Aldur handabands WireGuard er ekki setutími
Endurnýjunartímamælar stjórna lyklum, ekki aðgangi notenda. Að lesa latest-handshakes segir til um bókunarástand eins peer, ekki hvort heimild þess er runnin út.
Peer sem hættir að flytja umferð missir ekki lykilinn sinn vegna þess, og nýtt handaband sannar ekki að einhver hafi endurnýjað leyfið til að nota hann. Tímamælar WireGuard halda lyklum ferskum og pökkum á hreyfingu; þeir líkja ekki eftir notanda sem skráir sig út eftir ákveðinn fjölda mínútna. Þrjár spurningar ruglast hér saman og hver hefur mismunandi sönnunargögn. Þessi greinarmunur ræður því hvaða tól er gripið.
Þrjár spurningar, ein skipunarniðurstaða
Rekstraraðilar spyrja hvort peer sé aðgengilegt, hvort það hafi verið virkt og hvort það sé enn leyft. Fyrsta er bókunarástand, annað er umferðarteljarar og þriðja er heimild. Aðeins fyrstu tvö er hægt að lesa af WireGuard-viðmóti og þau eru reglulega notuð til að svara öllum þremur.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lestu raðirnar sem þrjár aðskildar rannsóknir. Fyrstu tvær eru ódýrar og hægt að svara þeim með teljurum viðmótsins sjálfs. Þriðja þarf stillinguna sem veitir aðgang og hún býr í annarri skrá eða öðru kerfi. Að velja röngu röðina er að biðja bókunartímamæli að vinna vinnu stefnu.
Hvað tímamælar stjórna raunverulega
Bókunin skilgreinir fasta fyrir endurtekningu handabands, snúning flutningslykla og höfnun pakka sem verndaðir eru með gömlum lykli. Þeir bregðast við umferð og ástandi, ekki dagatali eða stefnu sem segir að manneskja megi vera tengd til 17:00. Þess vegna getur aðgerðarlaust peer litið óvirkt út í klukkustundir og samt verið heimilað.
PersistentKeepalive er oft haft fyrir vantaðan tímann. Það sendir auðkenndar tómar pakkar til að halda NAT-kortlagningu lifandi, og að setja það á núll stöðvar þá pakka án þess að afturkalla nokkuð.
Lestu keyrsluástand fyrir hvert peer, með opinberum lykli í stað athugasemdar:
wg show wg0 latest-handshakes
wg show wg0 transferNýlegt handaband segir að einu handabandi hafi verið lokið. Það segir ekki að einkaaðgerðin bak við göngin sé aðgengileg, og gömul tímasetning getur tilheyrt peer sem er einfaldlega þögult.
Hvers vegna aðgerðarlaust peer er ekki útskráð peer
WireGuard hefur ekki setuhluta með upphafi og endi. Peer er opinber lykill með leyfðum vistföngum og handabandið sem verndar umferð þess er skipt út eftir þörfum án nokkurs innskráningar sem notandinn sér. Að líta á skort á nýlegri umferð sem útskráningu snýr líkaninu við.
Ef raunverulega kvörtunin er að tenging mistekst eftir að hafa verið aðgerðarlaus, er orsökin venjulega annars staðar: útrunnin NAT-kortlagning, tæki sem sofnaði eða eldveggur sem missti ástand. Prófaðu með því að senda umferð frá hinum endanum og hefja nýtt flæði, og berðu saman hvað breytist.
Settu frestinn þar sem heimildin býr
Ef aðgangi á að ljúka á ákveðnum tíma tilheyrir fresturinn því sem veitir aðganginn. Stýring sem gefur út peer-stillingar getur krafist endurnýjaðrar samþykkis áður en hún afhendir nýja, og það er eiginleiki stýringarinnar en ekki falin færibreyta á viðmótinu.
Fyrir peer sem stýrt er handvirkt verður fjarlægingin að ná til tveggja staða: keyrandi viðmótsins og vistaðrar stillingar. Að fjarlægja peer aðeins í keyrslu er afturkallað með endurræsingu eða samræmingarlykkju sem endurheimtir auðkennið sem þú hélt að væri útrunnið:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Prófaðu síðan mörkin en ekki merkið. Staðfestu að peer sé hafnað eftir frestinn, að endurnýjunarbrautin virki og að ástandið lifi endurhleðslu stjórnandans af. Aldur handabands er gagnleg rekstrarmerki og það er ekki aðgangsskrá.