VPN சேவையகத்தை புதிய பொது IP க்கு நகர்த்துவது: முதலில் என்ன சரிபார்க்க வேண்டும்
இடத்திலேயே மாற்றீடு மற்றும் இணையான மாற்றம் வெவ்வேறு இடங்களில் உடைகின்றன. உள்ளமைவுகள், NAT மற்றும் சான்றிதழ்களைச் சரிபார்த்து, ஒவ்வொரு கிளையண்டும் பெயரை எவ்வாறு தீர்க்கிறது என்பதைப் பாருங்கள்.
ஒரு முகவரியை மீண்டும் ஒதுக்க ஒரு நிமிடம் ஆகும். அடுத்த வாரமே நகர்த்தல் உடையும் இடம், மற்றும் வழங்குநரின் கன்சோல் குறிப்பிடும் இடத்தில் அரிதாகவே. புதிய பொது IP நான்கு இடங்களில் குறிப்பிடப்படுகிறது: டீமன் கேட்கும் சாக்கெட், கிளையண்டுகள் சரிபார்க்கும் நம்பிக்கை நங்கூரம், பழைய முகவரியைப் பெயரிடும் ஒவ்வொரு விதியும், மற்றும் அவற்றை இணைக்கும் DNS பதிவு. இரண்டு நகர்த்தல்கள் கட்டுப்பாட்டுப் பலகையில் ஒரே மாதிரி தோன்றும் ஆனால் முற்றிலும் வேறுபட்டு நடக்கும்: நீங்கள் இயக்கும் இயந்திரத்தில் முகவரியை மீண்டும் ஒதுக்குவது, அல்லது இரண்டாவது எண்ட்பாயிண்ட்டை நிறுவி கிளையண்டுகளை அங்கு நகர்த்துவது. கீழேயுள்ள சரிபார்ப்புகள் மலிவான தோல்விகளை முதலில் வைக்கின்றன, ஒவ்வொரு பகுதியும் எந்த நகர்த்தலுக்குப் பொருந்தும் எனக் கூறுகிறது.
இடத்திலேயே மாற்றீடு மற்றும் இணையான மாற்றம் வெவ்வேறு வேலைகள்
இடத்திலேயே மாற்றீடு புரவலன், விசைகள், வழித்தட அட்டவணை மற்றும் பயனர் பட்டியலைத் தக்கவைக்கிறது; முகவரி மட்டுமே மாறுகிறது. மிதக்கும் IP இன் மறு ஒதுக்கீடு இதைத்தான் செய்கிறது, பல வழங்குநர்களில் விருந்தினர் இதைக் கவனிப்பதே இல்லை, ஏனெனில் மொழிபெயர்ப்பு நிகழ்வின் முன் நடக்கிறது. மறுகட்டமைப்பு அல்லது வழங்குநரின் மறு ஒதுக்கீடு கடினமானது: விருந்தினர் மாற்றத்தைப் பார்க்கிறார், பழைய மதிப்பை தற்காலிகச் சேமிப்பில் வைத்திருந்த அனைவரும் அதே கணத்தில் அதை அறிகிறார்கள்.
இணையான எண்ட்பாயிண்ட் என்பது அதே வேலையைச் செய்யும் இரண்டாவது புரவலன். அதை உருவாக்கி, ஒரு சுயவிவரத்துடன் சோதித்து, புதியது உண்மையான பாதையில் தன்னை நிரூபிக்கும் வரை பழையது பதிலளிக்கட்டும். விலை நிலை. பகிரப்பட்ட peer பதிவுகள், ரத்துசெய்தல்கள் மற்றும் பதிவு இல்லாமல், தற்செயலாக ஒரே பெயரைப் பகிரும் இரண்டு வலைப்பிணையங்கள் உங்களிடம் உள்ளன.
