾ ਹੀ ਕਾਰਨ ਹੈ ਕਿ ਬਦਲਾਅ ਦੀ ਯੋਜਨਾ DNS ਸੋਧ ਦੁਆਲੇ ਨਹੀਂ, ਮੁੜ ਜੁੜਨ ਦੁਆਲੇ ਬਣਾਉਣੀ ਪੈਂਦੀ ਹੈ।
ਦੋਵਾਂ ਵਿਵਹਾਰਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਨੁਕਸ ਨਹੀਂ, ਅਤੇ ਇਹੀ ਲੱਛਣ ਨੂੰ ਉਲਝਣ ਵਾਲਾ ਬਣਾਉਂਦਾ ਹੈ। ਕਲਾਇੰਟ ਪਹਿਲਾਂ ਮਿਲੇ ਜਵਾਬ 'ਤੇ ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ, ਅਤੇ ਸਰਵਰ ਵੱਲ ਕੁਝ ਵੀ ਨਹੀਂ ਦਿਖਾਉਂਦਾ ਕਿ ਉਹ ਕਿਹੜਾ ਜਵਾਬ ਸੀ। ਮੁੜ ਜੁੜਨ ਨੂੰ ਰੱਖ-ਰਖਾਅ ਵਿੰਡੋ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ ਅਤੇ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਦੱਸੋ ਕਿ ਉਹ ਕੀ ਦੇਖਣਗੇ, ਜਾਂ ਵਿੰਡੋ ਟਿਕਟਾਂ ਦਾ ਜਵਾਬ ਦੇਣ ਵਿੱਚ ਲਾਓ। ਇੱਕੋ ਜਿਹੀਆਂ ਰਿਪੋਰਟਾਂ ਦੀ ਕਤਾਰ ਆਮ ਨਤੀਜਾ ਹੈ।
ਨਾਮ ਕੌਣ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਕੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ
ਜ਼ੋਨ ਉੱਤੇ ਨਿਯੰਤਰਣ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਮਾਈਗ੍ਰੇਸ਼ਨ ਕਿੰਨੀ ਤੇਜ਼ੀ ਨਾਲ ਅੱਗੇ ਵਧ ਸਕਦਾ ਹੈ। ਰਿਕਾਰਡ ਅਜਿਹੇ ਰਜਿਸਟਰਾਰ ਕੋਲ ਰੱਖੋ ਜਿੱਥੇ ਤੁਸੀਂ ਲੌਗ ਇਨ ਕਰ ਸਕਦੇ ਹੋ, ਅਤੇ ਲਿਖੋ ਕਿ ਹੋਰ ਕੌਣ ਇਸ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ।
ਭਰੋਸਾ ਨਾਮ ਦੇ ਪਿੱਛੇ ਨਹੀਂ ਚੱਲਦਾ। TLS-ਆਧਾਰਿਤ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪਛਾਣ ਜਾਂ ਪਿੰਨ ਕੀਤਾ ਨਾਮ ਜਾਂਚ ਸਕਦਾ ਹੈ, ਜਦਕਿ WireGuard ਸਾਥੀ ਦੀ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਹੋਸਟਨਾਮ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਅਣਡਿੱਠ ਕਰਦਾ ਹੈ। ਇਹੀ ਫ਼ਰਕ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ DNS ਸੋਧ ਕਾਫ਼ੀ ਹੈ ਜਾਂ ਹਰ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਨਵੀਂ ਫਿੰਗਰਪ੍ਰਿੰਟ ਚਾਹੀਦੀ ਹੈ। ਰਿਕਾਰਡ ਤਬਦੀਲੀ ਨੂੰ ਕਦੇ ਵੀ ਅਜਿਹੇ ਐਂਡਪੌਇੰਟ ਨੂੰ ਅਧਿਕਾਰ ਨਹੀਂ ਦੇਣਾ ਚਾਹੀਦਾ ਜਿਸ ਨੂੰ ਕਿਸੇ ਨੇ ਮਨਜ਼ੂਰ ਨਾ ਕੀਤਾ ਹੋਵੇ।
ਪ੍ਰਬੰਧਕੀ ਅਤੇ ਰਿਕਵਰੀ ਪਹੁੰਚ ਨੂੰ ਜਨਤਕ ਕਲਾਇੰਟ ਨਾਮ ਤੋਂ ਦੂਰ ਰੱਖੋ। ਹੋਸਟਿੰਗ ਖਾਤਾ ਗੁਆਉਣ ਨਾਲ ਕਲਾਇੰਟਾਂ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਵਾਲਾ ਰਿਕਾਰਡ ਵੀ ਨਹੀਂ ਗੁਆਉਣਾ ਚਾਹੀਦਾ। ਰਿਕਵਰੀ ਮਾਰਗ ਨੂੰ ਅਜਿਹੀ ਥਾਂ ਰੱਖੋ ਜੋ ਤੁਸੀਂ ਛੱਡ ਰਹੇ ਪ੍ਰਦਾਤਾ 'ਤੇ ਨਿਰਭਰ ਨਾ ਹੋਵੇ।
