Miksi poistettu WireGuard-peer palaa uudelleenkäynnistyksen jälkeen

Identiteetti katoaa käynnissä olevasta liitännästä ja muutos näyttää valmiilta. Kun palvelu käynnistyy uudelleen, se on takaisin, mikä näyttää siltä kuin WireGuard jättäisi komennon huomiotta. Mitä todella tapahtui, on yksinkertaisempaa: käynnistyskonfiguraatio sisältää peerin edelleen.

Kaksi tilaa pitää tuota listaa. Peruutus on todellinen vasta, kun molemmat menettävät sen.

Mitä wg set todella muuttaa

Komento wg set wg0 peer <public-key> remove muokkaa käynnissä olevaa liitäntää ytimessä. Se ei kirjoita mitään levylle. Asetustiedosto, NetworkManagerin profiili tai reitittimen tallennettu tila jäävät koskemattomiksi. Se on suunnittelua, ei vika.

Erottelu on tahallinen, koska työkalu ei tiedä, kuka liitännän omistaa. Ajonaikaisen komennon on oltava turvallinen liitännälle, jota jokin muu hallitsee. Se ei voi arvata, missä pysyvä kopio sijaitsee. Seuraus on helppo sanoa: ajonaikainen poisto on rakenteellisesti tilapäinen.

Siksi peer palaa seuraavassa uudelleenkäynnistyksessä, ja se palaa alkuperäisillä sallituilla etuliitteillään. Kaikki sen kautta reititetty luodaan myös uudelleen. Näin ollen väitetysti peruutettu identiteetti voi uudelleenlatauksen jälkeen tavoittaa entiset kohteensa. Mikään ajonaikaisessa tulosteessa ei ollut varoittanut ketään.

Löydä kirjoittaja ennen kuin muokkaat tiedostoa

Liitännällä on omistaja. Se voi olla tiedostoa lukeva wg-quick, profiilia soveltava NetworkManager, reitittimen oma liitäntäasetus tai kontin aloituspiste, joka luo liitännän uudelleen käynnistyksessä. Tiedoston muokkaaminen, jota omistaja ei koskaan lue, ei tuota lainkaan pysyvää muutosta.

Aloita käynnissä olevasta liitännästä ja tunnista julkiset avaimet, sillä nimet ja osoitteet ovat heikompia tunnisteita kuin avain itse. Vertaa sitten tätä listaa tallennettuun asetukseen, jota omistaja todella lukee.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Elävä liitäntä, jonka peer-lista ja tiedoston sisältö ovat ristiriidassa, on koko diagnoosi. Tallennettu asetus voittaa käynnistyksessä ja ajonaikainen tila häviää. Vertaa niitä ennen kuin muutat kumpaakaan.

SaveConfig-ansa

wg-quick lisää mutkan, joka nappaa tiedostoja käsin muokkaavat. Kun SaveConfig on käytössä, sen dokumentoitu sammutuskäyttäytyminen kirjoittaa nykyisen ajonaikaisen tilan asetustiedoston päälle.

Tämä kääntää pysyvyyden tavallisen suunnan. Poistat peerin tiedostosta, sitten palvelu pysähtyy. Käynnissä oleva tila kirjoitetaan muokkauksesi päälle ja palauttaa juuri poistamasi peerin.

Siksi järjestyksellä on väliä: muokkaa tiedostoa liitännän ollessa alhaalla tai poista SaveConfig käytöstä ennen muokkausta, nosta liitäntä sitten takaisin ylös ja varmista, mitä ladattiin. Käsin tehty muokkaus liitännän ollessa ylhäällä on kilpailu sammutuskirjoituksen kanssa.

Muuta molempia tiloja ja lataa uudelleen

Ajonaikaisesti poista peer avaimen perusteella. Tallennetusta asetuksesta poista sama lohko omistajan tukemalla toiminnolla sen sijaan, että muokkaisit sen ympäriltä.

Tarkastele sitten, mitä peer kantoi. Peruutettuun identiteettiin kuulunut reititetty verkko pitäisi tietoisesti osoittaa uudelleen tai poistaa, ei antaa seuraavaksi muokattavan peerin periä sitä hiljaisesti.

Pidä palautumispolku avoinna, jos yhdyskäytävä kantaa myös hallinnollista pääsyäsi. Uudelleenkäynnistys, joka poistaa väärän peerin, on itse aiheutettu katkos. Sama koskee uudelleenkäynnistystä, joka poistaa väärän reitin.

Millainen on läpäisty testi

Lataa palvelu uudelleen tai käynnistä se uudelleen ja lue sitten peer-lista uudestaan. Vanhan avaimen on puututtava, ja peerien, jotka halusit säilyttää, on oltava edelleen paikalla ja toimivia.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Missä tilanne sallii, varmista, ettei vanha identiteetti enää tavoita entisiä resurssejaan. Siisti liitäntälista ennen uudelleenkäynnistystä on puolet testistä. Toinen puoli on se, mitä identiteetti voi vielä tehdä sen jälkeen.

Jos jokin hallinta palauttaa peerin yhä uudelleen, lopeta matalan tason poiston toistaminen. Korjaa se luettelo, jota tämä kirjoittaja lukee, sillä siihen asti jokainen uudelleenkäynnistys on uusi kutsu identiteetille ilmestyä jälleen.