WireGuard и даље користи стару крајњу тачку после промена DNS-а

Тунел је престао да пропушта саобраћај након што се DNS запис сервера померио, а име се исправно разрешава са истог рачунара. Ове две чињенице нису у супротности. WireGuard конфигурација садржи крајњу тачку, а алат разрешава име у тренутку када примењује ту конфигурацију, тако да интерфејс који ради може наставити да користи адресу коју је добио пре неколико сати. Проверите шта интерфејс користи пре него што замените кључеве или дотакнете опсег тунела.

Име се разрешава једном, а не непрекидно

Основна WireGuard конфигурација прима крајњу тачку као адресу и порт, а алат који подиже интерфејс разрешава име хоста у том тренутку. Ништа у основном протоколу не пита DNS по распореду, а клијентска апликација може да дода своје понашање освежавања поврх тога. Записивање разрешене адресе, породице и порта поред имена чини ту празнину видљивом. Без таквог записа конфигурација изгледа исправно док интерфејс разговара са нечим другим.

Постоји једно истинско аутоматско ажурирање и вредно га је знати јер личи на освежавање DNS-а без да то буде. Крајња тачка партнера може се померити када исправно аутентификован саобраћај стигне са нове адресе, што је роаминг, а не разрешавање имена. Прати партнера, па не може да открије неповезан нови сервер са којим стара крајња тачка никада није контактирала.

Упоредите запис са адресом која се користи

Питајте документовано име преко резолвера који клијент користи, затим питајте интерфејс коју крајњу тачку држи. Два одговора су поређење које одлучује остатак ове странице:

dig +short vpn.example.net
wg show wg0 endpoints
wg show wg0 latest-handshakes

Приручник wg(8) документује подкоманде show које користе ови редови. Упоредите и породицу адресе, не само адресу, јер запис који је добио IPv6 запис је другачије поређење од оног коме се променила IPv4 адреса. Ако се крајња тачка разликује од записа, интерфејс ради са застарелим информацијама и име никада није било проблем. Ако се поклапају, а тунел и даље не успева, пређите на слушаоца и правила, а не на профил.

Временска ознака руковања је у том блоку јер сама крајња тачка не каже да ли је партнер достижан. Застарела временска ознака поред исправне крајње тачке је проблем путање, а не разрешавања, и та разлика мења шта ћете дотаћи следеће.

Поново покрените преко менаџера интерфејса

Након што се крајња тачка потврди као застарела, освежите је преко механизма који поседује интерфејс уместо да уређујете живу конфигурацију. За интерфејс који је покренуо wg-quick то је спуштање и подизање, за systemd јединицу то је поновно покретање, а за интерфејс у власништву менаџера то је промена направљена у том менаџеру, јер се измена током рада преписује при следећој примени:

wg-quick down wg0 && wg-quick up wg0
systemctl restart wg-quick@wg0

Затим потврдите да су заменски слушалац и његов идентитет услуга коју сте намеравали. Померање DNS-а није промена идентитета, па никада не треба да буде прилика да се верује кључу који нисте проверили. Ако интерфејс сада пријављује нову адресу и даље не даје руковање, квар се преселио на нову мрежну путању или слушаоца, што је напредак, а не исти квар двапут.

Прво руковање, затим путања података

Одвојите два исхода пре него што изаберете контролну листу. Руковање које успева под апликацијом која не успева је проблем путање података: руте, дозвољени префикси или DNS унутар тунела. Руковање које се никада не догоди је проблем доступности или идентитета на крајњој тачки. Мешање оба даје извештај који нико не може да понови и дневник промена са три неповезане измене.

Забележите име, разрешену адресу, крајњу тачку у употреби и да ли је руковање завршено. Ове четири чињенице одговарају на питање које овај квар стално поставља, и претварају следећи случај у проверу од два минута. Одржавање имена и усвајање код клијената остају одвојени задаци: исправка записа не извршава усвајање, а поновно покретање интерфејса не поправља запис који је и даље погрешан.