Waarom 'n geskrapte WireGuard-peer ná 'n herbegin terugkom

Die identiteit verdwyn uit die lopende koppelvlak en die verandering lyk klaar. Nadat die diens herbegin, is dit terug, wat lyk asof WireGuard die opdrag ignoreer. Wat werklik gebeur het, is eenvoudiger: die selflaaikonfigurasie bevat steeds die peer.

Twee state hou daardie lys. Herroeping is eers werklik wanneer albei dit verloor.

Wat wg set werklik verander

Die opdrag wg set wg0 peer <public-key> remove wysig die lopende koppelvlak in die kernel. Dit skryf niks na die skyf nie. Die konfigurasielêer, die NetworkManager-profiel of die gestoorde toestand van die router bly onaangeroer. Dit is die ontwerp, nie 'n fout nie.

Daardie skeiding is opsetlik, want die gereedskap weet nie wie die koppelvlak besit nie. 'n Looptydopdrag moet veilig wees om teen 'n koppelvlak te loop wat deur iets anders bestuur word. Dit kan nie raai waar die duursame kopie woon nie. Die gevolg is maklik om te stel: 'n verwydering tydens looptyd is per konstruksie tydelik.

Dus kom die peer terug by die volgende herbegin, en dit kom terug met sy oorspronklike toegelate voorvoegsels. Enigiets wat daardeur geroteer word, word ook herbou. 'n Vermeend herroepte identiteit kan dus ná 'n herlaai sy voormalige bestemmings bereik. Niks in die looptyduitvoer het iemand gewaarsku nie.

Vind die skrywer voordat jy 'n lêer wysig

Die koppelvlak het 'n eienaar. Dit kan wg-quick wees wat 'n lêer lees, NetworkManager wat 'n profiel toepas, 'n router se eie koppelvlakkonfigurasie, of 'n houer-inskrywingspunt wat die koppelvlak by aanvang herskep. Om 'n lêer te wysig wat die eienaar nooit lees nie, lewer hoegenaamd geen blywende verandering nie.

Begin by die lopende koppelvlak en identifiseer die publieke sleutels, want name en adresse is swakker identifiseerders as die sleutel self. Vergelyk dan daardie lys met die gestoorde konfigurasie wat die eienaar werklik lees.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

'n Lewende koppelvlak waarvan die peer-lys en die lêerinhoud verskil, is die hele diagnose. Die gestoorde konfigurasie wen by selflaai, en die looptydtoestand verloor. Vergelyk hulle voordat jy enigeen van die twee verander.

Die SaveConfig-lokval

wg-quick voeg 'n kinkel by wat mense vang wat lêers met die hand wysig. Met SaveConfig geaktiveer, skryf sy gedokumenteerde afskakelgedrag die huidige looptydtoestand terug oor die konfigurasielêer.

Dit keer die gewone rigting van volharding om. Jy verwyder 'n peer uit die lêer, dan stop die diens. Die lopende toestand word oor jou wysiging teruggeskryf en herstel die peer wat jy pas uitgevee het.

Die volgorde maak dus saak: wysig die lêer terwyl die koppelvlak af is, of deaktiveer SaveConfig voordat jy die wysiging doen, bring dan die koppelvlak terug op en bevestig wat gelaai is. 'n Handwysiging terwyl die koppelvlak op is, is 'n wedloop teen die afskakelskrywe.

Verander albei state, herlaai dan

Verwyder die peer in die looptyd met sy sleutel. Verwyder dieselfde blok in die gestoorde konfigurasie deur die eienaar se ondersteunde bewerking, eerder as deur daaromheen te wysig.

Hersien dan wat die peer gedra het. 'n Geroteerde netwerk wat aan die herroepte identiteit behoort het, moet doelbewus hertoegewys of verwyder word, nie stilweg geërf word deur die volgende peer wat gewysig word nie.

Hou 'n herstelpad oop as die gateway ook jou administratiewe toegang dra. 'n Herbegin wat die verkeerde peer verwyder, is 'n selfveroorsaakte onderbreking. Dieselfde geld vir 'n herbegin wat die verkeerde roete verwyder.

Hoe 'n geslaagde toets lyk

Herlaai of herbegin die diens, en lees dan die peer-lys weer. Die ou sleutel moet afwesig wees, en die peers wat jy wou behou, moet steeds teenwoordig en werkend wees.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Waar die situasie dit toelaat, bevestig dat die ou identiteit nie meer sy voormalige hulpbronne bereik nie. 'n Netjiese koppelvlaklys voor 'n herbegin is die helfte van 'n toets. Die ander helfte is wat die identiteit daarna nog kan doen.

As 'n bestuurder die peer aanhou herstel, hou op om die verwydering op lae vlak te herhaal. Maak die inventaris reg wat daardie skrywer lees, want tot dan is elke herbegin nog 'n uitnodiging vir die identiteit om weer te verskyn.