Zmena poskytovateľa VPN: naplánujte názov hostiteľa, nielen IP

Váš záznam DNS je správny, náhrada je zdravá, a napriek tomu niektorí klienti trávia hodiny vytáčaním starej adresy. Niekoľko zlyhá okamžite na názve, ktorý sa preloží a nikdy neodpovie. Oba výsledky pochádzajú z jednej medzery: názov hostiteľa mení, čo klient hľadá, nie kedy to hľadá, ani čomu verí, keď odpoveď dorazí.

Príznak: správny záznam, zastarané tunely

Profil, ktorý ukladá názov, nie je klient, ktorý ho neustále prekladá. Väčšina ho preloží raz, pri aplikácii konfigurácie alebo pri spustení tunela, a potom túto adresu znova používa až do konca relácie. Dlhý TTL navrch je dôvod, prečo sa prechod musí plánovať okolo opätovných pripojení a nie okolo úpravy DNS.

Ani jedno z týchto správaní nie je chyba, a práve to robí príznak mätúcim. Klient pracuje s odpoveďou, ktorú dostal skôr, a nič na strane servera neukazuje, ktorá odpoveď to bola. Naplánujte opätovné pripojenie do servisného okna a povedzte používateľom, čo uvidia, alebo okno strávte odpovedaním na tikety. Front identických hlásení je obvyklý výsledok.

Kto ovláda názov a čo klient overuje

Kontrola nad zónou rozhoduje o tom, ako rýchlo môže migrácia postupovať. Uchovajte záznam u registrátora, do ktorého sa môžete prihlásiť, a zapíšte, kto ďalší ho môže zmeniť.

Dôvera nenasleduje názov. Klient založený na TLS môže kontrolovať identitu certifikátu alebo pripnutý názov, zatiaľ čo WireGuard overuje verejný kľúč partnera a názov hostiteľa úplne ignoruje. Tento rozdiel rozhoduje, či úprava DNS stačí, alebo či každý profil potrebuje novú stopu. Zmena záznamu by nikdy nemala autorizovať koncový bod, ktorý nikto neschválil.

Udržujte administratívny prístup a prístup na obnovu mimo verejného názvu klienta. Strata hostingového účtu by vás nemala stáť aj záznam, ktorý presmerúva klientov. Uložte cestu obnovy niekam, kde nezávisí od poskytovateľa, ktorého opúšťate.

Kedy každý klient znova číta názov

Čas prekladu je vlastnosťou jednotlivého klienta, preto si pred sľubom prechodového okna prezrite implementáciu, ktorú skutočne dodávate. wg-quick prekladá koncový bod pri spustení rozhrania a túto adresu si drží, kým sa tunel nerestartuje. Klient OpenVPN hľadá názov pri pripojení a či sa pozrie znova pri opätovnom pripojení, závisí od jeho možností.

Mobilní klienti sú obvyklým prekvapením, pretože môžu držať preloženú adresu cez spánok alebo zmenu siete. Zverejňujte záznamy A a AAAA len vtedy, keď náhrada odpovedá v oboch rodinách. Adresa, ktorá odpovedá v jednej rodine, nič nedokazuje o druhej, a mŕtvy záznam AAAA pridáva časový limit ku každému pokusu. Zdokumentujte správanie prekladu pre každého klienta, ktorého podporujete, a potom testujte na zariadeniach, ktoré ľudia skutočne používajú.

Opätovné pripojenie je u väčšiny klientov akcia používateľa a server ju nemôže vynútiť. Uveďte tento krok v servisnej poznámke spolu s riadkom o tom, čo používateľ uvidí, keď sa to stane.

Prejdite na základe dôkazov a potom vyraďte starý koncový bod

Pred prepnutím dokážte každú vrstvu na náhrade: poslucháč odpovedá, firewall prepúšťa port, trasy sa vracajú správnym smerom, názov sa prekladá na novú adresu a známa identita je prijatá. Poslucháč, ktorý prijme spojenie, nie je to isté ako ten, ktorý dokončí podanie ruky, preto testujte podanie ruky a nie port. Majte aktuálny zoznam odvolaní vedľa konfigurácie, pretože obnovená záloha znova vytvorí zoznam partnerov tak, ako bol, a znova by otvorila prístup, ktorý ste už zavreli. Zapíšte, s akou identitou ste testovali, pretože „funguje“ nie je dôkaz, ktorý by niekto mohol zopakovať.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Počas prechodu sledujte pokusy o pripojenie na oboch koncových bodoch pre rovnakú identitu. Klient, ktorý sa stále autentizuje voči starej adrese, je profil alebo uložená odpoveď, ktorá sa nikdy nepresunula. Vyraďte starý koncový bod podľa datovaného plánu, pretože dve služby prijímajúce jednu identitu nechávajú otvorené dvoje dvere.

Testom prechodu je aplikačná relácia cez nový koncový bod, nie ping. Keď táto relácia funguje a starý koncový bod nezaznamená žiadne autorizované pokusy počas celého cyklu opätovného pripojenia, presun je dokončený.