| Question | In-place swap | Parallel endpoint |
|---|---|---|
| Rollback in one step? | Only if you can get the old address back | Point DNS back; old host still up |
| Blast radius | Every client at once | Only the clients you moved |
| Best when | The address is yours to reassign | The old address is gone for good |
பழைய முகவரி எழுதப்பட்டுள்ள ஒவ்வொரு இடத்தையும் கண்டறியுங்கள்
உரை தேடலுடன் தொடங்குங்கள், ஏனெனில் உள்ளமைவு கோப்புகள் எளிதான பாதி. டீமன் உள்ளமைவு, தீச்சுவர் துண்டுகள், கண்காணிப்பு இலக்குகள் மற்றும் வட்டில் உருவாக்கப்பட்ட எந்தக் கிளையண்ட் தொகுப்பையும் தேடுங்கள். நீங்கள் IPv6 முகவரியை வெளியிட்டால் அதையும் சேர்க்கவும்; A பதிவை மட்டும் பின்பற்றும் நகர்த்தல் இரட்டை அடுக்கு கிளையண்டுகளை பழைய பாதையில் விட்டுவிடும்.
OLD=203.0.113.10
grep -RIn -- "$OLD" /etc /root
ss -lunpt | grep -F "$OLD"
nft list ruleset | grep -F "$OLD"
iptables-save | grep -F "$OLD"
wg show all endpointsபின்னர் கர்னலை சரிபார்க்கவும், ஏனெனில் இயங்கும் அமைப்பு முகவரியை எந்தக் கோப்பும் குறிப்பிடாத இடங்களில் வைத்திருக்கிறது. நிலையான மூல NAT விதி, ipset பதிவு, bind முகவரி மற்றும் conntrack பதிவு அவற்றை நீக்கிய உள்ளமைவு மாற்றத்தை விட நீண்ட காலம் வாழ்கின்றன, சில சேமிக்கப்பட்ட விதித் தொகுப்பிலிருந்து திரும்பியதால் மறுதொடக்கம் செய்வதையும் தாண்டுகின்றன. ஒரு அடுக்கு மேலே, வழங்குநரின் பாதுகாப்புக் குழுக்கள், சுமை சமன்படுத்தியின் இலக்குகள் மற்றும் கண்காணிப்புச் சோதனைகள் உங்கள் கோப்பு அமைப்பில் இல்லவே இல்லை.
எதையும் மாற்றும் முன் பட்டியலை எழுதுங்கள்; அது ரோல்பேக் ஸ்கிரிப்டாகவும் செயல்படுகிறது.
புரவலன் பெயர் கிளையண்டுகள் மீள்கின்றன; நேரடி IP கிளையண்டுகள் அமைதியாகின்றன
கிளையண்டுகள் புரவலன் பெயர் வழியாக சேவையகத்தை அடைந்தால், மாற்றம் முக்கியமாக DNS பிரச்சினை, மற்றும் நேற்று அமைத்த TTL எவ்வளவு மோசமாகும் என்பதைத் தீர்மானிக்கிறது. தீர்வுகள் தற்காலிகச் சேமிப்பு செய்கின்றன, stub தீர்வுகள் மீண்டும் சேமிக்கின்றன, பல கிளையண்டுகள் பெயரை புதிய இணைப்பில் மட்டுமே தேடுகின்றன, எனவே நிறுவப்பட்ட சுரங்கப்பாதை அதன் தொடக்க முகவரியைத் தக்கவைக்கிறது.
எண்ட்பாயிண்ட் நேரடி முகவரியாக இருந்தால், எதுவும் மீண்டும் தீர்க்கப்படாது, எதுவும் புகாரைப் பதிவு செய்யாது. WireGuard தீர்க்கப்பட்ட சாக்கெட் முகவரியைச் சேமிக்கிறது: Endpoint = vpn.example.net:51820 wg-quick up இயங்கும் அந்தக் கணத்தில் IP ஆகிறது, நீங்கள் அதை மாற்றும் வரை அதே IP ஆக இருக்கும். OpenVPN மிகவும் பொறுமையானது: இணைப்பின் போது remote புரவலன் பெயரைத் தீர்க்கிறது, resolv-retry infinite உடன் மீண்டும் இணையும் போது DNS ஐ மீண்டும் முயற்சிக்கிறது. நேரடி IP கொடுத்தால், இரண்டும் இனி இல்லாத இயந்திரத்தை அழைத்துக்கொண்டே இருக்கும்.
