VPN sağlayıcısı değiştirmek: yalnızca IP'yi değil, ana bilgisayar adını planlayın

DNS kaydınız doğru, yedek sağlıklı ve yine de bazı istemciler saatlerce eski adresi çeviriyor. Birkaçı çözülen ama asla yanıt vermeyen bir adda hemen başarısız oluyor. Her iki sonuç da tek bir boşluktan geliyor: ana bilgisayar adı istemcinin neyi aradığını değiştirir, onu ne zaman aradığını değil, yanıt geldiğinde neye güvendiğini de değil.

Belirti: doğru kayıt, eski tüneller

Bir adı saklayan profil, onu sürekli çözen bir istemci değildir. Çoğu onu bir kez çözer, yapılandırma uygulanırken ya da tünel açılırken, sonra oturum bitene kadar o adresi yeniden kullanır. Üstüne yığılan uzun bir TTL, geçişin DNS düzenlemesi etrafında değil yeniden bağlanmalar etrafında planlanması gerektiğinin nedenidir.

İki davranışın hiçbiri kusur değildir ve belirtiyi kafa karıştırıcı yapan da tam olarak budur. İstemci daha önce aldığı bir yanıtla çalışıyor ve sunucu tarafında hiçbir şey o yanıtın hangisi olduğunu göstermiyor. Yeniden bağlanmayı bakım penceresine dahil edin ve kullanıcılara ne göreceklerini söyleyin, yoksa pencereyi bilet yanıtlamaya harcayın. Genellikle aynı raporlardan oluşan bir kuyruk ortaya çıkar.

Adı kim denetler ve istemci neyi doğrular

Bölge üzerindeki denetim, bir taşımanın ne kadar hızlı ilerleyebileceğini belirler. Kaydı giriş yapabildiğiniz bir kayıt kuruluşunda tutun ve başka kimin değiştirebileceğini yazın.

Güven adı izlemez. TLS tabanlı bir istemci sertifika kimliğini veya sabitlenmiş bir adı denetleyebilir, WireGuard ise eşin açık anahtarını doğrular ve ana bilgisayar adını tamamen yok sayar. Bu fark, DNS düzenlemesinin yeterli olup olmadığını ya da her profilin yeni bir parmak izine ihtiyacı olup olmadığını belirler. Bir kayıt değişikliği, kimsenin onaylamadığı bir uç noktaya asla yetki vermemelidir.

Yönetim ve kurtarma erişimini genel istemci adından uzak tutun. Bir barındırma hesabını kaybetmek, istemcileri yönlendiren kaydı da size kaybettirmemelidir. Kurtarma yolunu, terk ettiğiniz sağlayıcıya bağlı olmayan bir yerde saklayın.

Her istemci adı ne zaman yeniden okur

Çözümleme zamanı istemciye özgü bir özelliktir, bu nedenle bir geçiş penceresi vaat etmeden önce gerçekten dağıttığınız uygulamayı denetleyin. wg-quick, arayüz açılırken uç noktayı çözer ve tünel yeniden başlayana kadar o adresi tutar. Bir OpenVPN istemcisi bağlanırken adı arar ve yeniden bağlanmada tekrar bakıp bakmayacağı seçeneklerine bağlıdır.

Mobil istemciler olağan sürprizdir, çünkü çözülmüş bir adresi uyku veya ağ değişikliği boyunca tutabilirler. A ve AAAA kayıtlarını yalnızca yedek her iki ailede de yanıt veriyorsa yayımlayın. Bir ailede yanıt veren adres diğeri hakkında hiçbir şey kanıtlamaz ve ölü bir AAAA kaydı her denemeye bir zaman aşımı ekler. Desteklediğiniz her istemci için çözümleme davranışını belgeleyin, sonra insanların gerçekten kullandığı cihazlarda test edin.

Yeniden bağlanma çoğu istemcide bir kullanıcı eylemidir ve sunucu bunu zorlayamaz. Bu adımı bakım notuna ekleyin, gerçekleştiğinde kullanıcının ne göreceğine dair bir satırla.

Kanıta dayanarak geçin, sonra eski uç noktayı kullanımdan kaldırın

Geçişten önce yedekte her katmanı kanıtlayın: dinleyici yanıt verir, güvenlik duvarı bağlantı noktasını geçirir, yollar doğru döner, ad yeni adrese çözülür ve bilinen bir kimlik kabul edilir. Bir bağlantıyı kabul eden dinleyici, el sıkışmayı tamamlayanla aynı değildir, bu yüzden bağlantı noktasını değil el sıkışmayı test edin. Güncel iptal listesini yapılandırmanın yanında tutun, çünkü geri yüklenen bir yedek eş listesini olduğu gibi yeniden oluşturur ve zaten kapattığınız erişimi yeniden açardı. Hangi kimlikle test ettiğinizi kaydedin, çünkü «çalışıyor» kimsenin yineleyebileceği bir kanıt değildir.

getent hosts vpn.example.com
ss -lunp | grep 51820
wg show wg0 latest-handshakes

Geçiş sırasında aynı kimlik için iki uç noktadaki bağlantı denemelerini izleyin. Eski adrese karşı hâlâ kimlik doğrulayan istemci, hiç taşınmamış bir profil veya önbelleğe alınmış bir yanıttır. Eski uç noktayı tarihli bir plana göre kullanımdan kaldırın, çünkü tek bir kimliği kabul eden iki hizmet iki kapıyı açık bırakır.

Geçiş testi yeni uç nokta üzerinden bir uygulama oturumudur, ping değil. O oturum çalıştığında ve eski uç nokta tam bir yeniden bağlanma döngüsü boyunca yetkili hiçbir deneme kaydetmediğinde, taşıma tamamlanmıştır.