Af hverju eytt WireGuard-peer kemur aftur eftir endurræsingu

Auðkennið hverfur úr keyrandi viðmótinu og breytingin virðist búin. Eftir að þjónustan endurræsist er það komið aftur, sem lesendur túlka sem svo að WireGuard hunsaði skipunina. Það sem raunverulega gerðist er einfaldara: ræsingarstillingin inniheldur peerinn ennþá.

Tvö stöður halda þessum lista. Afturköllun er aðeins raunveruleg þegar báðar missa hann.

Hvað wg set breytir í raun

Skipunin wg set wg0 peer <public-key> remove breytir keyrandi viðmótinu í kjarnanum. Hún skrifar ekkert á diskinn. Stillingarskráin, NetworkManager-sniðið eða vistað ástand beinisins verða ósnert. Þetta er hönnunin, ekki galli.

Þessi aðskilnaður er viljandi, því tólið hefur ekki hugmynd um hver á viðmótið. Skipun á keyrslutíma verður að vera örugg gagnvart viðmóti sem eitthvað annað stýrir. Hún getur ekki giskað á hvar varanlega afritið býr. Afleiðingin er auðveld að orða: fjarlæging á keyrslutíma er tímabundin vegna uppbyggingar sinnar.

Því kemur peerinn aftur við næstu endurræsingu, og hann kemur aftur með upprunalegu leyfðu forskeytunum sínum. Allt sem er leiðbeint í gegnum hann er líka búið til á ný. Þannig getur auðkenni sem á að vera afturkallað náð fyrri ákvörðunarstöðum sínum eftir endurhleðslu. Ekkert í úttakinu á keyrslutíma hafði varað neinn við.

Finndu skrifarann áður en þú breytir skrá

Viðmótið á sér eiganda. Það gæti verið wg-quick sem les skrá, NetworkManager sem beitir sniði, eigin viðmótsstilling beinisins eða inngangspunktur gáms sem býr viðmótið til á ný við ræsingu. Að breyta skrá sem eigandinn les aldrei framleiðir enga varanlega breytingu.

Byrjaðu á keyrandi viðmótinu og greindu opinberu lyklana, því nöfn og vistföng eru veikari auðkenni en lykillinn sjálfur. Berðu svo þann lista saman við vistuðu stillinguna sem eigandinn les í raun.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Lifandi viðmót þar sem peer-listinn og innihald skrárinnar stangast á er öll greiningin. Vistaða stillingin vinnur við ræsingu og ástandið á keyrslutíma tapar. Berðu þau saman áður en þú breytir öðru hvoru.

SaveConfig-gildran

wg-quick bætir við fellingu sem grípur fólk sem breytir skrám í höndunum. Þegar SaveConfig er virkt skrifar skjalfest hegðun þess við slokknun núverandi ástand keyrslutímans yfir stillingarskrána.

Það snýr við venjulegri stefnu varanleikans. Þú fjarlægir peer úr skránni og svo stöðvast þjónustan. Keyrandi ástandið er skrifað yfir breytinguna þína og endurheimtir peerinn sem þú varst að eyða.

Þess vegna skiptir röðin máli: breyttu skránni meðan viðmótið er niðri, eða slökktu á SaveConfig fyrir breytinguna, settu viðmótið svo aftur upp og staðfestu hvað hlóðst. Handbreyting meðan viðmótið er uppi er kapphlaup við skrifin við slokknun.

Breyttu báðum stöðum og hlauðu svo aftur

Á keyrslutíma skaltu fjarlægja peerinn eftir lyklinum. Í vistuðu stillingunni skaltu fjarlægja sama blokk með studdri aðgerð eigandans, frekar en að breyta í kringum hana.

Farðu svo yfir hvað peerinn bar. Leiðbeint net sem tilheyrði afturkallaða auðkenninu ætti að vera endurúthlutað viljandi eða fjarlægt, ekki erft í kyrrþey af þeim peer sem breytt er næst.

Haltu endurheimtaleið opinni ef gáttin ber líka stjórnunaraðgang þinn. Endurræsing sem fjarlægir rangann peer er stöðvun sem þú ollið sjálfum þér. Sama gildir um endurræsingu sem fjarlægir röngu leiðina.

Hvernig fullnað próf lítur út

Hlaðu þjónustunni aftur eða endurræstu hana og lestu svo peer-listann aftur. Gamli lykillinn verður að vanta og peerarnir sem þú ætlaðir að halda verða að vera enn til staðar og virka.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Þar sem aðstæður leyfa skaltu staðfesta að gamla auðkennið nái ekki lengur fyrri auðlindum sínum. Snyrtilegur viðmótslisti fyrir endurræsingu er hálft próf. Hinn helmingurinn er hvað auðkennið getur enn gert eftir á.

Ef stjórnandi heldur áfram að endurheimta peerinn skaltu hætta að endurtaka fjarlæginguna á lágum stigi. Lagaðu skrána sem sá skrifari les, því þangað til er hver endurræsing enn eitt boðið til auðkennisins að birtast aftur.