La aĝo de la manpremo de WireGuard ne estas sesia tempolimo
Ŝlosil-renovigaj tempigiloj regas ŝlosilojn, ne la aliron de uzantoj. Legi latest-handshakes diras pri la protokola stato de unu samtavolo, ne ĉu ĝia rajtigo eksvalidiĝis.
Samtavolo kiu ĉesas trapasi trafikon ne per tio perdas sian ŝlosilon, kaj nova manpremo ne pruvas ke iu renovigis la permeson ĝin uzi. La tempigiloj de WireGuard tenas ŝlosilojn freŝaj kaj pakaĵojn fluantaj; ili ne modelas uzanton kiu elsalutas post fiksa nombro da minutoj. Tri demandoj konfuziĝas ĉi tie, kaj ĉiu havas malsamajn pruvojn. Tiu distingo decidas kiun ilon oni prenas.
Tri demandoj, unu komanda eligo
Operatoroj demandas ĉu samtavolo estas atingebla, ĉu ĝi estis aktiva kaj ĉu ĝi ankoraŭ permesatas. La unua estas protokola stato, la dua estas trafikaj nombriloj kaj la tria estas rajtigo. Nur la unuaj du legeblas el WireGuard-fasado, kaj ili rutine uziĝas por respondi al ĉiuj tri.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Legu la vicojn kiel tri apartajn esplorojn. La unuaj du estas malmultekostaj kaj respondeblas per la propraj nombriloj de la fasado. La tria bezonas la agordon kiu donas aliron, kaj tiu loĝas en alia dosiero aŭ alia sistemo. Elekti la malĝustan vicon signifas peti de protokola tempigilo la laboron de politiko.
Kion la tempigiloj efektive regas
La protokolo difinas konstantojn por manprema reprovo, rotacio de transportaj ŝlosiloj kaj malakcepto de pakaĵoj protektitaj per malnova ŝlosilo. Ili reagas al trafiko kaj al stato, ne al kalendaro aŭ al politiko kiu diras ke persono rajtas konektiĝi ĝis 17:00. Tial senokupa samtavolo povas ŝajni neaktiva dum horoj kaj tamen resti rajtigita.
PersistentKeepalive ofte estas konfuzata kun la mankanta tempolimo. Ĝi sendas aŭtentikigitajn malplenajn pakaĵojn por teni NAT-mapadon viva, kaj meti ĝin al nulo haltigas tiujn pakaĵojn sen revoki ion.
Legu la rulstatuson por ĉiu samtavolo, uzante la publikan ŝlosilon anstataŭ la komenton:
wg show wg0 latest-handshakes
wg show wg0 transferFreŝa manpremo diras ke unu manpremo finiĝis. Ĝi ne diras ke la privata servo malantaŭ la tunelo estas atingebla, kaj malnova tempomarko povas aparteni al samtavolo kiu simple silentas.
Kial senokupa samtavolo ne estas elsalutinta samtavolo
WireGuard ne havas sesian objekton kun komenco kaj fino. Samtavolo estas publika ŝlosilo kun permesitaj adresoj, kaj la manpremo kiu protektas ĝian trafikon anstataŭiĝas laŭbezone sen iu ajn uzanto-videbla ensaluto. Trakti la foreston de freŝa trafiko kiel elsaluton inversigas la modelon.
Se la vera plendo estas ke konekto malsukcesas post senokupa stato, la kaŭzo kutime estas aliloke: eksdata NAT-mapado, aparato kiu dormis, aŭ fajroŝirmilo kiu perdis staton. Testu sendante trafikon de la alia flanko kaj komencante novan fluon, kaj komparu kio ŝanĝiĝas.
Metu la limdaton tie kie loĝas la rajtigo
Se aliro devas finiĝi je difinita tempo, la limdato apartenas al tio kio donas la aliron. Regilo kiu eldonas samtavolajn agordojn povas postuli renovigitan aprobon antaŭ ol doni novan, kaj tio estas eco de la regilo, ne kaŝita parametro sur la fasado.
Por permane administrataj samtavoloj, forigo devas atingi du lokojn: la kurantan fasadon kaj la konservitan agordon. Forigi la samtavolon nur dum rulo estas nuligata de restarto aŭ de kongruiga buklo, kiu restarigas la identecon kiun vi opiniis eksvalidigita:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Poste testu la limon anstataŭ la etikedon. Konfirmu ke la samtavolo estas malakceptata post la limdato, ke la renoviga vojo funkcias kaj ke la stato postvivas reŝargon de la administranto. La aĝo de manpremo estas utila operacia signalo, kaj ĝi ne estas alira registro.