VPN සේවාදායකය නව පොදු IP එකකට ගෙනයාම: මුලින්ම බැලිය යුත්තේ කුමක්ද
ස්ථානයේ මාරු කිරීම සහ සමාන්තර සංක්‍රමණය විවිධ තැන්වල කැඩෙයි. වින්‍යාස, NAT සහ සහතික පරීක්ෂා කර, එක් එක් ග්‍රාහකයා නම විසඳන ආකාරය බලන්න.
ලිපිනයක් නැවත පැවරීමට එක් මිනිත්තුවක් ගත වේ. ඊළඟ සතිය යනු සංක්‍රමණය කැඩෙන තැනය, සහ සැපයුම්කරුගේ කොන්සෝලය යෝජනා කරන තැන කලාතුරකින්. නව පොදු IP එකක් තැන් හතරක සඳහන් වේ: ඩේමන් සවන් දෙන සොකට් එක, ග්‍රාහකයන් සත්‍යාපනය කරන විශ්වාස ලංගරය, පැරණි ලිපිනය නම් කරන සෑම නියමයක්ම, සහ ඒවා එකට බඳින DNS වාර්තාව. සංක්‍රමණ දෙකක් පාලක පැනලයකින් සමාන ලෙස පෙනුණත් සම්පූර්ණයෙන් වෙනස් ලෙස හැසිරේ: ඔබ ක්‍රියාත්මක කරන යන්ත්‍රයේ ලිපිනය නැවත පැවරීම, නැතහොත් දෙවන endpoint එකක් සකසා ග්‍රාහකයන් එහි ගෙනයාම. පහත පරීක්ෂණ ලාභදායී අසාර්ථකතා මුලින් තබයි, සහ සෑම කොටසක්ම කුමන සංක්‍රමණයට අදාළද යන්න පවසයි.
ස්ථානයේ මාරු කිරීම සහ සමාන්තර සංක්‍රමණය වෙනස් කාර්යයන් ය
ස්ථානයේ මාරු කිරීම සත්කාරකය, යතුරු, මාර්ග සැකසුම් වගුව සහ පරිශීලක ලැයිස්තුව තබා ගනී; වෙනස් වන්නේ ලිපිනය පමණි. පාවෙන IP එකක නැවත පැවරීම එයයි කරන්නේ, සහ සැපයුම්කරුවන් කිහිපයක අමුත්තාට කිසිවක් නොදැනේ, මන්ද පරිවර්තනය ඉන්ස්ටන්සය ඉදිරිපිට සිදු වේ. නැවත ගොඩනැගීමක් හෝ සැපයුම්කරු විසින් නැවත පැවරීමක් වඩා දැඩිය: අමුත්තා වෙනස දකී, සහ පැරණි අගය කැෂ් කළ සියල්ල එකම මොහොතේ එය දැනගනී.
සමාන්තර endpoint යනු එකම කාර්යය කරන දෙවන සත්කාරකයයි. එය ගොඩනගා, එක් පැතිකඩකින් පරීක්ෂා කර, නව එක සැබෑ මාර්ගයක් මත තමා ඔප්පු කරන තෙක් පැරණි එක පිළිතුරු දෙන්නට හරින්න. මිල වන්නේ තත්වයයි. හවුල් peer සටහන්, අවලංගු කිරීම් සහ ලොග් කිරීමකින් තොරව ඔබට අහම්බෙන් එකම නමක් බෙදාගන්නා ජාල දෙකක් ඇත.
| Question | In-place swap | Parallel endpoint |
|---|---|---|
| Rollback in one step? | Only if you can get the old address back | Point DNS back; old host still up |
| Blast radius | Every client at once | Only the clients you moved |
| Best when | The address is yours to reassign | The old address is gone for good |
පැරණි ලිපිනය ලියා ඇති සෑම තැනක්ම සොයන්න
පෙළ සෙවුමකින් අරඹන්න, මන්ද වින්‍යාස ගොනු පහසු අඩකි. ඩේමන් වින්‍යාසය, ගිනිපවුරු කොටස්, අධීක්ෂණ ඉලක්ක සහ තැටියේ ජනනය වූ ඕනෑම ග්‍රාහක එකතුවක් සොයන්න. ඔබ IPv6 ලිපිනයක් ප්‍රකාශයට පත් කරන්නේ නම් එයද ඇතුළත් කරන්න; A වාර්තාව පමණක් අනුගමනය කරන සංක්‍රමණයක් ද්වි-ස්ටැක් ග්‍රාහකයන් පැරණි මාර්ගයේ තබයි.
