VPN సర్వర్ను కొత్త పబ్లిక్ IP కి తరలించడం: మొదట ఏమి తనిఖీ చేయాలి
స్థానంలో మార్పిడి మరియు సమాంతర మార్పు వేర్వేరు ప్రదేశాలలో విరిగిపోతాయి. కాన్ఫిగ్లు, NAT మరియు ధృవపత్రాలను పరిశీలించి, ప్రతి క్లయింట్ పేరును ఎలా పరిష్కరిస్తుందో చూడండి.
ఒక చిరునామాను తిరిగి కేటాయించడానికి ఒక నిమిషం పడుతుంది. మరుసటి వారమే తరలింపు విరిగే ప్రదేశం, మరియు ప్రొవైడర్ కన్సోల్ సూచించే ప్రదేశంలో అరుదుగా. కొత్త పబ్లిక్ IP నాలుగు ప్రదేశాలలో సూచించబడుతుంది: డీమన్ వినిపించే సాకెట్, క్లయింట్లు ధృవీకరించే విశ్వాస యాంకర్, పాత చిరునామాను పేర్కొనే ప్రతి నియమం, మరియు వాటిని కలిపే DNS రికార్డు. రెండు తరలింపులు నియంత్రణ ప్యానెల్ నుండి ఒకేలా కనిపిస్తాయి కానీ పూర్తిగా భిన్నంగా ప్రవర్తిస్తాయి: మీరు నడిపే మెషీన్లో చిరునామాను తిరిగి కేటాయించడం, లేదా రెండవ ఎండ్పాయింట్ను నిలబెట్టి క్లయింట్లను అక్కడికి తరలించడం. క్రింది తనిఖీలు చవకైన వైఫల్యాలను ముందు ఉంచుతాయి, ప్రతి విభాగం ఏ తరలింపుకు వర్తిస్తుందో చెబుతుంది.
స్థానంలో మార్పిడి మరియు సమాంతర మార్పు వేర్వేరు పనులు
స్థానంలో మార్పిడి హోస్ట్, కీలు, రూటింగ్ పట్టిక మరియు వినియోగదారు జాబితాను ఉంచుతుంది; చిరునామా మాత్రమే మారుతుంది. తేలియాడే IP యొక్క పునః కేటాయింపు ఇదే చేస్తుంది, అనేక ప్రొవైడర్లలో అతిథికి ఏమీ తెలియదు, ఎందుకంటే అనువాదం ఇన్స్టాన్స్ ముందు జరుగుతుంది. పునర్నిర్మాణం లేదా ప్రొవైడర్ పునః కేటాయింపు కఠినమైనది: అతిథి మార్పును చూస్తాడు, పాత విలువను కాష్ చేసినవన్నీ అదే క్షణంలో తెలుసుకుంటాయి.
సమాంతర ఎండ్పాయింట్ అంటే అదే పని చేసే రెండవ హోస్ట్. దాన్ని నిర్మించి, ఒక ప్రొఫైల్తో పరీక్షించి, కొత్తది నిజమైన మార్గంలో తనను నిరూపించుకునే వరకు పాతది సమాధానం చెప్పనివ్వండి. ధర స్థితి. పంచుకున్న peer ఎంట్రీలు, రద్దులు మరియు లాగింగ్ లేకుండా మీకు యాదృచ్ఛికంగా ఒకే పేరు పంచుకునే రెండు నెట్వర్క్లు ఉంటాయి.
| Question | In-place swap | Parallel endpoint |
|---|---|---|
| Rollback in one step? | Only if you can get the old address back | Point DNS back; old host still up |
| Blast radius | Every client at once | Only the clients you moved |
| Best when | The address is yours to reassign | The old address is gone for good |
పాత చిరునామా రాసి ఉన్న ప్రతి ప్రదేశాన్ని కనుగొనండి
వచన శోధనతో ప్రారంభించండి, ఎందుకంటే కాన్ఫిగరేషన్ ఫైల్లు సులభమైన సగం. డీమన్ కాన్ఫిగ్, ఫైర్వాల్ ముక్కలు, పర్యవేక్షణ లక్ష్యాలు మరియు డిస్క్లో సృష్టించిన ఏదైనా క్లయింట్ బండిల్ను వెతకండి. మీరు IPv6 చిరునామాను ప్రచురిస్తే దాన్ని కూడా చేర్చండి; A రికార్డును మాత్రమే అనుసరించే తరలింపు ద్వంద్వ స్టాక్ క్లయింట్లను పాత మార్గంలో వదిలివేస్తుంది.
