WireGuard-ի ձեռքսեղմման տարիքը սեսիայի թայմաութ չէ
Բանալիների թարմացման ժամաչափերը կառավարում են բանալիները, ոչ թե օգտվողի մուտքը։ latest-handshakes կարդալը խոսում է մեկ peer-ի արձանագրության վիճակի մասին, ոչ թե այն մասին, թե արդյոք նրա լիազորությունը սպառվել է։
peer-ը, որը դադարում է տրաֆիկ անցկացնել, դրանով չի կորցնում իր բանալին, և նոր ձեռքսեղմումը չի ապացուցում, որ ինչ-որ մեկը թարմացրել է այն օգտագործելու թույլտվությունը։ WireGuard-ի ժամաչափերը բանալիները պահում են թարմ, իսկ փաթեթները՝ շարժման մեջ; դրանք չեն մոդելավորում օգտվողի, որը դուրս է գալիս որոշակի րոպեներից հետո։ Այստեղ շփոթվում են երեք հարցեր, և յուրաքանչյուրն ունի տարբեր ապացույց։ Այս տարբերությունը որոշում է, թե որ գործիքին դիմել։
Երեք հարց, մեկ հրամանի ելք
Օպերատորները հարցնում են՝ peer-ը հասանելի՞ է, ակտիվ եղե՞լ է, և դեռ թույլատրվա՞ծ է։ Առաջինը արձանագրության վիճակն է, երկրորդը՝ տրաֆիկի հաշվիչները, երրորդը՝ լիազորությունը։ Միայն առաջին երկուսը կարելի է կարդալ WireGuard ինտերֆեյսից, և դրանք սովորաբար օգտագործվում են բոլոր երեքին պատասխանելու համար։
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Կարդացեք տողերը որպես երեք առանձին հետաքննություն։ Առաջին երկուսը էժան են և կարելի է պատասխանել ինտերֆեյսի սեփական հաշվիչներով։ Երրորդը պահանջում է այն կազմաձևը, որը տալիս է մուտքը, և այն ապրում է այլ ֆայլում կամ այլ համակարգում։ Սխալ տող ընտրելը նշանակում է արձանագրության ժամաչափից խնդրել կատարել քաղաքականության աշխատանքը։
Ինչ են իրականում կառավարում ժամաչափերը
Արձանագրությունը սահմանում է հաստատուններ ձեռքսեղմման կրկնության, տրանսպորտային բանալիների պտտման և հին բանալիով պաշտպանված փաթեթների մերժման համար։ Դրանք արձագանքում են տրաֆիկին և վիճակին, ոչ թե օրացույցին կամ քաղաքականությանը, որն ասում է, թե մարդը կարող է միացված լինել մինչև 17:00։ Այդ պատճառով անգործ peer-ը կարող է ժամերով անգործուն երևալ և այնուամենայնիվ լիազորված մնալ։
PersistentKeepalive հաճախ շփոթում են բացակայող թայմաութի հետ։ Այն ուղարկում է նույնականացված դատարկ փաթեթներ՝ NAT քարտեզագրումը կենդանի պահելու համար, և զրոյի դնելը դադարեցնում է այդ փաթեթները՝ ոչինչ չեղարկելով։
Կարդացեք գործարկման վիճակը յուրաքանչյուր peer-ի համար՝ օգտագործելով հանրային բանալին, ոչ թե մեկնաբանությունը:
wg show wg0 latest-handshakes
wg show wg0 transferՎերջերս տեղի ունեցած ձեռքսեղմումը ասում է, որ մեկ ձեռքսեղմում ավարտվել է։ Այն չի ասում, որ թունելի հետևի մասնավոր ծառայությունը հասանելի է, և հին ժամանակի դրոշմը կարող է պատկանել peer-ի, որը պարզապես լուռ է։
Ինչու անգործ peer-ը դուրս եկած peer չէ
WireGuard-ը չունի սկիզբ և ավարտ ունեցող սեսիայի օբյեկտ։ peer-ը հանրային բանալի է՝ թույլատրված հասցեներով, և նրա տրաֆիկը պաշտպանող ձեռքսեղմումը փոխարինվում է անհրաժեշտության դեպքում՝ առանց օգտվողին տեսանելի մուտքի։ Վերջին տրաֆիկի բացակայությունը որպես դուրս գալու համարելը շրջում է մոդելը։
Եթե իրական բողոքն այն է, որ կապը ձախողվում է անգործությունից հետո, պատճառը սովորաբար այլ տեղ է՝ ժամկետանց NAT քարտեզագրում, քնած սարք կամ վիճակը կորցրած հրապար։ Փորձարկեք՝ տրաֆիկ ուղարկելով մյուս կողմից և նոր հոսք սկսելով, և համեմատեք, թե ինչ է փոխվում։
Տեղադրեք վերջնաժամկետը այնտեղ, որտեղ ապրում է լիազորությունը
Եթե մուտքը պետք է ավարտվի որոշակի ժամի, վերջնաժամկետը պատկանում է նրան, ինչը տալիս է մուտքը։ peer-ի կազմաձևեր թողարկող կարգավորիչը կարող է պահանջել թարմացված հաստատում նորը տալուց առաջ, և դա կարգավորիչի հատկությունն է, ոչ թե ինտերֆեյսի թաքնված պարամետր։
Ձեռքով կառավարվող peer-երի համար հեռացումը պետք է հասնի երկու տեղ՝ աշխատող ինտերֆեյս և պահված կազմաձև։ peer-ը միայն գործարկման ընթացքում հեռացնելը չեղարկվում է վերսկսմամբ կամ համաձայնեցման հանգույցով, որը վերականգնում է այն ինքնությունը, որը դուք կարծում էիք սպառված.
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Ապա փորձարկեք սահմանը, ոչ թե պիտակը։ Հաստատեք, որ peer-ը մերժվում է վերջնաժամկետից հետո, որ թարմացման ուղին աշխատում է, և որ վիճակը դիմանում է կառավարիչի վերաբեռնմանը։ Ձեռքսեղմման տարիքը օգտակար գործառնական ազդանշան է, և այն մուտքի գրառում չէ։