L'edat de l'encaixada de mans de WireGuard no és un temps d'espera de sessió
Els temporitzadors de renovació de claus governen les claus, no l'accés dels usuaris. Llegir latest-handshakes informa de l'estat de protocol d'un parell, no de si la seva autorització ha caducat.
Un parell que deixa de passar trànsit no perd per això la seva clau, i una encaixada de mans nova no demostra que algú hagi renovat el permís per fer-la servir. Els temporitzadors de WireGuard mantenen les claus fresques i els paquets en moviment; no modelen un usuari que tanca la sessió al cap d'un nombre fix de minuts. Aquí es confonen tres preguntes, i cadascuna té proves diferents. La distinció decideix quina eina es fa servir.
Tres preguntes, una sortida d'ordre
Els operadors pregunten si un parell és abastable, si ha estat actiu i si encara està permès. La primera és estat de protocol, la segona són comptadors de trànsit i la tercera és autorització. Només les dues primeres es poden llegir d'una interfície de WireGuard, i s'utilitzen habitualment per respondre a les tres.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Llegiu les files com tres investigacions separades. Les dues primeres són barates i es poden respondre amb els comptadors de la mateixa interfície. La tercera necessita la configuració que concedeix l'accés, i aquesta viu en un altre fitxer o un altre sistema. Triar la fila equivocada és demanar a un temporitzador de protocol que faci la feina d'una política.
Què governen realment els temporitzadors
El protocol defineix constants per al reintent de l'encaixada de mans, la rotació de claus de transport i el rebuig de paquets protegits per una clau antiga. Responen al trànsit i a l'estat, no a un calendari ni a una política que digui que una persona pot estar connectada fins a les 17:00. Per això un parell inactiu pot semblar inactiu durant hores i continuar autoritzat.
PersistentKeepalive sovint es confon amb el temps d'espera que falta. Envia paquets buits autenticats per mantenir viva una assignació NAT, i posar-lo a zero atura aquests paquets sense revocar res.
Llegiu l'estat en execució per parell, amb la clau pública en lloc del comentari:
wg show wg0 latest-handshakes
wg show wg0 transferUna encaixada de mans recent diu que s'ha completat una encaixada de mans. No diu que el servei privat darrere del túnel sigui abastable, i una marca de temps antiga pot pertànyer a un parell que simplement calla.
Per què un parell inactiu no és un parell desconnectat
WireGuard no té cap objecte de sessió amb un inici i un final. Un parell és una clau pública amb adreces permeses, i l'encaixada de mans que protegeix el seu trànsit se substitueix quan cal sense cap inici de sessió visible per a l'usuari. Tractar l'absència de trànsit recent com una desconnexió inverteix el model.
Si la queixa real és que una connexió falla després d'estar inactiva, la causa sol ser en un altre lloc: una assignació NAT caducada, un dispositiu que s'ha adormit o un tallafoc que ha perdut l'estat. Proveu-ho enviant trànsit des de l'altre costat i començant un flux nou, i compareu què canvia.
Poseu el termini on viu l'autorització
Si l'accés ha d'acabar a una hora concreta, el termini pertany a allò que concedeix l'accés. Un controlador que emet configuracions de parell pot exigir una aprovació renovada abans de lliurar-ne una de nova, i això és una propietat del controlador i no un paràmetre ocult a la interfície.
Per als parells gestionats a mà, l'eliminació ha d'arribar a dos llocs: la interfície en execució i la configuració desada. Eliminar el parell només en temps d'execució ho desfà un reinici o un bucle de reconciliació, que restaura la identitat que creieu caducada:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Després proveu el límit i no l'etiqueta. Confirmeu que el parell es rebutja després del termini, que la ruta de renovació funciona i que l'estat sobreviu a una recàrrega del gestor. L'edat d'una encaixada de mans és un senyal operatiu útil, i no és un registre d'accés.