WireGuard-kättelyn ikä ei ole istunnon aikakatkaisu
Avainten uusimisen ajastimet ohjaavat avaimia, eivät käyttäjän pääsyä. latest-handshakes kertoo yhden peerin protokollatilasta, ei siitä, onko sen valtuutus vanhentunut.
Peer, joka lakkaa välittämästä liikennettä, ei menetä avaintaan sen takia, eikä tuore kättely todista, että joku olisi uusinut luvan käyttää sitä. WireGuardin ajastimet pitävät avaimet tuoreina ja paketit liikkeessä; ne eivät mallinna käyttäjää, joka kirjautuu ulos tietyn minuuttimäärän jälkeen. Tässä sekoitetaan kolme kysymystä, ja jokaisella on eri todisteet. Ero ratkaisee, mihin työkaluun tartutaan.
Kolme kysymystä, yksi komennon tuloste
Ylläpitäjät kysyvät, onko peer tavoitettavissa, onko se ollut aktiivinen ja onko se yhä sallittu. Ensimmäinen on protokollatila, toinen liikennelaskurit ja kolmas valtuutus. Vain kaksi ensimmäistä voidaan lukea WireGuard-rajapinnasta, ja niitä käytetään rutiininomaisesti vastaamaan kaikkiin kolmeen.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lue rivit kolmena erillisenä tutkintana. Kaksi ensimmäistä ovat halpoja ja ne voi vastata rajapinnan omilla laskureilla. Kolmas vaatii pääsyn myöntävän kokoonpanon, ja se asuu toisessa tiedostossa tai toisessa järjestelmässä. Väärän rivin valitseminen tarkoittaa, että protokolla-ajastimelta pyydetään käytännön työtä.
Miten ajastimet todella vaikuttavat
Protokolla määrittelee vakiot kättelyn uusinnalle, siirtokerroksen avainten kierrolle ja sellaisten pakettien hylkäämiselle, joita suojaa vanha avain. Ne reagoivat liikenteeseen ja tilaan, eivät kalenteriin tai käytäntöön, joka sanoo, että henkilö saa olla yhteydessä kello 17:00 asti. Siksi joutilas peer voi näyttää tuntikausia toimettomalta ja olla silti valtuutettu.
PersistentKeepalive sekoitetaan usein puuttuvaan aikakatkaisuun. Se lähettää todennettuja tyhjiä paketteja pitääkseen NAT-määrityksen elossa, ja nollaan asetettuna se lopettaa ne paketit peruuttamatta mitään.
Lue ajonaikainen tila peereittäin käyttäen julkista avainta kommentin sijaan:
wg show wg0 latest-handshakes
wg show wg0 transferTuore kättely kertoo, että yksi kättely on saatu päätökseen. Se ei kerro, että tunnelin takana oleva yksityinen palvelu on tavoitettavissa, ja vanha aikaleima voi kuulua peerille, joka on yksinkertaisesti hiljaa.
Miksi joutilas peer ei ole uloskirjautunut peer
WireGuardilla ei ole istunto-oliota, jolla olisi alku ja loppu. Peer on julkinen avain ja sallitut osoitteet, ja sen liikennettä suojaava kättely vaihdetaan tarvittaessa ilman käyttäjälle näkyvää kirjautumista. Tuoreen liikenteen puuttumisen pitäminen uloskirjautumisena kääntää mallin ylösalaisin.
Jos varsinainen valitus on, että yhteys epäonnistuu joutilaana olon jälkeen, syy on yleensä muualla: vanhentunut NAT-määritys, nukkunut laite tai palomuuri, joka pudotti tilan. Testaa lähettämällä liikennettä toiselta puolelta ja aloittamalla uusi virtaus, ja vertaa mikä muuttuu.
Laita määräaika sinne, missä valtuutus asuu
Jos pääsyn on päätyttävä tiettynä aikana, määräaika kuuluu sille, joka myöntää pääsyn. Peer-kokoonpanoja jakava ohjain voi vaatia uusitun hyväksynnän ennen kuin se antaa uuden, ja se on ohjaimen ominaisuus eikä rajapinnan piilotettu parametri.
Käsin hallittujen peerien kohdalla poiston on yllettävä kahteen paikkaan: käynnissä olevaan rajapintaan ja tallennettuun kokoonpanoon. Peerin poistaminen vain ajon aikana kumoutuu uudelleenkäynnistyksessä tai täsmäytyssilmukassa, joka palauttaa identiteetin, jonka luulit vanhentuneen:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Testaa sitten rajaa etiketin sijaan. Varmista, että peer hylätään määräajan jälkeen, varmista että uusimispolku toimii ja varmista että tila säilyy hallinnan uudelleenlatauksen yli. Kättelyn ikä on hyödyllinen operatiivinen signaali, eikä se ole pääsytietue.