WireGuard stále používa starý koncový bod aj po zmenách DNS

Tunel prestal prepúšťať prevádzku po tom, čo sa DNS záznam servera posunul, a názov sa z toho istého stroja preloží správne. Tieto dva fakty si neodporujú. Konfigurácia WireGuardu obsahuje koncový bod a nástroj preloží názov v okamihu, keď túto konfiguráciu použije, takže bežiace rozhranie môže ďalej používať adresu, ktorú zistilo pred hodinami. Pred výmenou kľúčov alebo dotykom rozsahu tunela skontrolujte, čo rozhranie používa.

Názov sa preloží raz, nie priebežne

Základná konfigurácia WireGuardu berie koncový bod ako adresu a port a nástroj, ktorý rozhranie zdvihne, vtedy preloží názov hostiteľa. V základnom protokole nič nekladie DNS otázky podľa rozvrhu a klientska aplikácia môže navrch pridať vlastné správanie obnovy. Zaznamenanie preloženej adresy, rodiny a portu vedľa názvu tú medzeru zviditeľní. Bez takého záznamu vyzerá konfigurácia správne, kým rozhranie hovorí s niečím iným.

Existuje jedna skutočná automatická aktualizácia a oplatí sa ju poznať, pretože pripomína obnovu DNS, no nie je ňou. Koncový bod partnera sa môže posunúť, keď príde správne overená prevádzka z novej adresy, čo je roaming a nie preklad názvov. Nasleduje partnera, takže nemôže objaviť nesúvisiaci nový server, s ktorým sa starý koncový bod nikdy nespojil.

Porovnajte záznam s používanou adresou

Spýtajte sa na dokumentovaný názov cez resolver, ktorý klient používa, potom sa spýtajte rozhrania, ktorý koncový bod drží. Obe odpovede tvoria porovnanie, ktoré rozhoduje o zvyšku tejto stránky:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Manuál wg(8) dokumentuje podpríkazy show, ktoré tieto riadky používajú. Porovnajte aj rodinu adresy, nielen adresu, pretože záznam, ktorý získal položku IPv6, je iné porovnanie než ten, ktorému sa zmenila adresa IPv4. Ak sa koncový bod od záznamu líši, rozhranie beží na zastaraných informáciách a názov nikdy nebol problémom. Ak sa zhodujú a tunel stále zlyháva, prejdite k poslucháčovi a pravidlám, nie k profilu.

Časová značka podania ruky je v tom bloku preto, lebo samotný koncový bod nehovorí, či je partner dostupný. Zastaraná časová značka vedľa správneho koncového bodu je problém cesty, nie prekladu, a tento rozdiel mení, na čo siahneme nabudúce.

Reštartujte cez správcu rozhrania

Keď je koncový bod potvrdený ako zastaraný, obnovte ho mechanizmom, ktorému rozhranie patrí namiesto úpravy živej konfigurácie. Pri rozhraní spustenom pomocou wg-quick je to dole a hore, pri jednotke systemd je to reštart a pri rozhraní vlastnenom správcom je to zmena vykonaná v tom správcovi, pretože úprava za behu sa pri ďalšom použití prepíše:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Potom overte, že náhradný poslucháč a jeho identita sú služba, ktorú ste zamýšľali. Presun DNS nie je zmena identity, takže by nikdy nemal byť príležitosťou dôverovať kľúču, ktorý ste neoverili. Ak rozhranie teraz hlási novú adresu a stále nevzniká podanie ruky, porucha sa presunula do novej sieťovej cesty alebo poslucháča, čo je pokrok a nie tá istá porucha dvakrát.

Najprv podanie ruky, potom dátová cesta

Pred výberom kontrolného zoznamu oddeľte oba výsledky. Podanie ruky, ktoré uspeje pri aplikácii, ktorá zlyháva, je problém dátovej cesty: trasy, povolené prefixy alebo DNS vnútri tunela. Podanie ruky, ktoré nikdy nenastane, je problém dostupnosti alebo identity na koncovom bode. Miešanie oboch dáva správu, ktorú nikto nedokáže zopakovať, a zmenový denník s tromi nesúvisiacimi úpravami.

Zaznamenajte názov, preloženú adresu, používaný koncový bod a to, či sa podanie ruky dokončilo. Tieto štyri fakty odpovedajú na otázku, ktorú táto porucha stále kladie, a ďalší výskyt menia na dvojminútovú kontrolu. Údržba názvov a nasadenie u klientov zostávajú oddelené úlohy: oprava záznamu nasadenie nevykoná a reštart rozhrania neopraví záznam, ktorý je stále nesprávny.