Nid yw oed ysgwyd llaw WireGuard yn derfyn amser sesiwn
Mae amseryddion adnewyddu allweddi'n rheoli allweddi, nid mynediad defnyddwyr. Mae darllen latest-handshakes yn dweud rhywbeth am gyflwr protocol un cymar, nid am a yw ei awdurdodiad wedi dod i ben.
Nid yw cymar sy'n rhoi'r gorau i basio traffig yn colli ei allwedd o achos hynny, ac nid yw ysgwyd llaw newydd yn profi bod rhywun wedi adnewyddu'r caniatâd i'w ddefnyddio. Mae amseryddion WireGuard yn cadw allweddi'n ffres ac yn cadw pecynnau'n llifo; nid ydynt yn modelu defnyddiwr sy'n allgofnodi ar ôl nifer penodol o funudau. Mae tair cwestiwn yn cael eu cymysgu yma, ac mae gan bob un dystiolaeth wahanol. Mae'r gwahaniaeth hwn yn penderfynu pa offeryn i'w ddefnyddio.
Tair cwestiwn, un allbwn gorchymyn
Mae gweithredwyr yn gofyn a yw cymar yn gyrraeddadwy, a yw wedi bod yn weithredol, ac a yw'n dal i gael caniatâd. Y cyntaf yw cyflwr protocol, yr ail yw cownteri traffig a'r trydydd yw awdurdodiad. Dim ond y ddau gyntaf y gellir eu darllen o ryngwyneb WireGuard, ac maent yn cael eu defnyddio'n rheolaidd i ateb y tri.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Darllenwch y rhesi fel tair ymchwiliad ar wahân. Mae'r ddau gyntaf yn rhad a gellir eu hateb o gownteri'r rhyngwyneb ei hun. Mae'r trydydd angen y ffurfweddiad sy'n rhoi mynediad, ac mae hwnnw'n byw mewn ffeil arall neu system arall. Dewis y rhes anghywir yw gofyn i amserydd protocol wneud gwaith polisi.
Beth mae'r amseryddion yn ei reoli mewn gwirionedd
Mae'r protocol yn diffinio cysonion ar gyfer ailgeisio ysgwyd llaw, cylchdroi allweddi cludo ac wrthod pecynnau sy'n cael eu hamddiffyn gan hen allwedd. Maent yn ymateb i draffig ac i gyflwr, nid i galendr nac i bolisi sy'n dweud y caiff person gysylltu hyd at 17:00. Dyna pam y gall cymar segur edrych yn anweithredol am oriau ac eto fod wedi'i awdurdodi.
PersistentKeepalive yn aml yn cael ei gamgymryd am y terfyn amser sydd ar goll. Mae'n anfon pecynnau gwag dilys i gadw mapiad NAT yn fyw, ac mae ei osod i sero yn atal y pecynnau hynny heb ddirymu dim.
Darllenwch y cyflwr amser rhedeg fesul cymar, gan ddefnyddio'r allwedd gyhoeddus yn hytrach na'r sylw:
wg show wg0 latest-handshakes
wg show wg0 transferMae ysgwyd llaw diweddar yn dweud bod un ysgwyd llaw wedi'i gwblhau. Nid yw'n dweud bod y gwasanaeth preifat tu ôl i'r twnnel yn gyrraeddadwy, ac mae stamp amser hen yn gallu perthyn i gymar sydd ond yn dawel.
Pam nad yw cymar segur yn gymar sydd wedi allgofnodi
Nid oes gan WireGuard wrthrych sesiwn â dechrau a diwedd. Mae cymar yn allwedd gyhoeddus â chyfeiriadau a ganiateir, ac mae'r ysgwyd llaw sy'n diogelu ei draffig yn cael ei ddisodli yn ôl yr angen heb unrhyw fewngofnodi gweladwy i'r defnyddiwr. Mae trin absenoldeb traffig diweddar fel allgofnodi yn gwrthdroi'r model.
Os mai'r gwir gwyn yw bod cysylltiad yn methu ar ôl bod yn segur, mae'r achos fel rheol yn rhywle arall: mapiad NAT sydd wedi dod i ben, dyfais sydd wedi cysgu, neu fur tân sydd wedi colli cyflwr. Profwch drwy anfon traffig o'r ochr arall a dechrau ffrwd newydd, a chymharu beth sy'n newid.
Rhowch y dyddiad cau lle mae'r awdurdodiad yn byw
Os oes rhaid i fynediad ddod i ben ar amser penodol, mae'r dyddiad cau yn perthyn i'r hyn sy'n rhoi'r mynediad. Gall rheolydd sy'n cyhoeddi ffurfweddiadau cymar fod angen cymeradwyaeth adnewyddedig cyn rhoi un newydd, ac mae hynny'n briodoledd o'r rheolydd ac nid yn baramedr cudd ar y rhyngwyneb.
Ar gyfer cymariaid a reolir â llaw, rhaid i'r tynnu gyrraedd dau le: y rhyngwyneb sy'n rhedeg a'r ffurfweddiad a arbedwyd. Mae tynnu'r cymar yn ystod amser rhedeg yn unig yn cael ei ddadwneud gan ailgychwyn neu ddolen cymodi, sy'n adfer yr hunaniaeth yr oeddech yn meddwl ei bod wedi dod i ben:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Yna profwch y ffin yn hytrach na'r label. Cadarnhewch fod y cymar yn cael ei wrthod ar ôl y dyddiad cau, bod y llwybr adnewyddu'n gweithio, a bod y cyflwr yn goroesi ail-lwytho'r rheolwr. Mae oed ysgwyd llaw yn arwydd gweithredol defnyddiol, ac nid yw'n gofnod mynediad.