WireGuardi kätluse vanus ei ole sessiooni aegumine
Võtmete uuendamise taimerid juhivad võtmeid, mitte kasutaja juurdepääsu. latest-handshakes lugemine ütleb ühe peeri protokolli oleku kohta, mitte selle kohta, kas tema volitus on aegunud.
Peer, mis lakkab liiklust läbi laskmast, ei kaota sellega oma võtit, ja uus kätlus ei tõesta, et keegi uuendas selle kasutamise luba. WireGuardi taimerid hoiavad võtmed värsked ja paketid liikumas; need ei modelleeri kasutajat, kes logib välja teatud arvu minutite järel. Siin aetakse segi kolm küsimust ja igaühel on erinevad tõendid. See erinevus määrab, millist tööriista kasutada.
Kolm küsimust, üks käsu väljund
Operaatorid küsivad, kas peer on kättesaadav, kas see on olnud aktiivne ja kas see on veel lubatud. Esimene on protokolli olek, teine liiklusloendurid ja kolmas volitus. Ainult kahte esimest saab WireGuardi liidesest lugeda ning neid kasutatakse tavaliselt kõigile kolmele vastamiseks.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lugege ridu kolme eraldi uurimisena. Kaks esimest on odavad ja neile saab vastata liidese enda loenduritega. Kolmas vajab konfiguratsiooni, mis annab juurdepääsu, ja see elab teises failis või teises süsteemis. Vale rea valimine tähendab paluda protokolli taimeril teha poliitika tööd.
Mida taimerid tegelikult juhivad
Protokoll määratleb konstandid kätluse kordamiseks, transpordivõtmete rotatsiooniks ja vana võtmega kaitstud pakettide tagasilükkamiseks. Need reageerivad liiklusele ja olekule, mitte kalendrile ega poliitikale, mis ütleb, et inimene võib olla ühendatud kuni 17:00. Seetõttu võib jõudeolev peer tunde mitteaktiivne paista ja olla ikkagi volitatud.
PersistentKeepalive peetakse sageli puuduvaks aegumiseks. See saadab autenditud tühje pakette, et hoida NAT-i vastendus elus, ja nulli seadmine peatab need paketid ilma midagi tühistamata.
Lugege täitmisaegset olekut iga peeri kohta, kasutades avalikku võtit, mitte kommentaari:
wg show wg0 latest-handshakes
wg show wg0 transferVärske kätlus ütleb, et üks kätlus sai valmis. See ei ütle, et tunnelitagune privaatteenus on kättesaadav, ja vana ajatempel võib kuuluda peerile, mis on lihtsalt vaikne.
Miks jõudeolev peer ei ole väljalogitud peer
WireGuardil ei ole sessiooniobjekti alguse ja lõpuga. Peer on avalik võti lubatud aadressidega ja selle liiklust kaitsvat kätlust asendatakse vajaduse korral ilma kasutajale nähtava sisselogimiseta. Hiljutise liikluse puudumist väljalogimiseks pidada tähendab mudeli pööramist.
Kui tegelik kaebus on see, et ühendus ebaõnnestub pärast jõudeolekut, on põhjus tavaliselt mujal: aegunud NAT-i vastendus, magama jäänud seade või tulemüür, mis kaotas oleku. Testige, saates liiklust teiselt poolt ja alustades uut voogu, ning võrrelge, mis muutub.
Pange tähtaeg sinna, kus elab volitus
Kui juurdepääs peab lõppema kindlal ajal, kuulub tähtaeg sellele, mis juurdepääsu annab. Kontroller, mis väljastab peeri konfiguratsioone, võib nõuda uuendatud kinnitust enne uue väljastamist, ja see on kontrolleri omadus, mitte peidetud parameeter liidesel.
Käsitsi hallatavate peeride puhul peab eemaldamine jõudma kahte kohta: töötav liides ja salvestatud konfiguratsioon. Peeri eemaldamine ainult tööajal tühistatakse taaskäivituse või vastavusse viimise tsükliga, mis taastab identiteedi, mida pidasite aegunuks:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Seejärel testige piiri, mitte silti. Kinnitage, et peer lükatakse pärast tähtaega tagasi, et uuendamise tee töötab ja et olek jääb püsima ka pärast halduri uuesti laadimist. Kätluse vanus on kasulik operatiivne signaal ja see ei ole juurdepääsu kirje.