Por que un peer de WireGuard borrado volve tras reiniciar

A identidade desaparece da interface en execución e o cambio parece feito. Cando o servizo se reinicia, volve, o que se le como se WireGuard ignorase a orde. O que pasou en realidade é máis simple: a configuración de arrinque aínda contén o peer.

Dous estados manteñen esa lista. A revocación só é real cando ambos a perden.

Que cambia realmente wg set

A orde wg set wg0 peer <public-key> remove edita a interface en execución dentro do núcleo. Non escribe nada no disco. O ficheiro de configuración, o perfil de NetworkManager ou o estado gardado do router quedan intactos. Ese é o deseño, non un fallo.

Esa separación é deliberada, porque a ferramenta non ten idea de quen é o dono da interface. Unha orde en tempo de execución debe ser segura contra unha interface xestionada por outra cousa. Non pode adiviñar onde vive a copia duradeira. A consecuencia é fácil de dicir: unha eliminación en tempo de execución é temporal por construción.

Así que o peer volve no seguinte reinicio, e volve cos seus prefixos permitidos orixinais. Todo o que se encamiña a través del tamén se recrea. Unha identidade supostamente revocada pode, xa que logo, alcanzar os seus destinos anteriores tras unha recarga. Nada na saída en tempo de execución avisara a ninguén.

Atopa o escritor antes de editar un ficheiro

A interface ten un dono. Pode ser wg-quick lendo un ficheiro, NetworkManager aplicando un perfil, a configuración de interface do propio router ou un punto de entrada de contedor que recrea a interface ao arrincar. Editar un ficheiro que o dono nunca le non produce ningún cambio persistente.

Comeza pola interface en execución e identifica as claves públicas, xa que nomes e enderezos son identificadores máis febles que a propia clave. Despois compara esa lista coa configuración gardada que o dono le de verdade.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Unha interface viva cuxa lista de peers e cuxo contido de ficheiro non coinciden é todo o diagnóstico. A configuración gardada gaña ao arrincar, e o estado en execución perde. Compáraos antes de cambiar calquera dos dous.

A trampa de SaveConfig

wg-quick engade unha dobra que atrapa a quen edita ficheiros a man. Co SaveConfig activado, o seu comportamento documentado ao apagarse escribe o estado de execución actual sobre o ficheiro de configuración.

Iso invirte a dirección habitual da persistencia. Quitas un peer do ficheiro e despois o servizo detense. O estado en execución escríbese sobre a túa edición e restaura o peer que acabas de borrar.

Por iso a orde importa: edita o ficheiro coa interface baixada, ou desactiva SaveConfig antes da edición, logo volve subir a interface e confirma que se cargou. Unha edición a man coa interface activa é unha carreira coa escritura de apagado.

Cambia ambos os estados e recarga

En tempo de execución, quita o peer pola clave. Na configuración gardada, quita o mesmo bloque mediante a operación soportada do dono, en lugar de editar ao redor del.

Despois revisa o que levaba o peer. Unha rede encamiñada que pertencía á identidade revocada debería reasignarse deliberadamente ou eliminarse, non herdarse en silencio polo peer que se edite despois.

Mantén aberto un camiño de recuperación se a pasarela tamén leva o teu acceso administrativo. Un reinicio que elimina o peer equivocado é unha caída autoinflixida. O mesmo vale para un reinicio que elimina a ruta equivocada.

Como se ve unha proba superada

Recarga ou reinicia o servizo e volve ler a lista de peers. A clave antiga debe faltar, e os peers que querías conservar deben seguir presentes e funcionando.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Onde a situación o permita, confirma que a identidade antiga xa non alcanza os seus recursos anteriores. Unha listaxe de interface ordenada antes dun reinicio é media proba. A outra metade é o que a identidade pode facer despois.

Se un xestor segue restaurando o peer, deixa de repetir a eliminación de baixo nivel. Arranxa o inventario que ese escritor le, porque ata entón cada reinicio é outra invitación a que a identidade reapareza.