ਹਰ ਕਲਾਇੰਟ ਨਾਮ ਕਦੋਂ ਮੁੜ ਪੜ੍ਹਦਾ ਹੈ
ਹੱਲ ਹੋਣ ਦਾ ਸਮਾਂ ਹਰ ਕਲਾਇੰਟ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਇਸ ਲਈ ਬਦਲਾਅ ਦੀ ਵਿੰਡੋ ਦਾ ਵਾਅਦਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਲਾਗੂਕਰਨ ਜਾਂਚੋ ਜੋ ਤੁਸੀਂ ਸੱਚਮੁੱਚ ਭੇਜਦੇ ਹੋ। wg-quick ਇੰਟਰਫੇਸ ਉੱਪਰ ਆਉਣ ਵੇਲੇ ਐਂਡਪੌਇੰਟ ਹੱਲ ਕਰਦਾ ਹੈ ਅਤੇ ਸੁਰੰਗ ਮੁੜ ਸ਼ੁਰੂ ਹੋਣ ਤੱਕ ਉਹ ਪਤਾ ਰੱਖਦਾ ਹੈ। OpenVPN ਕਲਾਇੰਟ ਜੁੜਨ ਵੇਲੇ ਨਾਮ ਲੱਭਦਾ ਹੈ, ਅਤੇ ਮੁੜ ਜੁੜਨ 'ਤੇ ਦੁਬਾਰਾ ਦੇਖਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਉਸ ਦੇ ਵਿਕਲਪਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।
| Client | When it resolves | What it verifies |
|---|---|---|
| wg-quick | At interface start, cached for the session | Peer public key, not the name |
| OpenVPN 2.6 | On connect, possibly again on reconnect | Certificate identity or pinned name |
| Mobile clients | May hold the answer across sleep or a network change | Platform trust store, same certificates |
ਮੋਬਾਈਲ ਕਲਾਇੰਟ ਆਮ ਹੈਰਾਨੀ ਹਨ, ਕਿਉਂਕਿ ਉਹ ਨੀਂਦ ਜਾਂ ਨੈੱਟਵਰਕ ਬਦਲਾਅ ਦੌਰਾਨ ਹੱਲ ਕੀਤਾ ਪਤਾ ਰੱਖ ਸਕਦੇ ਹਨ। A ਅਤੇ AAAA ਰਿਕਾਰਡ ਤਦ ਹੀ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ ਜਦੋਂ ਬਦਲ ਦੋਵੇਂ ਪਰਿਵਾਰਾਂ ਵਿੱਚ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਪਰਿਵਾਰ ਵਿੱਚ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਪਤਾ ਦੂਜੇ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਮਰਿਆ AAAA ਰਿਕਾਰਡ ਹਰ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ ਸਮਾਂ-ਸੀਮਾ ਜੋੜਦਾ ਹੈ। ਤੁਸੀਂ ਜਿਸ ਵੀ ਕਲਾਇੰਟ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹੋ ਉਸ ਲਈ ਹੱਲ ਕਰਨ ਦਾ ਵਿਵਹਾਰ ਦਸਤਾਵੇਜ਼ ਕਰੋ, ਫਿਰ ਉਨ੍ਹਾਂ ਡਿਵਾਈਸਾਂ 'ਤੇ ਟੈਸਟ ਕਰੋ ਜੋ ਲੋਕ ਸੱਚਮੁੱਚ ਵਰਤਦੇ ਹਨ।
ਮੁੜ ਜੁੜਨਾ ਬਹੁਤੇ ਕਲਾਇੰਟਾਂ ਵਿੱਚ ਵਰਤੋਂਕਾਰ ਦੀ ਕਿਰਿਆ ਹੈ, ਅਤੇ ਸਰਵਰ ਇਸ ਨੂੰ ਥੋਪ ਨਹੀਂ ਸਕਦਾ। ਉਹ ਕਦਮ ਰੱਖ-ਰਖਾਅ ਨੋਟ ਵਿੱਚ ਰੱਖੋ, ਨਾਲ ਇੱਕ ਲਾਈਨ ਕਿ ਜਦੋਂ ਇਹ ਹੋਵੇਗਾ ਤਾਂ ਵਰਤੋਂਕਾਰ ਕੀ ਦੇਖੇਗਾ।