OLD=203.0.113.10
grep -RIn -- "$OLD" /etc /root
ss -lunpt | grep -F "$OLD"
nft list ruleset | grep -F "$OLD"
iptables-save | grep -F "$OLD"
wg show all endpointsతరువాత కెర్నల్ను పరిశీలించండి, ఎందుకంటే నడుస్తున్న వ్యవస్థ చిరునామాను ఏ ఫైల్ ప్రస్తావించని ప్రదేశాలలో ఉంచుతుంది. స్థిర మూల NAT నియమం, ipset ఎంట్రీ, bind చిరునామా మరియు conntrack ఎంట్రీ వాటిని తొలగించిన కాన్ఫిగ్ మార్పు కంటే ఎక్కువ కాలం జీవిస్తాయి, కొన్ని సేవ్ చేసిన నియమ సముదాయం నుండి తిరిగి వచ్చినందున పునఃప్రారంభాన్ని కూడా దాటుతాయి. ఒక పొర పైన, ప్రొవైడర్ భద్రతా సమూహాలు, లోడ్ బ్యాలెన్సర్ లక్ష్యాలు మరియు పర్యవేక్షణ తనిఖీలు మీ ఫైల్ సిస్టమ్లో అసలు లేవు.
ఏదైనా మార్చే ముందు జాబితా రాయండి; అది రోల్బ్యాక్ స్క్రిప్ట్గా కూడా పనిచేస్తుంది.
హోస్ట్నామ్ క్లయింట్లు కోలుకుంటాయి; అక్షరార్థ IP క్లయింట్లు నిశ్శబ్దమవుతాయి
క్లయింట్లు హోస్ట్నామ్ ద్వారా సర్వర్ను చేరితే, మార్పు ప్రధానంగా DNS సమస్య, మరియు నిన్న సెట్ చేసిన TTL ఎంత దారుణంగా ఉంటుందో నిర్ణయిస్తుంది. రిజాల్వర్లు కాష్ చేస్తాయి, స్టబ్ రిజాల్వర్లు మళ్లీ కాష్ చేస్తాయి, చాలా క్లయింట్లు కొత్త కనెక్షన్లో మాత్రమే పేరును వెతుకుతాయి, కాబట్టి ఏర్పడిన టన్నెల్ తన ప్రారంభ చిరునామాను నిలుపుకుంటుంది.
ఎండ్పాయింట్ అక్షరార్థ చిరునామా అయితే, ఏదీ తిరిగి పరిష్కరించబడదు, ఏదీ ఫిర్యాదు నమోదు చేయదు. WireGuard పరిష్కరించబడిన సాకెట్ చిరునామాను నిల్వ చేస్తుంది: Endpoint = vpn.example.net:51820 wg-quick up నడిచిన క్షణంలోనే IP అవుతుంది, మీరు దాన్ని మార్చే వరకు అదే IPగా ఉంటుంది. OpenVPN మరింత సహనశీలం: కనెక్షన్ సమయంలో remote హోస్ట్నామ్ను పరిష్కరిస్తుంది, resolv-retry infinite తో తిరిగి కనెక్ట్ అయినప్పుడు మళ్లీ DNS ప్రయత్నిస్తుంది. అక్షరార్థ IP ఇచ్చినప్పుడు, రెండూ ఇక లేని మెషీన్కు డయల్ చేస్తూనే ఉంటాయి.
ప్రజలను మభ్యపెట్టేది అద్దం ప్రతిబింబం. కొత్త చిరునామా వైపు ఇప్పటికే చూపుతున్న క్లయింట్, పాత శ్రోత ఇంకా సమాధానం చెబుతుండగా, మీ స్వంత బల్ల నుండి చేసే ప్రతి పరీక్షలోనూ ఉత్తీర్ణమవుతుంది. నేనూ దీనితో మోసపోయాను: కొత్త ఎండ్పాయింట్ ఫోన్లో మొదటి ప్రయత్నంలోనే పైకి వచ్చింది, పాత ప్రొఫైల్ ఉన్న క్లయింట్ పాత శ్రోత చాలా ఆలస్యంగా ఆఫ్ చేయబడినప్పుడే బయటపడింది.
నమ్మకం చిరునామాతో పాటు కదలదు
WireGuard గుర్తింపును చేరుకోగలిగే సామర్థ్యం నుండి వేరు చేస్తుంది, ఇది చిరునామా తరలింపును దాదాపు ఉచితం చేస్తుంది. peer లు పబ్లిక్ కీ ద్వారా గుర్తించబడతాయి, ఎండ్పాయింట్ ప్యాకెట్లు ఇప్పుడు వెళ్లే ప్రదేశం మాత్రమే; చివరిగా ప్రామాణీకరించిన ప్యాకెట్ మూల చిరునామా నుండి హోస్ట్ peer యొక్క ఎండ్పాయింట్ను నవీకరిస్తుంది. నిష్క్రియ peer కు కొత్త ప్రదేశంతో మాట్లాడటానికి కారణం కావాలి, దాని సెషన్ ముదిరి handshake పునఃప్రయత్నాలు కనిపించే ప్రదేశంలో విఫలమైనప్పుడే చిరునామాను నేర్చుకుంటుంది. WireGuard శీఘ్ర మార్గదర్శిని ఎండ్పాయింట్ ఫీల్డ్ను కవర్ చేస్తుంది.
