Kial forviŝita WireGuard-peer revenas post restartiĝo

La identeco malaperas el la kuranta interfaco kaj la ŝanĝo ŝajnas finita. Post la restarto de la servo ĝi revenas, kio aspektas kvazaŭ WireGuard ignorus la komandon. Kio fakte okazis estas pli simple: la lanĉa agordo ankoraŭ enhavas la peer.

Du statoj tenas tiun liston. Nuligo estas vera nur kiam ambaŭ perdas ĝin.

Kion wg set fakte ŝanĝas

La komando wg set wg0 peer <public-key> remove redaktas la kurantan interfacon en la kerno. Ĝi skribas nenion sur la diskon. La agorda dosiero, la NetworkManager-profilo aŭ la konservita stato de la enkursigilo restas netuŝitaj. Tio estas la dezajno, ne cimo.

Tiu apartigo estas intenca, ĉar la ilo tute ne scias, kiu posedas la interfacon. Komando dum aĝo devas esti sekura kontraŭ interfaco administrata de io alia. Ĝi ne povas diveni, kie loĝas la daŭra kopio. La sekvo estas facile eldirebla: forigo dum aĝo estas laŭkonstruaĵe portempa.

Tial la peer revenas ĉe la sekva restarto, kaj ĝi revenas kun siaj originaj permesitaj prefiksoj. Ĉio enkursigita tra ĝi ankaŭ rekreiĝas. Do supozeble nuligita identeco povas post reŝargo atingi siajn antaŭajn celojn. Nenio en la eligo dum aĝo antaŭaverti iun.

Trovu la skribanton antaŭ ol redakti dosieron

La interfaco havas posedanton. Ĝi povas esti wg-quick leganta dosieron, NetworkManager aplikanta profilon, la propra interfaca agordo de enkursigilo, aŭ containera enirpunkto, kiu rekreas la interfacon ĉe starto. Redakti dosieron, kiun la posedanto neniam legas, produktas tute neniun daŭran ŝanĝon.

Komencu de la kuranta interfaco kaj identigu la publikajn ŝlosilojn, ĉar nomoj kaj adresoj estas pli malfortaj identigiloj ol la ŝlosilo mem. Poste komparu tiun liston kun la konservita agordo, kiun la posedanto vere legas.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Vivanta interfaco, kies peer-listo kaj dosiera enhavo malkongruas, estas la tuta diagnozo. La konservita agordo venkas ĉe lanĉo, kaj la stata dum aĝo malvenkas. Komparu ilin antaŭ ol ŝanĝi iun ajn el ili.

La kaptilo SaveConfig

wg-quick aldonas falton, kiu kaptas homojn, kiuj redaktas dosierojn permane. Kun SaveConfig ŝaltita, ĝia dokumentita sinteno ĉe malŝalto skribas la nunan staton dum aĝo sur la agordan dosieron.

Tio inversigas la kutiman direkton de daŭreco. Vi forigas peer el la dosiero, poste la servo haltas. La kuranta stato estas skribata sur vian redakton kaj restarigas la peer, kiun vi ĵus forviŝis.

Tial la ordo gravas: redaktu la dosieron dum la interfaco estas malŝaltita, aŭ malŝaltu SaveConfig antaŭ la redakto, poste reŝaltu la interfacon kaj konfirmu, kio estis ŝargita. Permanenta redakto dum la interfaco estas ŝaltita estas kuro kontraŭ la skribo ĉe malŝalto.

Ŝanĝu ambaŭ statojn, poste reŝargu

Dum aĝo, forigu la peer per la ŝlosilo. En la konservita agordo, forigu la saman blokon per la subtenata operacio de la posedanto, anstataŭ redakti ĉirkaŭ ĝi.

Poste revizu, kion portis la peer. Enkursigita reto, kiu apartenis al la nuligita identeco, devus esti konscie reatribuita aŭ forigita, ne silente heredata de kiu ajn peer estos redaktata sekve.

Tenu malfermita restaŭran vojon, se la enirejo ankaŭ portas vian administran aliron. Restarto, kiu forigas la malĝustan peer, estas memkaŭzita ĉeso. La samo validas por restarto, kiu forigas la malĝustan itineron.

Kiel aspektas sukcesa testo

Reŝargu aŭ restartigu la servon, poste relegu la peer-liston. La malnova ŝlosilo devas foresti, kaj la peer, kiujn vi intencis konservi, devas ankoraŭ ĉeesti kaj funkcii.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Kie la situacio permesas, konfirmu, ke la malnova identeco ne plu atingas siajn antaŭajn rimedojn. Orda interfaca listo antaŭ restarto estas duono de testo. La alia duono estas, kion la identeco ankoraŭ povas fari poste.

Se administranto daŭre restarigas la peer, ĉesu ripeti la malaltnivelan forigon. Riparu la inventaron, kiun tiu skribanto legas, ĉar ĝis tiam ĉiu restarto estas plia invito por la identeco reaperi.