WireGuard-handshakouderdom is nie 'n sessie-timeout nie
Herverkiesingstimers beheer sleutels, nie gebruikerstoegang nie. Om latest-handshakes te lees sê iets oor een peer se protokoltoestand, nie of sy magtiging verval het nie.
'n Peer wat ophou om verkeer deur te stuur, verloor nie daardeur sy sleutel nie, en 'n nuwe handshak bewys nie dat iemand toestemming hernieu het om dit te gebruik nie. WireGuard se timers hou sleutels vars en pakkette vloeiend; hulle modelleer nie 'n gebruiker wat ná 'n bepaalde aantal minute uitteken nie. Drie vrae word hier verwar, en elkeen het ander bewyse. Die onderskeid bepaal watter instrument jy gryp.
Drie vrae, een opdraguitset
Operateurs vra of 'n peer bereikbaar is, of dit aktief was, en of dit nog toegelaat word. Die eerste is protokoltoestand, die tweede is verkeerstellers en die derde is magtiging. Net die eerste twee kan uit 'n WireGuard-koppelvlak gelees word, en hulle word gereeld gebruik om al drie te beantwoord.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lees die rye as drie afsonderlike ondersoeke. Die eerste twee is goedkoop en kan uit die koppelvlak se eie tellers beantwoord word. Die derde benodig die konfigurasie wat toegang verleen, en dit woon in 'n ander lêer of 'n ander stelsel. Om die verkeerde ry te kies, is om 'n protokol-timer te vra om 'n beleid se werk te doen.
Wat die timers werklik beheer
Die protokol definieer konstantes vir handshak-herprobeer, transport-sleutelrotasie en verwerping van pakkette wat deur 'n ou sleutel beskerm word. Hulle reageer op verkeer en op toestand, nie op 'n kalender of op 'n beleid wat sê iemand mag tot 17:00 koppel nie. Dit is hoekom 'n onaktiewe peer vir ure onaktief kan lyk en steeds gemagtig kan wees.
PersistentKeepalive word dikwels vir die ontbrekende timeout aangesien. Dit stuur geauthentiseerde leë pakkette om 'n NAT-kaarte lewendig te hou, en om dit op nul te stel stop daardie pakkette sonder om iets te herroep.
Lees die runtime-toestand per peer, met die publieke sleutel eerder as die kommentaar:
wg show wg0 latest-handshakes
wg show wg0 transfer'n Onlangse handshak sê dat een handshak voltooi is. Dit sê nie dat die private diens agter die tonnel bereikbaar is nie, en 'n ou tydstempel kan aan 'n peer behoort wat bloot stil is.
Waarom 'n onaktiewe peer nie 'n afgetekende peer is nie
WireGuard het geen sessie-objek met 'n begin en 'n einde nie. 'n Peer is 'n publieke sleutel met toegelate adresse, en die handshak wat sy verkeer beskerm, word soos nodig vervang sonder enige sigbare aanmelding. Om die afwesigheid van onlangse verkeer as 'n uitteken te beskou, draai die model om.
As die werklike klagte is dat 'n verbinding misluk nadat dit onaktief gesit het, is die oorsaak gewoonlik elders: 'n NAT-kaarte wat verval het, 'n toestel wat geslaap het, of 'n firewall wat toestand laat val het. Toets deur verkeer van die ver kant af te stuur en deur 'n nuwe vloei te begin, en vergelyk wat verander.
Plaas die spertyd waar die magtiging woon
As toegang op 'n spesifieke tyd moet eindig, behoort die spertyd aan wat ook al die toegang verleen. 'n Beheerder wat peer-konfigurasies uitreik, kan 'n hernieude goedkeuring vereis voordat hy 'n nuwe een uitdeel, en dit is 'n eienskap van die beheerder eerder as 'n verborge parameter op die koppelvlak.
Vir handmatig bestuurde peers moet verwydering beide plekke bereik: die lopende koppelvlak en die gestoorde konfigurasie. Om die peer net tydens looptyd te verwyder, word ongedaan gemaak deur 'n herbegin of 'n versoeningslus, wat die identiteit herstel wat jy gedink het verval het:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Toets dan die grens eerder as die etiket. Bevestig dat die peer ná die spertyd verwerp word, bevestig dat die hernuwingspad werk, en bevestig dat die toestand 'n herlaai van die bestuurder oorleef. 'n Handshak-ouderdom is 'n nuttige operasionele sein, en dit is nie 'n toegangsrekord nie.