TLS ఆధారిత సర్వర్లు వ్యతిరేక సందర్భం. ధృవపత్రం ఒక పేరుకు బద్ధమై ఉంటుంది, చిరునామాను డయల్ చేసే క్లయింట్ తాను డయల్ చేసినదాన్ని విషయం యొక్క ప్రత్యామ్నాయ పేర్లతో పోలుస్తుంది. DNS SAN మాత్రమే కలిగిన ధృవపత్రానికి IP ద్వారా కనెక్ట్ అవ్వండి, ధృవీకరణ విఫలమవుతుంది: క్లయింట్ ఉపయోగించిన పేరు ధృవపత్రంలో లేదు. IP SAN తో తిరిగి జారీ చేయడం ఆ ఒక కనెక్షన్ను సరిచేస్తుంది, తదుపరి తరలింపును మరింత దారుణం చేస్తుంది. ప్రొఫైల్లో హోస్ట్నామ్ను ఉంచి verify-x509-name ను దాని స్థానంలో వదిలేయడం క్రింది చిరునామా మారుతున్నప్పుడూ తనిఖీని కఠినంగా ఉంచుతుంది.
తరువాత డీమన్ దేనికి బద్ధమై ఉందో తనిఖీ చేయండి; పాత చిరునామాకు పిన్ చేసిన సాకెట్ నిశ్శబ్దంగా విఫలమవుతుంది. local 203.0.113.10 తో ప్రారంభించిన OpenVPN సర్వర్ ఆ చిరునామా పోగానే పైకి రావడానికి నిరాకరిస్తుంది, 0.0.0.0 పై ఉన్న శ్రోత మార్పును ఉచితంగా అనుసరిస్తుంది. NAT కూడా అదే విధంగా చీలుతుంది: MASQUERADE మెషీన్కు ఇప్పుడు ఉన్న ఏ చిరునామానైనా అనుసరిస్తుంది, స్థిర SNAT --to-source 203.0.113.10 ఇక మీది కాని చిరునామాకు తిరిగి రాస్తూనే ఉంటుంది, కాబట్టి తిరిగి వచ్చే ట్రాఫిక్ మాయమవుతుంది. కొత్త చిరునామా వేరే upstream గేట్వేతో వస్తే, rp_filter తనిఖీ చేయండి: రివర్స్-పాత్ ఫిల్టరింగ్ కెర్నల్ ఊహించని ఇంటర్ఫేస్పై వచ్చే తిరిగి వచ్చే ట్రాఫిక్ను పడేస్తుంది.
మార్పు క్రమం మరియు అది పనిచేసిన రుజువులు
ఒక రోజు ముందే TTL తగ్గించి, కొత్త శ్రోతను నిలబెట్టి, మీకు మాత్రమే ఉన్న ప్రొఫైల్తో నిరూపించండి. అదే నెట్వర్క్ లోపలి నుండి చేసే పరీక్ష దాదాపు ఏమీ నిరూపించదు, కాబట్టి సెల్యులార్లో ఫోన్ ఉపయోగించి, ఎండ్పాయింట్కు ping చేయడానికి బదులు టన్నెల్ మోసుకెళ్లాల్సిన దాన్ని పరీక్షించండి.
మొత్తం వ్యవధిలో రెండు చిరునామాలను గమనించండి. కొత్త హోస్ట్పై wg show all latest-handshakes, లేదా OpenVPN స్థితి ఫైల్, ఎన్ని peer లు నిజంగా తరలాయో చెబుతుంది. కొత్త ఎండ్పాయింట్కు ఆశించిన peer లు ఉండి పాత దానిలో వెనుకబడినవి మాత్రమే ఉంటే, పాత శ్రోతను విరమింపజేయండి, పాత NAT నియమాన్ని తొలగించి, ప్రొవైడర్ ఫైర్వాల్ నుండి చిరునామాను తీసేయండి. పాత శ్రోతను తొలగించడమే తప్పించబడే దశ, అది పాత ప్రొఫైల్ ఇంకా పాత నెట్వర్క్ను చేరుకునే అంతరాన్ని మూసివేస్తుంది.
ప్రారంభించే ముందు రోల్బ్యాక్ ట్రిగ్గర్ను లిఖితపూర్వకంగా నిర్ణయించండి: అంగీకరించిన వ్యవధి తర్వాత కొత్త ఎండ్పాయింట్కు ఒక్క నిజమైన క్లయింట్ నుండైనా handshake రాకపోతే, పాత చిరునామాను పునరుద్ధరించి ప్రొఫైల్ పంపిణీని ఆపండి. తర్వాత శోధనను మళ్లీ నడపి, విరమించిన చిరునామాకు ఏ శ్రోత కూడా బద్ధమై లేదని నిర్ధారించండి. రెండు విషయాలు తదుపరి తరలింపుకు వెళ్తాయి: తదుపరి మార్పు DNS సవరణగా ఉండటానికి క్లయింట్ ప్రొఫైల్లో హోస్ట్నామ్, మరియు సర్వర్ రికవరీ గమనికల పక్కన నిల్వ చేసిన జాబితా.