VPN се преселио: зашто ваш OpenVPN клијент још увек зове стари IP

Добављач је променио вашу јавну адресу, ажурирали сте динамички DNS запис, а клијент још увек не може да се повеже. Споља изгледа као да се запис није проширио. Најчешће је запис у реду и клијент зове адресу коју је разрешио пре пресељења, јер покренути тунел и сачувани профил имају сваки своју представу о томе где живи сервер. Три слоја морају да се сложе, а они се ажурирају по различитим распоредима.

Гледајте шта профил зове, а не шта DNS каже

Отворите везу коју заиста користите и прочитајте линију remote. Нумеричка адреса тамо никада не прати ажурирање имена домаћина, колико год запис постане тачан.

Затим проверите да ли је профил који сте уредили онај који је клијент учитао. Увезени профили су уобичајени: администратор је можда пре месеци направио копију и задржао своју верзију, па се датотека у вашој фасцикли за преузимање и ставка у апликацији могу разликовати. Упоредите крајњу тачку у сопственим детаљима везе клијента пре него што уопште почнете да отклањате грешке у DNS-у.

Две датотеке, једна крајња тачка — то је овде уобичајен налаз.

grep -nE '^remote|^resolv-retry|^persist-remote-ip|^float' client.ovpn
printf 'resolver says: '; dig +short vpn.example.net

Прочитајте следећи покушај повезивања клијента

Поново покрените везу са детаљним евидентирањем и прочитајте линију у којој је наведена адреса са којом ће контактирати. Та вредност је важна, а не она коју је разрешио ваш прегледач.

Кеш резолвера може још да држи претходни одговор, а неке мреже га држе дуже него што захтева TTL записа. Питајте резолвер који клијент заиста користи, а не јавни који сте тестирали са другог места.

Ако евиденција показује нову адресу а веза још увек не успева, проблем се преместио: пакет иде негде и нико не одговара. То је питање слушаоца, заштитног зида или прослеђивања порта, и налази се на страни сервера, а не на путу разрешавања клијента. Држите ова два неуспеха одвојено, јер третирање недоступног слушаоца као DNS проблема води вас двапут кроз исту петљу.

Знајте које поновно покретање радите

Не задржавају сва поновна покретања исто стање, зато се промена адресе може понашати другачије зависно од тога како се процес рециклира. Меко поновно покретање изазвано сигналом задржава више контекста претходне сесије, док пуно заустављање и покретање поново почиње од конфигурације. Ако тестирате да ли клијент поново разрешава, желите пут који почиње од конфигурације.

Поставке трајности такође су важне, јер су намењене да сачувају оно што је аутентификовано, а не да јуре нове адресе.

Најчишћи тест је свеже покретање из предвиђеног профила, након чега следи поглед на линију евиденције која именује крајњу тачку. Све што научите из делимично сачуване сесије је тврдња о тој сесији.

Четири опције и њихови одвојени послови

remote са именом домаћина је подешавање које уопште омогућава поновно разрешавање; дословна адреса у тој линији то искључује. resolv-retry контролише шта се дешава када претрага не успе, а 2.6 га већ подразумевано поставља на бесконачно. Његово додавање дакле ништа не мења, и он никада не заказује периодичну проверу другог одговора. Ко каже да он анкетира нове адресе, помешао је опоравак са свежином.

persist-remote-ip је о континуитету, а не о свежини: поново користи крајњу тачку која се последња аутентификовала, кроз мека поновна покретања која подржава. Док тестирате пресељење, то је супротно од онога што желите. Искључите га за тест ако га ваш билд укључује, а затим га вратите када нова крајња тачка буде доказана. Ако остане укључен, успешно поновно повезивање можда вам неће рећи ништа о DNS-у.

float прихвата аутентификованог партнера чија се адреса променила усред сесије, и то само у конфигурацијама које то подржавају. Он не освежава DNS и неће сам пратити промену добављача. Третирајте га као функцију отпорности за партнере који лутају, а не као механизам динамичких адреса за сервере.

Потврдите нову крајњу тачку пре него што окривите клијента

Изван своје мреже проверите да ли нова адреса има слушаоца на конфигурисаном порту и да ли прослеђивање добављача показује на њу. Тачан A запис за машину без отвореног порта производи управо онај симптом који људи приписују кешу.

Затим се поново повежите и проверите две ствари: клијент се аутентификовао према очекиваном серверском сертификату и сесија стиже до ресурса који сте наменили. Промена адресе не снижава захтеве за идентитетом, а веза која успева према погрешној крајњој тачки је гора од оне која не успева. Приручник за OpenVPN 2.6 наводи све четири опције са њиховим сопственим обимом, и то је контролна листа коју треба држати поред профила.

Обезбедите ванпојасни пут до сервера пре него што поново покренете тунел који носи ваш административни приступ. Та једина мера предострожности спречава већину инцидената које ово сценарио ствара.