WireGuard i dalje koristi staru krajnju točku nakon promjena DNS-a

Tunel je prestao propuštati promet nakon što se DNS zapis poslužitelja premjestio, a ime se ispravno razrješava s istog stroja. Te dvije činjenice nisu u sukobu. WireGuard konfiguracija sadrži krajnju točku, a alat razrješava ime u trenutku primjene te konfiguracije, pa pokrenuto sučelje može nastaviti koristiti adresu koju je dohvatilo prije nekoliko sati. Provjerite što sučelje koristi prije nego zamijenite ključeve ili dirnete raspon tunela.

Ime se razrješava jednom, a ne stalno

Osnovna WireGuard konfiguracija prima krajnju točku kao adresu i port, a alat koji podiže sučelje razrješava naziv hosta u tom trenutku. Ništa u osnovnom protokolu ne pita DNS prema rasporedu, a klijentska aplikacija može povrh toga dodati vlastito ponašanje osvježavanja. Bilježenje razriješene adrese, obitelji i porta uz ime čini prazninu vidljivom. Bez tog zapisa konfiguracija izgleda ispravno dok sučelje razgovara s nečim drugim.

Postoji jedno istinsko automatsko ažuriranje i vrijedi ga znati jer nalikuje osvježavanju DNS-a, a to nije. Krajnja točka partnera može se pomaknuti kada ispravno autentificirani promet stigne s nove adrese, što je roaming, a ne razrješavanje imena. Ona slijedi partnera pa ne može otkriti nepovezani novi poslužitelj s kojim stara krajnja točka nikada nije kontaktirala.

Usporedite zapis s adresom koja se koristi

Upitajte dokumentirano ime preko razrješivača koji klijent koristi, zatim pitajte sučelje koju krajnju točku drži. Dva odgovora čine usporedbu koja odlučuje ostatak ove stranice:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Pritučnik wg(8) dokumentira podnaredbe show koje ovi reci koriste. Usporedite i obitelj adrese, ne samo adresu, jer zapis koji je dobio IPv6 unos drugačija je usporedba od onoga kojemu se promijenila IPv4 adresa. Ako se krajnja točka razlikuje od zapisa, sučelje radi na zastarjelim podacima i ime nikada nije bilo problem. Ako se podudaraju, a tunel i dalje ne uspijeva, prijeđite na slušatelj i pravila, a ne na profil.

Vremenska oznaka rukovanja nalazi se u tom bloku jer sama krajnja točka ne kaže je li partner dostupan. Zastarjela oznaka pokraj ispravne krajnje točke problem je puta, a ne razrješavanja, i ta razlika mijenja ono što dirate sljedeće.

Ponovno pokrenite preko upravitelja sučelja

Nakon što se potvrdi da je krajnja točka zastarjela, osvježite je kroz mehanizam koji posjeduje sučelje umjesto uređivanja žive konfiguracije. Za sučelje koje je pokrenuo wg-quick to je spuštanje i podizanje, za systemd jedinicu to je ponovno pokretanje, a za sučelje kojim upravlja upravitelj to je promjena napravljena u tom upravitelju, jer se izmjena u radu prepisuje pri sljedećoj primjeni:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Zatim potvrdite da su zamjenski slušatelj i njegov identitet usluga koju ste namjeravali. Premještanje DNS-a nije promjena identiteta pa nikada ne smije biti prilika za povjerenje u ključ koji niste provjerili. Ako sučelje sada prijavljuje novu adresu i još uvijek ne daje rukovanje, kvar se preselio na novi mrežni put ili slušatelj, što je napredak, a ne isti kvar dvaput.

Prvo rukovanje, zatim put podataka

Razdvojite dva ishoda prije odabira kontrolnog popisa. Rukovanje koje uspijeva uz aplikaciju koja ne uspijeva problem je puta podataka: rute, dopušteni prefiksi ili DNS unutar tunela. Rukovanje koje se nikada ne dogodi problem je dostupnosti ili identiteta na krajnjoj točki. Miješanje dvaju daje izvještaj koji nitko ne može ponoviti i dnevnik promjena s tri nepovezane izmjene.

Zabilježite ime, razriješenu adresu, krajnju točku u upotrebi i je li rukovanje dovršeno. Te četiri činjenice odgovaraju na pitanje koje ovaj kvar stalno postavlja i pretvaraju sljedeću pojavu u provjeru od dvije minute. Održavanje imena i prihvaćanje klijenata ostaju odvojeni poslovi: ispravljanje zapisa ne provodi prihvaćanje, a ponovno pokretanje sučelja ne popravlja zapis koji je još uvijek pogrešan.