Starost WireGuard rukovanja nije vremensko ograničenje sesije
Tajmeri obnove ključeva upravljaju ključevima, a ne pristupom korisnika. Čitanje latest-handshakes govori o protokolarnom stanju jednog peera, a ne o tome je li njegovo ovlaštenje isteklo.
Peer koji prestane propuštati promet time ne gubi svoj ključ, a novo rukovanje ne dokazuje da je neko obnovio dozvolu za njegovo korištenje. WireGuardovi tajmeri drže ključeve svježim i pakete u pokretu; oni ne modeliraju korisnika koji se odjavi nakon određenog broja minuta. Ovdje se miješaju tri pitanja i svako ima drugačije dokaze. Ta razlika odlučuje koje ćemo oruđe uzeti.
Tri pitanja, jedan izlaz naredbe
Operateri pitaju je li peer dostupan, je li bio aktivan i je li još dopušten. Prvo je stanje protokola, drugo su brojači prometa, a treće je ovlaštenje. Samo se prva dva mogu pročitati s WireGuard sučelja i rutinski se koriste za odgovor na sva tri.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Čitajte redove kao tri odvojene istrage. Prva dva su jeftina i na njih se može odgovoriti vlastitim brojačima sučelja. Treće treba konfiguraciju koja daje pristup, a ona živi u drugoj datoteci ili drugom sistemu. Odabir pogrešnog reda znači tražiti od protokolnog tajmera da radi posao politike.
Čime tajmeri zapravo upravljaju
Protokol definira konstante za ponovni pokušaj rukovanja, rotaciju transportnih ključeva i odbijanje paketa zaštićenih starim ključem. One reagiraju na promet i na stanje, ne na kalendar ili politiku koja kaže da se osoba može povezati do 17:00. Zato peer koji miruje može satima izgledati neaktivan i ipak ostati ovlašten.
PersistentKeepalive se često zamjenjuje s nedostajućim vremenskim ograničenjem. Šalje autentificirane prazne pakete kako bi održao NAT mapiranje živim, a postavljanje na nulu zaustavlja te pakete bez opoziva ičega.
Čitajte stanje izvršavanja po peeru, koristeći javni ključ umjesto komentara:
wg show wg0 latest-handshakes
wg show wg0 transferNedavno rukovanje kaže da je jedno rukovanje dovršeno. Ono ne kaže da je privatna usluga iza tunela dostupna, a stara vremenska oznaka može pripadati peeru koji je jednostavno tih.
Zašto peer koji miruje nije odjavljeni peer
WireGuard nema objekt sesije s početkom i krajem. Peer je javni ključ s dopuštenim adresama, a rukovanje koje štiti njegov promet zamjenjuje se po potrebi bez ikakve prijave vidljive korisniku. Tretirati odsutnost nedavnog prometa kao odjavu znači preokrenuti model.
Ako je prava žalba to da veza ne uspijeva nakon mirovanja, uzrok je obično negdje drugdje: isteklo NAT mapiranje, uređaj koji je zaspao ili vatrozid koji je izgubio stanje. Testirajte slanjem prometa s druge strane i pokretanjem novog toka, pa usporedite što se mijenja.
Postavite rok tamo gdje živi ovlaštenje
Ako pristup mora završiti u određeno vrijeme, rok pripada onome što daje pristup. Kontroler koji izdaje konfiguracije peera može zahtijevati obnovljeno odobrenje prije nego izda novu, i to je svojstvo kontrolera, a ne skriveni parametar na sučelju.
Za peere kojima se upravlja ručno, uklanjanje mora doći na dva mjesta: sučelje koje radi i spremljenu konfiguraciju. Uklanjanje peera samo tijekom rada poništava ponovno pokretanje ili petlja usklađivanja, koja vraća identitet za koji ste mislili da je istekao:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Zatim testirajte granicu, a ne oznaku. Potvrdite da je peer odbijen nakon roka, da put obnove radi i da stanje preživljava ponovno učitavanje upravitelja. Starost rukovanja koristan je operativni signal i nije zapis o pristupu.