A WireGuard kézfogás kora nem munkamenet-időtúllépés
A kulcsfrissítési időzítők a kulcsokat szabályozzák, nem a felhasználói hozzáférést. A latest-handshakes olvasása egy peer protokollállapotáról szól, nem arról, hogy lejárt-e az engedélye.
Az a peer, amely abbahagyja a forgalom átengedését, nem veszíti el ezzel a kulcsát, és egy friss kézfogás nem bizonyítja, hogy bárki megújította a használatára adott engedélyt. A WireGuard időzítői frissen tartják a kulcsokat és mozgásban a csomagokat; nem modelleznek olyan felhasználót, aki meghatározott számú perc után kijelentkezik. Itt három kérdés keveredik, és mindegyikhez más bizonyíték tartozik. A megkülönböztetés dönti el, melyik eszközhöz nyúlunk.
Három kérdés, egy parancskimenet
Az üzemeltetők azt kérdezik, elérhető-e egy peer, aktív volt-e, és engedélyezett-e még. Az első a protokollállapot, a második a forgalomszámláló, a harmadik az engedélyezés. Csak az első kettő olvasható ki egy WireGuard interfészből, és rutinszerűen ezekkel válaszolják meg mindhármat.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Olvassa a sorokat három külön vizsgálatként. Az első kettő olcsó, és az interfész saját számlálóiból megválaszolható. A harmadikhoz a hozzáférést adó konfiguráció kell, amely másik fájlban vagy másik rendszerben él. A rossz sor kiválasztása azt jelenti, hogy egy protokoll-időzítőtől kérünk szabályzatmunkát.
Mit szabályoznak valójában az időzítők
A protokoll állandókat határoz meg a kézfogás újrapróbálására, a szállítási kulcsok rotációjára és a régi kulccsal védett csomagok elutasítására. Ezek a forgalomra és az állapotra reagálnak, nem egy naptárra vagy olyan szabályzatra, amely szerint valaki 17:00-ig csatlakozhat. Ezért tűnhet egy tétlen peer órákig inaktívnak, miközben továbbra is engedélyezett.
PersistentKeepalive gyakran összekeverik a hiányzó időtúllépéssel. Hitelesített üres csomagokat küld, hogy életben tartsa a NAT-hozzárendelést, és nullára állítva leállítja ezeket a csomagokat anélkül, hogy bármit visszavonna.
Olvassa a futásidejű állapotot peerenként, a nyilvános kulcsot használva a megjegyzés helyett:
wg show wg0 latest-handshakes
wg show wg0 transferEgy friss kézfogás azt mondja, hogy egy kézfogás befejeződött. Nem mondja, hogy az alagút mögötti privát szolgáltatás elérhető, és egy régi időbélyeg tartozhat egy peerhez, amely egyszerűen csendes.
Miért nem kijelentkezett peer egy tétlen peer
A WireGuardnak nincs kezdettel és véggel rendelkező munkamenet-objektuma. A peer egy nyilvános kulcs engedélyezett címekkel, és a forgalmát védő kézfogás szükség szerint cserélődik, minden felhasználó számára látható bejelentkezés nélkül. A friss forgalom hiányát kijelentkezésnek tekinteni megfordítja a modellt.
Ha a valódi panasz az, hogy egy kapcsolat tétlenség után meghiúsul, az ok általában máshol van: lejárt NAT-hozzárendelés, elaludt eszköz vagy állapotot elvesztett tűzfal. Teszteljen úgy, hogy a túloldalról küld forgalmat és új folyamot indít, majd hasonlítsa össze, mi változik.
Tegye a határidőt oda, ahol az engedélyezés él
Ha a hozzáférésnek egy adott időpontban véget kell érnie, a határidő ahhoz tartozik, ami a hozzáférést adja. A peer-konfigurációkat kiadó vezérlő megkövetelheti a megújított jóváhagyást, mielőtt újat ad ki, és ez a vezérlő tulajdonsága, nem pedig az interfész rejtett paramétere.
A kézzel kezelt peer esetében az eltávolításnak mindkét helyre el kell jutnia: a futó interfészre és a mentett konfigurációra. A peer csak futásidőben történő eltávolítását visszavonja egy újraindítás vagy egy összehangoló hurok, amely visszaállítja az identitást, amelyet lejártnak hitt:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Utána a határt tesztelje, ne a címkét. Erősítse meg, hogy a peer a határidő után elutasításra kerül, hogy a megújítási útvonal működik, és hogy az állapot túléli a kezelő újratöltését. A kézfogás kora hasznos üzemeltetési jelzés, és nem hozzáférési nyilvántartás.