ddclient zverejňuje výstup VPN: opravte zdroj zisťovania

Vaše meno DNS sa teraz prekladá na adresu poskytovateľa VPN a protokol aktualizácií vyzerá úplne zdravo. Taká kombinácia je normálna. Webová sonda zisťovania sa pýta externej služby, aký zdroj vidí, a keď požiadavka odchádza cez plný tunel VPN, odpoveďou je výstup VPN, nie vaša domáca adresa WAN. Aktualizátor urobil svoju prácu; práca bola namierená na nesprávne pozorovanie.

Potvrďte, čoho má meno dosiahnuť

Verejné meno pre prichádzajúcu domácu službu potrebuje adresu, cez ktorú sa schválené prichádzajúce spojenia dostanú k tejto službe. Zverejnenie zdieľaného výstupu poskytovateľa tam prichádzajúce presmerovanie nezariadi a žiadna konfigurácia DNS to presmerovanie nevytvorí. Rozhodnite to skôr, než sa dotknete aktualizátora, pretože to určuje, ktorá adresa je správna.

Súkromné meno pre adresu tunela klienta VPN je iný problém s inou odpoveďou: patrí do súkromného DNS a verejnú službu zisťovania vôbec nepotrebuje. Miešanie oboch požiadaviek je spôsob, akým funkčná konfigurácia začne zverejňovať adresu, ktorú nikto nežiadal.

Adresy rozhraní tiež potrebujú výklad. Adresa notebooku za domácim routerom nie je verejná adresa WAN a aj adresa WAN routera môže byť za carrier-grade NAT, kde jej zverejnenie neprinesie prichádzajúcu dostupnosť.

Zreprodukujte hodnotu, skôr než čokoľvek zmeníte

Sledujte obe cesty oddelene. So zapnutým tunelom sonda hlási výstup; s vypnutým tunelom alebo so sondou viazanou na fyzické rozhranie hlási domácu adresu: curl --interface eth0 https://ifconfig.me. Ak sa tieto dve odpovede líšia, reprodukovali ste poruchu bez toho, aby ste sa dotkli aktualizátora.

Potom spustite klienta v režime, ktorý overí konfiguráciu bez vykonania aktualizácie, napríklad ddclient -verbose -noexec, a prečítajte, ktorú metódu zisťovania zvolil. Podrobný výstup uvádza metódu a získanú hodnotu, a to je skutočnosť, ktorú pred akoukoľvek úpravou potrebujete.

Nasmerujte zisťovanie na zvolenú cestu

Ak má meno zverejňovať domácu adresu WAN, zisťovanie musí pozorovať práve túto adresu. Fungujú tri možnosti, približne podľa poradia preferencie: nechajte router zverejňovať cez jeho vlastný podporovaný aktualizátor; použite zisťovanie stavu routera v ddcliente proti stránke, ktorú router naozaj obsluhuje; alebo si ponechajte webovú sondu, ale priviažte ju k fyzickému rozhraniu, aby odchádzala mimo tunela.

Pre cestu stavu routera používajú novšie vydania ddclientu rodinu volieb usev4 a fwv4, s voliteľným vzorom preskoku pre okolitý text stránky. Pozrite si README pre nainštalovanú verziu, pretože staršie vydania píšu rovnakú myšlienku s use a fw a názov voľby skopírovaný z nesprávneho vydania zlyhá pri štarte.

Ak si webové zisťovanie ponecháte, pamätajte, že smerovanie sondy a smerovanie volania API aktualizácie sú samostatné rozhodnutia. Volanie aktualizácie doručí záznam; sonda rozhoduje o hodnote, ktorá sa doručí.

Udržujte tajomstvá a verzie v poriadku

Prihlasovacie údaje routera a tokeny poskytovateľa patria do chráneného konfiguračného súboru, nie na príkazový riadok, ktorý skončí v histórii shellu. Podrobné stopy môžu obsahovať oboje, preto ich pred vložením do tiketu redigujte. Metóda zisťovania, ktorá vyžaduje zoškrabanie autentizovanej stránky routera, vyžaduje aj to, aby ste tieto údaje udržali funkčné naprieč aktualizáciami firmvéru. Ukladajte ich s rovnakou starostlivosťou ako token poskytovateľa.

ddclient README dokumentuje postupy zisťovania a názvy ich volieb. Nemiešajte výsledky IPv4 a IPv6 v jednom zázname a nepredpokladajte, že voľba prítomná v jednom vydaní existuje v inom.

Overte hodnotu, potom dostupnosť

Pred povolením živej aktualizácie porovnajte navrhovanú adresu so zamýšľaným koncovým bodom, potom po jednej povolenej aktualizácii skontrolujte autoritatívny DNS a počítajte s vyrovnávacími pamäťami prekladačov. Nízke TTL skráti čakanie; z nesprávnej hodnoty správnu neurobí.

Až keď je záznam správny, testujte prichádzajúcu službu z nezávislej siete, so už schváleným potrebným firewallom a presmerovaním. Správny záznam A nepreukazuje dostupnú službu a statický prenájom VPN môže zjednodušiť súkromné pomenovanie bez toho, aby opravil verejné meno hostiteľa ukazujúce na nesprávny WAN.