Застарели DDNS запис или покварена VPN крајња тачка: како их разликовати

Споља, застарело име домаћина и покварен VPN изгледају идентично. Клијент разрешава име, име показује негде, а веза или истиче, или се одбија. Једно је проблем ажурирања DNS-а, а друго проблем аутентификације или прослеђивања, и разлика постаје очигледна тек када упоредите објављену адресу са адресом коју ваша линија заиста има.

Две неисправности које изгледају исто

Прва неисправност је то што запис још увек наводи јучерашњу WAN адресу. Друга је то што је запис исправан, а тунел вас одбија из својих разлога. Обе дају исту поруку на клијенту, и јавља се искушење да почнете поново да генеришете сертификате.

Редослед је овде важан. Провера DNS-а траје минут и може се поништити. Поновно генерисање CA није ни једно ни друго.

Прво упоредите адресе

Питајте власника мреже коју адресу линија тренутно има, а затим питајте DNS шта објављује. dig +short vpn.example.com даје одговор који ће добити ваш клијент, а dig @1.1.1.1 vpn.example.com показује да ли други резолвер види нешто друго. Ако се та два не слажу, гледате понашање кеша, а не покварен ажурирач.

Рекурзивни одговор може заостајати за ажурирањем за свој TTL, зато држите ауторитативни запис и оно што је ваш лаптоп кеширао у одвојеним кутијама.

Шта је заправо овлашћење ажурирача

Старији DDNS уређаји се често аутентификују самом лозинком налога, због чега их промена те лозинке тихо квари. Они настављају да покушавају са старом вредношћу и не пријављују ништа корисно. Упутство No-IP за лозинку уређаја документује управо овај проблем компатибилности на старијем хардверу, а разуман одговор је овлашћење за ажурирање ограниченог обима, а не слабија лозинка налога.

Новији механизми издају засебан токен или кључ за ажурирање са сопственим животним циклусом. То је вредност коју треба ротирати у рутер и она коју треба уписати у ваш инвентар овлашћења. То такође није вредност коју треба лепити у чет нит док отклањате грешке.

Прегледајте не-тајни статус ажурирача: време последњег успеха, категорију одговора и име домаћина за које сматра да га поседује. Одбијање овлашћења и квар повезивања захтевају различите поправке.

Шта поправка DNS-а не може

Поправка записа не ствара улазну доступност. Ако линија стоји иза NAT-а на нивоу оператера, ниједно име домаћина неће учинити да улазна веза ради. Такође не отвара правило заштитног зида нити прослеђује порт. И никада није разлог да искључите проверу сервера на клијенту, што је потез који људи повлаче када одлуче да сертификат мора бити проблем.

Насупрот томе, промена VPN лозинке није поправка за застарели DNS. Она само додаје другу неисправност на исти тикет.

Поново се повежите и докажите то од почетка до краја

Када ауторитативни запис буде исправан, клијент може још држати старо разрешење. Употребите његово подржано поновно повезивање или освежавање крајње тачке и дајте му тренутак уместо да стално притискате повежи. Затим докажите пут у четири корака: разрешите име, потврдите адресу, проверите да ли је слушалац доступан и аутентификујте се. Четири одвојена резултата, четири одвојена одговора.

Држите ажурирач на контролној листи ротације поред VPN налога. Један предвиђени власник записа, важеће овлашћење и видљив успех су оно што спречава следећу верзију овог тикета.