ਸਬੂਤ ਦੇ ਆਧਾਰ 'ਤੇ ਬਦਲੋ, ਫਿਰ ਪੁਰਾਣੇ ਐਂਡਪੌਇੰਟ ਨੂੰ ਸੇਵਾਮੁਕਤ ਕਰੋ
ਸਵਿੱਚ ਤੋਂ ਪਹਿਲਾਂ ਬਦਲ ਉੱਤੇ ਹਰ ਪਰਤ ਸਾਬਤ ਕਰੋ: ਸਰੋਤਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਫਾਇਰਵਾਲ ਪੋਰਟ ਪਾਸ ਕਰਦਾ ਹੈ, ਰੂਟ ਸਹੀ ਦਿਸ਼ਾ ਵਿੱਚ ਮੁੜਦੇ ਹਨ, ਨਾਮ ਨਵੇਂ ਪਤੇ 'ਤੇ ਹੱਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਜਾਣੀ-ਪਛਾਣੀ ਪਛਾਣ ਸਵੀਕਾਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਸਰੋਤਾ ਹੈਂਡਸ਼ੇਕ ਪੂਰਾ ਕਰਨ ਵਾਲੇ ਵਰਗਾ ਨਹੀਂ, ਇਸ ਲਈ ਪੋਰਟ ਨਹੀਂ, ਹੈਂਡਸ਼ੇਕ ਦੀ ਜਾਂਚ ਕਰੋ। ਮੌਜੂਦਾ ਰੱਦ ਕਰਨ ਦੀ ਸੂਚੀ ਕਨਫਿਗਰੇਸ਼ਨ ਦੇ ਕੋਲ ਰੱਖੋ, ਕਿਉਂਕਿ ਮੁੜ ਬਹਾਲ ਕੀਤਾ ਬੈਕਅਪ ਸਾਥੀ ਸੂਚੀ ਨੂੰ ਪਹਿਲਾਂ ਵਾਂਗ ਮੁੜ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਤੁਹਾਡੇ ਵੱਲੋਂ ਪਹਿਲਾਂ ਹੀ ਬੰਦ ਕੀਤੀ ਪਹੁੰਚ ਮੁੜ ਖੋਲ੍ਹ ਦੇਵੇਗਾ। ਲਿਖੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜੀ ਪਛਾਣ ਨਾਲ ਟੈਸਟ ਕੀਤਾ, ਕਿਉਂਕਿ «ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ» ਅਜਿਹਾ ਸਬੂਤ ਨਹੀਂ ਜੋ ਕੋਈ ਦੁਹਰਾ ਸਕੇ।
getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakesਬਦਲਾਅ ਦੌਰਾਨ, ਇੱਕੋ ਪਛਾਣ ਲਈ ਦੋਵੇਂ ਐਂਡਪੌਇੰਟਾਂ 'ਤੇ ਕਨੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ਾਂ 'ਤੇ ਨਜ਼ਰ ਰੱਖੋ। ਪੁਰਾਣੇ ਪਤੇ ਵਿਰੁੱਧ ਅਜੇ ਵੀ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਵਾਲਾ ਕਲਾਇੰਟ ਇੱਕ ਪ੍ਰੋਫਾਈਲ ਜਾਂ ਕੈਸ਼ ਕੀਤਾ ਜਵਾਬ ਹੈ ਜੋ ਕਦੇ ਨਹੀਂ ਹਿਲਿਆ। ਪੁਰਾਣੇ ਐਂਡਪੌਇੰਟ ਨੂੰ ਤਾਰੀਖ ਵਾਲੀ ਯੋਜਨਾ ਮੁਤਾਬਕ ਸੇਵਾਮੁਕਤ ਕਰੋ, ਕਿਉਂਕਿ ਇੱਕ ਪਛਾਣ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲੀਆਂ ਦੋ ਸੇਵਾਵਾਂ ਦੋ ਦਰਵਾਜ਼ੇ ਖੁੱਲ੍ਹੇ ਛੱਡਦੀਆਂ ਹਨ।
ਬਦਲਾਅ ਦਾ ਟੈਸਟ ਨਵੇਂ ਐਂਡਪੌਇੰਟ ਰਾਹੀਂ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਸੈਸ਼ਨ ਹੈ, ਪਿੰਗ ਨਹੀਂ। ਜਦੋਂ ਉਹ ਸੈਸ਼ਨ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਪੁਰਾਣਾ ਐਂਡਪੌਇੰਟ ਪੂਰੇ ਮੁੜ ਜੁੜਨ ਚੱਕਰ ਵਿੱਚ ਕੋਈ ਅਧਿਕ੍ਰਿਤ ਕੋਸ਼ਿਸ਼ ਲੌਗ ਨਹੀਂ ਕਰਦਾ, ਤਾਂ ਤਬਾਦਲਾ ਪੂਰਾ ਹੋ ਗਿਆ।