OLD=203.0.113.10
grep -RIn -- "$OLD" /etc /root
ss -lunpt | grep -F "$OLD"
nft list ruleset | grep -F "$OLD"
iptables-save | grep -F "$OLD"
wg show all endpointsපසුව කර්නලය පරීක්ෂා කරන්න, මන්ද ධාවනය වන පද්ධතියක් ලිපිනය කිසිදු ගොනුවක් සඳහන් නොකරන තැන්වල තබා ගනී. ස්ථිති මූලාශ්‍ර NAT නියමයක්, ipset සටහනක්, bind ලිපිනයක් සහ conntrack සටහනක් ඒවා ඉවත් කළ වින්‍යාස වෙනසට වඩා දිගු කල් ජීවත් වේ, සමහරක් නැවත ඇරඹීමක් ද පසුකරයි මන්ද ඒවා සුරකින ලද නියම කට්ටලයකින් ආපසු පැමිණි බැවිනි. එක් ස්තරයක් ඉහළින්, සැපයුම්කරුගේ ආරක්ෂක කණ්ඩායම්, බර සමතුලිත කරන්නාගේ ඉලක්ක සහ අධීක්ෂණ පරීක්ෂණ ඔබේ ගොනු පද්ධතියේ කිසිසේත් නැත.
කිසිවක් වෙනස් කිරීමට පෙර ලැයිස්තුව ලියන්න; එය ආපසු හැරවීමේ ස්ක්‍රිප්ටය ලෙසද ක්‍රියා කරයි.
සත්කාරක නාම ග්‍රාහකයන් සුවය ලබයි; වචනාර්ථ IP ග්‍රාහකයන් නිහඬ වේ
ග්‍රාහකයන් සත්කාරක නාමය හරහා සේවාදායකයට ළඟා වන්නේ නම්, සංක්‍රමණය ප්‍රධාන වශයෙන් DNS ගැටලුවකි, සහ ඊයේ සකසන ලද TTL එය කෙතරම් නරක වේද යන්න තීරණය කරයි. විසඳන්නන් කැෂ් කරයි, stub විසඳන්නන් නැවත කැෂ් කරයි, සහ බොහෝ ග්‍රාහකයන් නම සොයන්නේ නව සම්බන්ධතාවයකදී පමණි, එබැවින් ස්ථාපිත උමගක් එහි ආරම්භක ලිපිනය රඳවා ගනී.
endpoint එක වචනාර්ථ ලිපිනයක් නම්, කිසිවක් නැවත විසඳන්නේ නැත, කිසිවක් පැමිණිල්ලක් සටහන් කරන්නේ නැත. WireGuard විසඳන ලද සොකට් ලිපිනයක් ගබඩා කරයි: Endpoint = vpn.example.net:51820 wg-quick up ධාවනය වන මොහොතේම IP එකක් බවට පත් වේ, සහ ඔබ එය වෙනස් කරන තෙක් එම IP ලෙසම පවතී. OpenVPN වඩා ඉවසිලිවන්තය: එය සම්බන්ධ වන විට remote සත්කාරක නාමය විසඳයි, සහ resolv-retry infinite සමඟ නැවත සම්බන්ධ වන විට නැවත DNS උත්සාහ කරයි. වචනාර්ථ IP එකක් දුන් විට, දෙකම තවදුරටත් නොපවතින යන්ත්‍රයකට අමතයි.
මිනිසුන් රවටන දෙය කැබලි දර්පණයයි. දැනටමත් නව ලිපිනයට යොමු වී ඇති ග්‍රාහකයක්, පැරණි ශ්‍රාවකය තවමත් පිළිතුරු දෙන අතර, ඔබේම මේසයේ සිට කරන සෑම පරීක්ෂණයක්ම සමත් වේ. මාත් ඉන් රැවටුණි: නව endpoint එක දුරකථනයක පළමු උත්සාහයේදීම ඉහළ ආවේය, සහ පැරණි පැතිකඩක් ඇති ග්‍රාහකයක් පෙනී ගියේ පැරණි ශ්‍රාවකය බොහෝ පසුව වසා දැමූ විටය.
විශ්වාසය ලිපිනය සමඟ ගමන් නොකරයි
WireGuard අනන්‍යතාවය ළඟාවීමෙන් වෙන් කරයි, එය ලිපින සංක්‍රමණය පාහේ නොමිලේ කරයි. peer යන් සාමාජික යතුරකින් හඳුනාගනී, සහ endpoint යනු පැකට් දැන් යන තැන පමණි; සත්කාරකයක් අවසන් සත්‍යාපිත පැකට්ටුවේ මූලාශ්‍ර ලිපිනයෙන් peer එකක endpoint එක යාවත්කාලීන කරයි. අක්‍රීය peer එකකට තවමත් නව ස්ථානය සමඟ කතා කිරීමට හේතුවක් අවශ්‍යය, සහ එය ලිපිනය ඉගෙන ගන්නේ එහි සැසිය වයස්ගත වී handshake නැවත උත්සාහ දෘශ්‍ය ස්ථානයක අසාර්ථක වූ විටය. WireGuard ඉක්මන් මාර්ගෝපදේශය endpoint ක්ෂේත්‍රය ආවරණය කරයි.