மக்களை ஏமாற்றுவது கண்ணாடிப் பிம்பம். புதிய முகவரிக்கு ஏற்கனவே சுட்டிக்காட்டும் கிளையண்ட், பழைய கேட்பவர் இன்னும் பதிலளிக்கும் போது, உங்கள் சொந்த மேசையிலிருந்து செய்யும் ஒவ்வொரு சோதனையையும் தாண்டுகிறது. நானும் இதில் ஏமாற்றப்பட்டேன்: புதிய எண்ட்பாயிண்ட் தொலைபேசியில் முதல் முயற்சியிலேயே எழுந்தது, பழைய சுயவிவரம் கொண்ட கிளையண்ட் பழைய கேட்பவர் மிகவும் தாமதமாக அணைக்கப்பட்டபோது மட்டுமே தெரியவந்தது.
நம்பிக்கை முகவரியுடன் நகர்வதில்லை
WireGuard அடையாளத்தை அணுகலிலிருந்து பிரிக்கிறது, இது முகவரி நகர்த்தலை கிட்டத்தட்ட இலவசமாக்குகிறது. peer கள் பொது விசையால் அடையாளம் காணப்படுகின்றன, எண்ட்பாயிண்ட் என்பது பாக்கெட்டுகள் இப்போது செல்லும் இடம் மட்டுமே; கடைசியாக அங்கீகரிக்கப்பட்ட பாக்கெட்டின் மூல முகவரியிலிருந்து புரவலன் peer இன் எண்ட்பாயிண்ட்டைப் புதுப்பிக்கிறது. செயலற்ற peer க்கு புதிய இடத்துடன் பேச காரணம் தேவை, அதன் அமர்வு முதிர்ந்து handshake மறுமுயற்சிகள் தெரியும் இடத்தில் தோல்வியடையும் போது மட்டுமே அது முகவரியைக் கற்றுக்கொள்ளும். WireGuard விரைவு வழிகாட்டி எண்ட்பாயிண்ட் புலத்தை உள்ளடக்குகிறது.
TLS அடிப்படையிலான சேவையகங்கள் எதிர் நிலை. சான்றிதழ் ஒரு பெயருடன் பிணைக்கப்பட்டுள்ளது, முகவரியை அழைக்கும் கிளையண்ட் தான் அழைத்ததை விடயத்தின் மாற்றுப் பெயர்களுடன் ஒப்பிடுகிறது. DNS SAN மட்டும் கொண்ட சான்றிதழுக்கு IP வழியாக இணையுங்கள், சரிபார்ப்பு தோல்வியடைகிறது: கிளையண்ட் பயன்படுத்திய பெயர் சான்றிதழில் இல்லை. IP SAN உடன் மீண்டும் வெளியிடுவது அந்த ஒரு இணைப்பைச் சரிசெய்து அடுத்த நகர்த்தலை மோசமாக்குகிறது. சுயவிவரத்தில் புரவலன் பெயரை வைத்து verify-x509-name ஐ அதன் இடத்தில் விடுவது கீழேயுள்ள முகவரி மாறும்போதும் சரிபார்ப்பை கடுமையாக வைத்திருக்கிறது.
