WireGuard po spremembah DNS še vedno uporablja staro končno točko

Predor je prenehal prepuščati promet, potem ko se je zapis DNS strežnika premaknil, ime pa se z istega računalnika razreši pravilno. Ti dve dejstvi si nista v nasprotju. Konfiguracija WireGuarda vsebuje končno točko, orodje pa ime razreši v trenutku, ko to konfiguracijo uporabi, zato lahko delujoči vmesnik še naprej uporablja naslov, ki ga je dobil pred urami. Preden zamenjate ključe ali se dotaknete obsega predora, preverite, kaj vmesnik uporablja.

Ime se razreši enkrat, ne nenehno

Osnovna konfiguracija WireGuarda vzame končno točko kot naslov in vrata, orodje, ki dvigne vmesnik, pa takrat razreši ime gostitelja. Nič v osnovnem protokolu ne sprašuje DNS po urniku, in odjemalska aplikacija lahko na vrh doda svoje vedenje osveževanja. Zapis razrešenega naslova, družine in vrat poleg imena naredi to vrzel vidno. Brez takega zapisa je konfiguracija videti pravilna, medtem ko vmesnik govori z nečim drugim.

Obstaja ena resnična samodejna posodobitev in vredno jo je poznati, ker je podobna osvežitvi DNS, ne da bi bila to. Končna točka partnerja se lahko premakne, ko pride pravilno overjen promet z novega naslova, kar je gostovanje in ne razreševanje imen. Sledi partnerju, zato ne more odkriti nepovezanega novega strežnika, s katerim se stara končna točka nikoli ni povezala.

Primerjajte zapis z naslovom, ki se uporablja

Povprašajte po dokumentiranem imenu prek razreševalnika, ki ga uporablja odjemalec, nato vprašajte vmesnik, katero končno točko drži. Dva odgovora sta primerjava, ki odloči preostanek te strani:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Priročnik wg(8) dokumentira podukaze show, ki jih uporabljajo te vrstice. Primerjajte tudi družino naslova, ne le naslova, ker je zapis, ki je dobil vnos IPv6, drugačna primerjava od tistega, ki mu je spremenil naslov IPv4. Če se končna točka razlikuje od zapisa, vmesnik dela s zastarelimi podatki in ime nikoli ni bilo težava. Če se ujemata in predor še vedno ne uspe, pojdite k poslušalcu in pravilom, ne k profilu.

Časovni žig rokovanja je v tem bloku, ker sama končna točka ne pove, ali je partner dosegljiv. Zastarel časovni žig poleg pravilne končne točke je težava poti, ne razreševanja, in ta razlika spremeni, česa se boste dotaknili naslednjič.

Znova zaženite prek upravitelja vmesnika

Ko je končna točka potrjena kot zastarela, jo osvežite z mehanizmom, ki ima v lasti vmesnik namesto da bi urejali delujočo konfiguracijo. Za vmesnik, ki ga je zagnal wg-quick, je to spust in dvig, za enoto systemd je to ponovni zagon, za vmesnik v lasti upravitelja pa sprememba, narejena v tem upravitelju, ker se urejanje med delovanjem prepiše ob naslednji uporabi:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Nato potrdite, da sta nadomestni poslušalec in njegova identiteta storitev, ki ste jo nameravali. Premik DNS ni sprememba identitete, zato nikoli ne bi smel biti priložnost za zaupanje ključu, ki ga niste preverili. Če vmesnik zdaj poroča novi naslov in še vedno ne ustvari rokovanja, se je napaka preselila na novo omrežno pot ali poslušalca, kar je napredek in ne ista napaka dvakrat.

Najprej rokovanje, nato podatkovna pot

Pred izbiro kontrolnega seznama ločite oba izida. Rokovanje, ki uspe pri aplikaciji, ki odpove, je težava podatkovne poti: poti, dovoljene predpone ali DNS znotraj predora. Rokovanje, ki se nikoli ne zgodi, je težava dosegljivosti ali identitete na končni točki. Mešanje obojega da poročilo, ki ga nihče ne more ponoviti, in dnevnik sprememb s tremi nepovezanimi urejanji.

Zabeležite ime, razrešeni naslov, uporabljeno končno točko in ali se je rokovanje dokončalo. Ta štiri dejstva odgovorijo na vprašanje, ki ga ta napaka ves čas postavlja, in naslednji pojav spremenijo v dvominutno preverjanje. Vzdrževanje imen in uvajanje pri odjemalcih ostaneta ločeni nalogi: popravljanje zapisa ne izvede uvajanja, ponovni zagon vmesnika pa ne popravi zapisa, ki je še vedno napačen.