WireGuard folosește în continuare vechiul punct final după modificările DNS

Tunelul a încetat să mai transmită trafic după ce înregistrarea DNS a serverului s-a mutat, iar numele se rezolvă corect de pe aceeași mașină. Aceste două fapte nu sunt în contradicție. O configurație WireGuard conține un punct final, iar instrumentul rezolvă numele în momentul în care aplică acea configurație, așa că interfața care rulează poate continua să folosească adresa pe care a obținut-o acum câteva ore. Verificați ce folosește interfața înainte de a înlocui chei sau de a atinge intervalul tunelului.

Numele este rezolvat o singură dată, nu continuu

Configurația de bază WireGuard preia un punct final ca adresă și port, iar instrumentul care ridică o interfață rezolvă un nume de gazdă în acel moment. Nimic din protocolul de bază nu întreabă DNS după un program, iar o aplicație client poate adăuga peste asta propriul comportament de reîmprospătare. Înregistrarea adresei rezolvate, a familiei și a portului lângă nume face acea diferență vizibilă. Fără acea notă configurația pare corectă în timp ce interfața vorbește cu altceva.

Există o actualizare automată autentică, și merită cunoscută pentru că seamănă cu o reîmprospătare DNS fără a fi una. Punctul final al unui partener se poate muta când traficul autentificat corect sosește de la o adresă nouă, ceea ce este roaming și nu rezolvare de nume. Urmărește partenerul, așa că nu poate descoperi un server nou fără legătură cu care vechiul punct final nu a comunicat niciodată.

Comparați înregistrarea cu adresa folosită

Interogați numele documentat prin resolver-ul folosit de client, apoi întrebați interfața ce punct final deține. Cele două răspunsuri sunt comparația care decide restul acestei pagini:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Pagina de manual wg(8) documentează subcomenzile show folosite de aceste linii. Comparați și familia adresei, nu doar adresa, pentru că o înregistrare care a câștigat o intrare IPv6 este o comparație diferită de una căreia i s-a schimbat adresa IPv4. Dacă punctul final diferă de înregistrare, interfața rulează cu informații învechite și numele nu a fost niciodată problema. Dacă sunt de acord și tunelul tot eșuează, treceți la ascultător și la reguli, nu la profil.

Marca temporală a strângerii de mână este în acel bloc pentru că punctul final singur nu spune dacă partenerul este accesibil. O marcă temporală învechită lângă un punct final corect este o problemă de cale, nu de rezolvare, iar această distincție schimbă ce atingeți în continuare.

Reporniți prin managerul interfeței

După ce punctul final este confirmat învechit, reîmprospătați-l prin mecanismul care deține interfața în loc să editați configurația activă. Pentru o interfață pornită de wg-quick aceasta este o coborâre și o ridicare, pentru o unitate systemd este o repornire, iar pentru o interfață deținută de un manager este o modificare făcută în acel manager, pentru că o editare în timpul rulării este suprascrisă la următoarea aplicare:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Apoi confirmați că ascultătorul de înlocuire și identitatea lui sunt serviciul pe care l-ați intenționat. O mutare DNS nu este o schimbare de identitate, așa că nu ar trebui să fie niciodată ocazia de a avea încredere într-o cheie pe care nu ați verificat-o. Dacă interfața raportează acum adresa nouă și tot nu produce nicio strângere de mână, defecțiunea s-a mutat pe noua cale de rețea sau pe ascultător, ceea ce este progres și nu aceeași defecțiune de două ori.

Mai întâi strângerea de mână, apoi calea datelor

Separați cele două rezultate înainte de a alege o listă de verificare. O strângere de mână care reușește sub o aplicație care eșuează este o problemă a căii de date: rute, prefixe permise sau DNS în interiorul tunelului. O strângere de mână care nu se întâmplă niciodată este o problemă de accesibilitate sau de identitate la punctul final. Amestecarea celor două produce un raport pe care nimeni nu îl poate reproduce și un jurnal de modificări cu trei editări fără legătură.

Notați numele, adresa rezolvată, punctul final folosit și dacă strângerea de mână s-a încheiat. Aceste patru fapte răspund la întrebarea pe care această defecțiune o pune mereu, și transformă următoarea apariție într-o verificare de două minute. Întreținerea numelor și adoptarea la clienți rămân sarcini separate: corectarea înregistrării nu realizează adoptarea, iar repornirea interfeței nu repară o înregistrare care este încă greșită.