Zamenjava ponudnika VPN: načrtujte ime gostitelja, ne le IP

Vaš zapis DNS je pravilen, zamenjava je zdrava, a nekateri odjemalci vseeno ure in ure kličejo stari naslov. Nekaj jih takoj spodleti na imenu, ki se razreši in nikoli ne odgovori. Oba izida izhajata iz ene vrzeli: ime gostitelja spremeni, kaj odjemalec poišče, ne kdaj ga poišče, in ne, čemu zaupa, ko prispe odgovor.

Simptom: pravilen zapis, zastareli tuneli

Profil, ki shranjuje ime, ni odjemalec, ki bi ga nenehno razreševal. Večina ga razreši enkrat, ob uporabi konfiguracije ali ko se tunel dvigne, nato pa ta naslov uporablja do konca seje. Dolg TTL na vrhu je razlog, da je treba prehod načrtovati okoli ponovnih povezav in ne okoli urejanja DNS.

Nobeno od obeh vedenj ni napaka, in prav zato je simptom zmeden. Odjemalec dela z odgovorom, ki ga je prejel prej, in nič na strani strežnika ne kaže, kateri odgovor je bil to. Načrtujte ponovno povezavo v okno vzdrževanja in uporabnikom povejte, kaj bodo videli, ali pa okno preživite z odgovarjanjem na zahtevke. Čakalna vrsta enakih poročil je običajen izid.

Kdo nadzoruje ime in kaj odjemalec preveri

Nadzor nad cono odloča, kako hitro se lahko selitev premika. Zapis hranite pri registrarju, v katerega se lahko prijavite, in zapišite, kdo drug ga lahko spremeni.

Zaupanje ne sledi imenu. Odjemalec, ki temelji na TLS, lahko preveri identiteto potrdila ali pripeto ime, medtem ko WireGuard overi javni ključ partnerja in ime gostitelja popolnoma prezre. Ta razlika odloči, ali zadošča urejanje DNS ali pa vsak profil potrebuje nov odtis. Sprememba zapisa ne bi smela nikoli odobriti končne točke, ki je nihče ni odobril.

Administrativni dostop in dostop za obnovitev hranite stran od javnega imena odjemalca. Izguba gostiteljskega računa vas ne bi smela stati tudi zapisa, ki preusmerja odjemalce. Pot obnovitve shranite nekam, kar ni odvisno od ponudnika, ki ga zapuščate.

Kdaj vsak odjemalec znova prebere ime

Čas razrešitve je lastnost vsakega odjemalca, zato pred obljubo prehodnega okna preglejte izvedbo, ki jo resnično dobavljate. wg-quick razreši končno točko, ko se vmesnik dvigne, in ta naslov obdrži, dokler se tunel ne znova zažene. Odjemalec OpenVPN poišče ime ob povezavi, ali bo ob ponovni povezavi pogledal znova, pa je odvisno od njegovih možnosti.

Mobilni odjemalci so običajno presenečenje, ker lahko razrešeni naslov obdržijo skozi spanje ali spremembo omrežja. Zapise A in AAAA objavite le, če se zamenjava odziva v obeh družinah. Naslov, ki se odziva v eni družini, ne dokazuje ničesar o drugi, mrtev zapis AAAA pa vsakemu poskusu doda časovno omejitev. Dokumentirajte vedenje razreševanja za vsakega odjemalca, ki ga podpirate, nato pa testirajte na napravah, ki jih ljudje resnično uporabljajo.

Ponovna povezava je pri večini odjemalcev dejanje uporabnika in strežnik je ne more vsiliti. Ta korak vključite v opombo o vzdrževanju, z vrstico o tem, kaj bo uporabnik videl, ko se to zgodi.

Preidite na podlagi dokazov in nato upokojite staro končno točko

Pred preklopom dokažite vsako plast na zamenjavi: poslušalec odgovori, požarni zid spusti vrata, poti se vrnejo pravilno, ime se razreši na novi naslov in znana identiteta je sprejeta. Poslušalec, ki sprejme povezavo, ni isto kot tisti, ki dokonča rokovanje, zato testirajte rokovanje in ne vrat. Trenutni seznam preklicev imejte ob konfiguraciji, ker obnovljena varnostna kopija znova ustvari seznam partnerjev, kakršen je bil, in bi znova odprla dostop, ki ste ga že zaprli. Zapišite, s katero identiteto ste testirali, ker „deluje“ ni dokaz, ki bi ga kdorkoli lahko ponovil.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Med prehodom spremljajte poskuse povezave na obeh končnih točkah za isto identiteto. Odjemalec, ki se še vedno overja proti staremu naslovu, je profil ali predpomnjen odgovor, ki se ni nikoli premaknil. Upokojite staro končno točko po datiranem načrtu, ker dve storitvi, ki sprejmeta eno identiteto, pustita odprta dvoje vrat.

Preizkus prehoda je aplikacijska seja skozi novo končno točko, ne ping. Ko ta seja deluje in stara končna točka med celotnim ciklom ponovne povezave ne zabeleži nobenega dovoljenega poskusa, je premik končan.