Das WireGuard-Handshake-Alter ist kein Sitzungs-Timeout
Re-Key-Timer regeln Schlüssel, nicht den Benutzerzugriff. Wer latest-handshakes liest, erfährt etwas über den Protokollzustand eines Peers, nicht darüber, ob seine Berechtigung abgelaufen ist.
Ein Peer, der keinen Verkehr mehr durchlässt, verliert dadurch nicht seinen Schlüssel, und ein frischer Handshake beweist nicht, dass jemand die Erlaubnis zur Nutzung erneuert hat. Die Timer von WireGuard halten Schlüssel frisch und Pakete in Fluss; sie bilden keinen Benutzer ab, der sich nach einer festgelegten Zahl von Minuten abmeldet. Drei Fragen werden hier verwechselt, und jede hat andere Belege. Die Unterscheidung entscheidet, zu welchem Werkzeug man greift.
Drei Fragen, eine Befehlsausgabe
Betreiber fragen, ob ein Peer erreichbar ist, ob er aktiv war und ob er noch erlaubt ist. Das Erste ist der Protokollzustand, das Zweite sind Verkehrszähler und das Dritte ist die Autorisierung. Nur die ersten beiden lassen sich aus einer WireGuard-Schnittstelle lesen, und sie werden routinemäßig benutzt, um alle drei zu beantworten.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lesen Sie die Zeilen als drei getrennte Untersuchungen. Die ersten beiden sind billig und lassen sich aus den eigenen Zählern der Schnittstelle beantworten. Die dritte braucht die Konfiguration, die Zugang gewährt, und die liegt in einer anderen Datei oder einem anderen System. Die falsche Zeile zu wählen heißt, einen Protokoll-Timer nach der Aufgabe einer Richtlinie zu fragen.
Was die Timer tatsächlich regeln
Das Protokoll definiert Konstanten für Handshake-Wiederholung, Rotation der Transport-Schlüssel und die Zurückweisung von Paketen, die durch einen alten Schlüssel geschützt sind. Sie reagieren auf Verkehr und auf Zustand, nicht auf einen Kalender oder auf eine Richtlinie, die sagt, eine Person dürfe bis 17:00 verbunden sein. Deshalb kann ein untätiger Peer stundenlang inaktiv aussehen und trotzdem autorisiert sein.
PersistentKeepalive wird oft für den fehlenden Timeout gehalten. Es sendet authentifizierte leere Pakete, um eine NAT-Zuordnung am Leben zu halten, und auf null gesetzt beendet es diese Pakete, ohne etwas zu widerrufen.
Lesen Sie den Laufzeitzustand pro Peer, mit dem öffentlichen Schlüssel statt dem Kommentar:
wg show wg0 latest-handshakes
wg show wg0 transferEin frischer Handshake sagt, dass ein Handshake abgeschlossen wurde. Er sagt nicht, dass der private Dienst hinter dem Tunnel erreichbar ist, und ein alter Zeitstempel kann zu einem Peer gehören, der einfach still ist.
Warum ein untätiger Peer kein abgemeldeter Peer ist
WireGuard hat kein Sitzungsobjekt mit einem Anfang und einem Ende. Ein Peer ist ein öffentlicher Schlüssel mit erlaubten Adressen, und der Handshake, der seinen Verkehr schützt, wird bei Bedarf ersetzt, ohne ein für Benutzer sichtbares Login. Das Fehlen von jüngstem Verkehr als Abmeldung zu deuten kehrt das Modell um.
Wenn die eigentliche Beschwerde ist, dass eine Verbindung nach Untätigkeit scheitert, liegt die Ursache meist woanders: eine abgelaufene NAT-Zuordnung, ein Gerät, das geschlafen hat, oder eine Firewall, die Zustand verworfen hat. Testen Sie, indem Sie Verkehr von der Gegenseite senden und einen neuen Fluss starten, und vergleichen Sie, was sich ändert.
Setzen Sie die Frist dorthin, wo die Autorisierung liegt
Wenn der Zugang zu einer bestimmten Zeit enden muss, gehört die Frist zu dem, was den Zugang gewährt. Ein Controller, der Peer-Konfigurationen ausgibt, kann eine erneute Genehmigung verlangen, bevor er eine neue aushändigt, und das ist eine Eigenschaft des Controllers und kein versteckter Parameter an der Schnittstelle.
Bei handverwalteten Peers muss die Entfernung beide Orte erreichen: die laufende Schnittstelle und die gespeicherte Konfiguration. Wird der Peer nur zur Laufzeit entfernt, macht ein Neustart oder eine Abgleichschleife das rückgängig und stellt die Identität wieder her, die man für abgelaufen hielt:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Testen Sie dann die Grenze statt das Etikett. Bestätigen Sie, dass der Peer nach der Frist abgewiesen wird, bestätigen Sie, dass der Erneuerungspfad funktioniert, und bestätigen Sie, dass der Zustand ein Neuladen des Managers übersteht. Ein Handshake-Alter ist ein nützliches Betriebssignal, und es ist kein Zugriffsdatensatz.