De leeftyd fan in WireGuard-handshake is gjin sesje-timeout
Kaaifernijingstimers behearskje kaaien, net brûkersjtagong. latest-handshakes lêze seit eat oer de protokolsteat fan ien peer, net oft syn autorisaasje ferrûn is.
In peer dy't gjin ferkear mear trochlit, ferliest dêrmei syn kaai net, en in nije handshake bewiist net dat immen de tastimming om it te brûken fernijd hat. De timers fan WireGuard hâlde kaaien farsk en pakketten yn beweging; se modellearje gjin brûker dy't nei in fêst oantal minuten útlogt. Trije fragen wurde hjir trochinoar helle, en elk hat oar bewiis. Dat ûnderskie bepaalt hokker helpmiddel jo brûke.
Trije fragen, ien opdrachtsútfier
Behearders freegje oft in peer berikber is, oft er aktyf west hat en oft er noch tastien is. It earste is protokolsteat, it twadde binne ferkearstellers en it tredde is autorisaasje. Allinne de earste twa binne út in WireGuard-interface te lêzen, en se wurde geregeld brûkt om alle trije te beäntwurdzjen.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lês de rigen as trije aparte ûndersiken. De earste twa binne goedkeap en kinne beäntwurde wurde út de eigen tellers fan de interface. It tredde hat de konfiguraasje nedich dy't tagong jout, en dy wennet yn in oar bestân of in oar systeem. De ferkearde rige kieze is in protokoltimer freegje om it wurk fan in belied te dwaan.
Wat de timers eins behearskje
It protokol definiearret konstanten foar it op 'e nij besykjen fan de handshake, rotaasje fan transportkaaien en it wegerjen fan pakketten dy't troch in âlde kaai beskerme wurde. Se reagearje op ferkear en op steat, net op in kalender of op in belied dat seit dat immen oant 17:00 ferbûn wêze mei. Dêrom kin in idle peer oerenlang ynaktyf lykje en dochs autorisearre bliuwe.
PersistentKeepalive wurdt gauris oansjoen foar de ûntbrekkende timeout. It stjoert autentisearre lege pakketten om in NAT-mapping libben te hâlden, en it op nul setten stopet dy pakketten sûnder eat te werroppen.
Lês de runtime-steat per peer, mei de iepenbiere kaai ynstee fan de kommentaar:
wg show wg0 latest-handshakes
wg show wg0 transferIn resinte handshake seit dat ien handshake foltôge is. It seit net dat de priveetsjinst efter de tunnel berikber is, en in âld tiidstimpel kin by in peer hearre dy't gewoan stil is.
Wêrom in idle peer gjin útlotte peer is
WireGuard hat gjin sesje-objekt mei in begjin en in ein. In peer is in iepenbiere kaai mei tastiene adressen, en de handshake dy't syn ferkear beskermet wurdt sa nedich ferfongen sûnder in foar de brûker sichtbere oanmelding. It ûntbrekken fan resint ferkear as útloggen behannelje keart it model om.
As de echte klacht is dat in ferbining mislearret nei 't se idle stien hat, leit de oarsaak meast earne oars: in ferrûne NAT-mapping, in apparaat dat slept hat of in firewall dy't steat ferlern hat. Test troch ferkear fan de oare kant te stjoeren en in nije stream te begjinnen, en fergelykje wat der feroaret.
Set de deadline dêr't de autorisaasje wennet
As tagong op in beskaat tiidstip einigje moat, heart de deadline by wat de tagong jout. In controller dy't peer-konfiguraasjes útjout kin in fernijde goedkarring easkje foardat er in nije jout, en dat is in eigenskip fan de controller en gjin ferburgen parameter op de interface.
Foar mei de hân behearde peers moat it fuortheljen beide plakken berikke: de rinnende interface en de bewarre konfiguraasje. It fuortheljen fan de peer allinnich by runtime wurdt ûngedien makke troch in herstart of in ôfstimmingslus, dy't de identiteit werombringt dy't jo tochten dat ferrûn wie:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Test dan de grins ynstee fan it label. Befêstigje dat de peer nei de deadline wegere wurdt, dat it fernijingspaad wurket en dat de steat in werladen fan de behearder oerlibbet. De leeftyd fan in handshake is in nuttich operasjoneel sinjaal, en it is gjin tagongsrecord.