Miért jön vissza a törölt WireGuard peer újraindítás után

Az identitás eltűnik a futó interfészből, és a változás késznek látszik. Miután a szolgáltatás újraindul, visszatér, ami úgy tűnik, mintha a WireGuard figyelmen kívül hagyná a parancsot. Ami valójában történt, egyszerűbb: az indítási konfiguráció még mindig tartalmazza a peert.

Két állapot tartja ezt a listát. A visszavonás csak akkor valódi, ha mindkettő elveszíti.

Mit változtat valójában a wg set

A wg set wg0 peer <public-key> remove parancs a kernelben futó interfészt szerkeszti. Semmit nem ír a lemezre. A konfigurációs fájl, a NetworkManager-profil vagy az útválasztó mentett állapota érintetlen marad. Ez a tervezés, nem hiba.

Ez a szétválasztás szándékos, mert az eszköznek fogalma sincs arról, ki birtokolja az interfészt. Futásidejű parancsnak biztonságosnak kell lennie egy másvalami által kezelt interfészen. Nem tudja kitalálni, hol él a tartós másolat. A következmény könnyen kimondható: a futásidejű eltávolítás felépítésénél fogva ideiglenes.

Így a peer a következő újraindításkor visszatér, és az eredeti engedélyezett előtagjaival tér vissza. Minden, ami rajta keresztül van irányítva, szintén újra létrejön. Egy állítólagosan visszavont identitás tehát újratöltés után elérheti korábbi céljait. A futásidejű kimenetben semmi nem figyelmeztetett senkit.

Keresse meg az írót, mielőtt fájlt szerkeszt

Az interfésznek van gazdája. Lehet wg-quick, amely fájlt olvas, NetworkManager, amely profilt alkalmaz, az útválasztó saját interfész-konfigurációja, vagy egy konténer belépési pontja, amely indításkor újra létrehozza az interfészt. Olyan fájl szerkesztése, amelyet a gazda soha nem olvas, egyáltalán nem hoz tartós változást.

Kezdje a futó interfésszel, és azonosítsa a nyilvános kulcsokat, mert a nevek és a címek gyengébb azonosítók magánál a kulcsnál. Ezután hasonlítsa össze ezt a listát a mentett konfigurációval, amelyet a gazda valóban olvas.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Egy élő interfész, amelynek peer-listája és fájltartalma nem egyezik, maga a teljes diagnózis. Indításkor a mentett konfiguráció nyer, a futásidejű állapot pedig veszít. Hasonlítsa össze őket, mielőtt bármelyiket módosítja.

A SaveConfig csapdája

A wg-quick egy redőt ad hozzá, amely elkapja a fájlokat kézzel szerkesztőket. Ha a SaveConfig engedélyezett, a dokumentált leállási viselkedése a jelenlegi futásidejű állapotot a konfigurációs fájl fölé írja.

Ez megfordítja a tartósság szokásos irányát. Eltávolít egy peert a fájlból, majd a szolgáltatás leáll. A futó állapot a szerkesztése fölé íródik, és visszaállítja az imént törölt peert.

Ezért számít a sorrend: szerkessze a fájlt, amíg az interfész le van állítva, vagy tiltsa le a SaveConfigot a szerkesztés előtt, majd hozza fel újra az interfészt, és erősítse meg, mi töltődött be. A kézi szerkesztés felfutott interfész mellett versenyfutás a leállítási írással.

Változtassa meg mindkét állapotot, majd töltse újra

Futásidőben távolítsa el a peert a kulcsa szerint. A mentett konfigurációban ugyanazt a blokkot a gazda támogatott műveletével távolítsa el, ne pedig körülötte szerkesszen.

Aztán vizsgálja át, mit hordozott a peer. A visszavont identitáshoz tartozó irányított hálózatot szándékosan újra kell osztani vagy el kell távolítani, nem pedig csendben örökölnie kell annak a peernek, amelyet legközelebb szerkesztenek.

Tartson nyitva egy helyreállítási útvonalat, ha az átjáró a felügyeleti hozzáférését is hordozza. Az a újraindítás, amely a rossz peert távolítja el, saját maga okozta kiesés. Ugyanez érvényes arra az újraindításra, amely a rossz útvonalat távolítja el.

Hogyan néz ki egy sikeres teszt

Töltse újra vagy indítsa újra a szolgáltatást, majd olvassa el ismét a peer-listát. A régi kulcsnak hiányoznia kell, és a megtartani kívánt peereknek továbbra is jelen kell lenniük és működniük kell.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Ahol a helyzet engedi, erősítse meg, hogy a régi identitás már nem éri el korábbi erőforrásait. Egy rendezett interfész-lista újraindítás előtt a teszt fele. A másik fele az, hogy az identitás utána még mit tud tenni.

Ha egy kezelő folyton visszaállítja a peert, hagyja abba az alacsony szintű eltávolítás ismételgetését. Javítsa meg azt a leltárt, amelyet ez az író olvas, mert addig minden újraindítás újabb meghívás az identitás számára, hogy újra megjelenjen.