TLS පාදක සේවාදායක විරුද්ධ අවස්ථාවයි. සහතිකය නමකට බැඳී ඇත, සහ ලිපිනයක් අමතන ග්‍රාහකයා අමතන ලද දෙය විෂයයේ විකල්ප නාම සමඟ සංසන්දනය කරයි. DNS SAN එකක් පමණක් දරන සහතිකයකට IP මගින් සම්බන්ධ වන්න, සත්‍යාපනය අසාර්ථක වේ: ග්‍රාහකයා භාවිත කළ නම සහතිකයේ නැත. IP SAN එකක් සමඟ නැවත නිකුත් කිරීම එම එක් සම්බන්ධතාවය නිවැරදි කර ඊළඟ සංක්‍රමණය නරක අතට හරවයි. පැතිකඩේ සත්කාරක නාමයක් තබාගෙන verify-x509-name එහි තැන තැබීම යටින් ලිපිනය වෙනස් වන අතර පරීක්ෂාව දැඩිව තබයි.
පසුව ඩේමන් කුමකට බැඳී ඇත්දැයි පරීක්ෂා කරන්න; පැරණි ලිපිනයට ඇමිණූ සොකට් එකක් නිහඬව අසාර්ථක වේ. local 203.0.113.10 සමඟ ආරම්භ කළ OpenVPN සේවාදායකයක් එම ලිපිනය නැති වූ විට ඉහළ ඒම ප්‍රතික්ෂේප කරයි, සහ 0.0.0.0 මත ශ්‍රාවකයක් වෙනස නොමිලේ අනුගමනය කරයි. NAT ද එලෙසම බෙදේ: MASQUERADE යන්ත්‍රයට දැන් ඇති ඕනෑම ලිපිනයක් අනුගමනය කරයි, සහ ස්ථිතික SNAT --to-source 203.0.113.10 ඔබට තවදුරටත් අයිති නැති ලිපිනයකට නැවත ලියමින් සිටී, එබැවින් ආපසු එන රථවාහනය අතුරුදහන් වේ. නව ලිපිනය වෙනස් upstream ද්වාරයක් සමඟ එන්නේ නම්, rp_filter පරීක්ෂා කරන්න: ප්‍රතිලෝම මාර්ග පෙරහන කර්නලය බලාපොරොත්තු නොවූ අතුරුමුහුණතකට පැමිණෙන ආපසු එන රථවාහනය ඉවත දමයි.
සංක්‍රමණයේ අනුපිළිවෙල සහ එය ක්‍රියා කළ බවට සාක්ෂි
දිනකට පෙර TTL අඩු කරන්න, නව ශ්‍රාවකය සකසන්න, සහ ඔබට පමණක් ඇති පැතිකඩකින් එය ඔප්පු කරන්න. එකම ජාලය තුළින් කරන පරීක්ෂණයක් පාහේ කිසිවක් ඔප්පු නොකරයි, එබැවින් ජංගම ජාලයේ දුරකථනයක් භාවිත කර, endpoint එකට ping කරනවා වෙනුවට උමග වාහනය කළ යුතු දෙයක් පරීක්ෂා කරන්න.
මුළු කාල පරාසය පුරා ලිපින දෙකම නිරීක්ෂණය කරන්න. නව සත්කාරකයේ wg show all latest-handshakes, හෝ OpenVPN තත්ව ගොනුව, කොපමණ peer යන් සැබවින්ම ගෙන ගියාද යන්න කියයි. නව endpoint එකට අපේක්ෂිත peer යන් ඇති අතර පැරණි එකට ඉතිරි වූවන් පමණක් ඇත්නම්, පැරණි ශ්‍රාවකය විශ්‍රාම ගන්වන්න, පැරණි NAT නියමය ඉවත් කරන්න, සහ සැපයුම්කරුගේ ගිනිපවුරෙන් ලිපිනය ඉවත් කරන්න. පැරණි ශ්‍රාවකය ඉවත් කිරීම යනු මග හැරෙන පියවරයි, සහ එය පැරණි පැතිකඩක් තවමත් පැරණි ජාලයට ළඟා වන පරතරය වසා දමයි.
ආරම්භ කිරීමට පෙර ආපසු හැරවීමේ ට්‍රිගරය ලිඛිතව නිර්ණය කරන්න: එකඟ වූ කාල පරාසයෙන් පසු නව endpoint එකට එකම සැබෑ ග්‍රාහකයෙකුගෙන් handshake නොලැබෙන්නේ නම්, පැරණි ලිපිනය ප්‍රතිස්ථාපනය කර පැතිකඩ බෙදාහැරීම නවත්වන්න. පසුව සෙවුම නැවත ක්‍රියාත්මක කර, විශ්‍රාම ගිය ලිපිනයකට ශ්‍රාවකයෙකු තවමත් බැඳී නැති බව තහවුරු කරන්න. කරුණු දෙකක් ඊළඟ සංක්‍රමණයට යයි: ඊළඟ වෙනස DNS සංස්කරණයක් වන පරිදි ග්‍රාහක පැතිකඩේ සත්කාරක නාමයක්, සහ සේවාදායකයේ ප්‍රතිසාධන සටහන් අසල තබා ඇති ලැයිස්තුව.