பின்னர் டீமன் எதனுடன் பிணைக்கப்பட்டுள்ளது என்பதைச் சரிபார்க்கவும்; பழைய முகவரியில் பொருத்தப்பட்ட சாக்கெட் அமைதியாகத் தோல்வியடைகிறது. local 203.0.113.10 உடன் தொடங்கப்பட்ட OpenVPN சேவையகம் அந்த முகவரி போனவுடன் எழ மறுக்கிறது, 0.0.0.0 இல் உள்ள கேட்பவர் மாற்றத்தை இலவசமாகப் பின்பற்றுகிறது. NAT உம் அதே வழியில் பிரிகிறது: MASQUERADE இயந்திரத்திடம் இப்போது உள்ள எந்த முகவரியையும் பின்பற்றுகிறது, நிலையான SNAT --to-source 203.0.113.10 இனி உங்களுடையதல்லாத முகவரிக்கு மீண்டும் எழுதிக்கொண்டே இருக்கிறது, எனவே திரும்பும் போக்குவரத்து மறைந்துவிடுகிறது. புதிய முகவரி வேறு upstream நுழைவாயிலுடன் வந்தால், rp_filter ஐச் சரிபார்க்கவும்: தலைகீழ் பாதை வடிகட்டல் கர்னல் எதிர்பார்க்காத இடைமுகத்தில் வரும் திரும்பும் போக்குவரத்தை வீசுகிறது.
மாற்றத்தின் வரிசை மற்றும் அது செயல்பட்டதற்கான சான்றுகள்
ஒரு நாள் முன்பே TTL ஐக் குறைத்து, புதிய கேட்பவரை நிறுவி, உங்களிடம் மட்டுமுள்ள சுயவிவரத்துடன் அதை நிரூபியுங்கள். அதே வலைப்பிணையத்தின் உள்ளிருந்து செய்யும் சோதனை கிட்டத்தட்ட எதையும் நிரூபிக்காது, எனவே செல்லுலார் தொலைபேசியைப் பயன்படுத்தி, எண்ட்பாயிண்ட்டுக்கு ping செய்வதற்குப் பதிலாக சுரங்கப்பாதை கடத்த வேண்டிய ஒன்றைச் சோதியுங்கள்.
முழு காலத்திலும் இரண்டு முகவரிகளையும் கவனியுங்கள். புதிய புரவலனில் wg show all latest-handshakes, அல்லது OpenVPN நிலைக் கோப்பு, எத்தனை peer கள் உண்மையில் நகர்ந்தன எனக் கூறும். புதிய எண்ட்பாயிண்ட்டில் எதிர்பார்க்கப்பட்ட peer கள் இருந்து பழையதில் பின்தங்கியவை மட்டும் இருந்தால், பழைய கேட்பவரை ஓய்வுபெறச் செய்து, பழைய NAT விதியை நீக்கி, வழங்குநரின் தீச்சுவரிலிருந்து முகவரியை அகற்றுங்கள். பழைய கேட்பவரை அகற்றுவதே தவறவிடப்படும் படி, அது பழைய சுயவிவரம் இன்னும் பழைய வலைப்பிணையத்தை அடையும் இடைவெளியை மூடுகிறது.
தொடங்கும் முன் ரோல்பேக் தூண்டலை எழுத்துப்பூர்வமாக நிர்ணயியுங்கள்: ஒப்புக்கொள்ளப்பட்ட காலத்திற்குப் பிறகு புதிய எண்ட்பாயிண்ட்டுக்கு ஒரு உண்மையான கிளையண்டிடமிருந்தும் handshake கிடைக்கவில்லை என்றால், பழைய முகவரியை மீட்டெடுத்து சுயவிவர விநியோகத்தை நிறுத்துங்கள். பின்னர் தேடலை மீண்டும் இயக்கி, ஓய்வுபெற்ற முகவரியுடன் எந்தக் கேட்பவரும் பிணைக்கப்படவில்லை என உறுதிப்படுத்துங்கள். இரண்டு விஷயங்கள் அடுத்த நகர்த்தலுக்குச் செல்கின்றன: அடுத்த மாற்றம் DNS திருத்தமாக இருக்க கிளையண்ட் சுயவிவரத்தில் புரவலன் பெயர், மற்றும் சேவையகத்தின் மீட்புக் குறிப்புகளுக்கு அருகில் சேமிக்கப்பட்ட பட்டியல்.