WireGuard-ის ხელის ჩამორთმევის ასაკი სესიის ტაიმაუტი არ არის
გასაღების განახლების ტაიმერები გასაღებებს მართავს, არა მომხმარებლის წვდომას. latest-handshakes-ის კითხვა ერთი peer-ის პროტოკოლის მდგომარეობაზე გვიყვება, არა იმაზე, ამოიწურა თუ არა მისი ავტორიზაცია.
peer, რომელიც ტრაფიკის გატარებას წყვეტს, ამით თავის გასაღებს არ კარგავს, და ახალი ხელის ჩამორთმევა არ ამტკიცებს, რომ ვინმემ მისი გამოყენების ნებართვა განაახლა. WireGuard-ის ტაიმერები გასაღებებს ახალს, პაკეტებს კი მოძრაობაში ინახავს; ისინი არ ახდენენ მომხმარებლის მოდელირებას, რომელიც გარკვეული წუთების შემდეგ გადის სისტემიდან. აქ სამი კითხვა ერევა ერთმანეთს და თითოეულს განსხვავებული მტკიცებულება აქვს. ეს განსხვავება წყვეტს, რომელ იარაღს მივმართოთ.
სამი კითხვა, ერთი ბრძანების გამოტანა
ოპერატორები კითხულობენ, ხელმისაწვდომია თუ არა peer, ყოფილა თუ არა აქტიური და ჯერ კიდევ ნებადართულია თუ არა. პირველი პროტოკოლის მდგომარეობაა, მეორე ტრაფიკის მთვლელები, მესამე კი ავტორიზაცია. მხოლოდ პირველი ორის წაკითხვა შეიძლება WireGuard-ის ინტერფეისიდან და ისინი ხშირად გამოიყენება სამივეს საპასუხოდ.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
წაიკითხეთ სტრიქონები როგორც სამი ცალკე გამოძიება. პირველი ორი იაფია და პასუხის გაცემა ინტერფეისის საკუთარი მთვლელებით შეიძლება. მესამეს სჭირდება კონფიგურაცია, რომელიც წვდომას იძლევა, და ის სხვა ფაილში ან სხვა სისტემაში ცხოვრობს. არასწორი სტრიქონის არჩევა ნიშნავს, რომ პროტოკოლის ტაიმერს პოლიტიკის საქმის კეთებას ვთხოვთ.
რას მართავენ ტაიმერები სინამდვილეში
პროტოკოლი განსაზღვრავს მუდმივებს ხელის ჩამორთმევის გამეორების, სატრანსპორტო გასაღებების ბრუნვის და ძველი გასაღებით დაცული პაკეტების უარყოფისთვის. ისინი რეაგირებენ ტრაფიკზე და მდგომარეობაზე, არა კალენდარზე ან პოლიტიკაზე, რომელიც ამბობს, რომ ადამიანი 17:00-მდე შეიძლება იყოს დაკავშირებული. ამიტომ უმოქმედო peer შეიძლება საათობით უმოქმედოდ გამოიყურებოდეს და მაინც ავტორიზებული დარჩეს.
PersistentKeepalive ხშირად არარსებულ ტაიმაუტად აღიქმება. ის აგზავნის ავთენტიფიცირებულ ცარიელ პაკეტებს NAT-ის დაკავშირების ცოცხლად შესანარჩუნებლად, და ნულზე დაყენება აჩერებს ამ პაკეტებს, არაფრის გაუქმების გარეშე.
წაიკითხეთ მუშაობის მდგომარეობა თითოეული peer-ისთვის, კომენტარის ნაცვლად საჯარო გასაღების გამოყენებით:
wg show wg0 latest-handshakes
wg show wg0 transferახლახანს მომხდარი ხელის ჩამორთმევა ამბობს, რომ ერთი ხელის ჩამორთმევა დასრულდა. ის არ ამბობს, რომ გვირაბის უკან არსებული კერძო სერვისი ხელმისაწვდომია, და ძველი დროის ნიშანი შეიძლება ეკუთვნოდეს peer-ს, რომელიც უბრალოდ ჩუმია.
რატომ უმოქმედო peer არ არის გასული peer
WireGuard-ს არ აქვს სესიის ობიექტი დასაწყისით და დასასრულით. peer არის საჯარო გასაღები ნებადართული მისამართებით, და ხელის ჩამორთმევა, რომელიც მის ტრაფიკს იცავს, საჭიროებისამებრ იცვლება მომხმარებლისთვის ხილული შესვლის გარეშე. ბოლო ტრაფიკის არქონას გასვლად მიჩნევა მოდელს აბრუნებს.
თუ ნამდვილი საჩივარი ისაა, რომ კავშირი უმოქმედობის შემდეგ ვარდება, მიზეზი ჩვეულებრივ სხვაგანაა: ვადაგასული NAT-ის დაკავშირება, ჩაძინებული მოწყობილობა ან მდგომარეობის დაკარგვა firewall-ის მიერ. შეამოწმეთ მეორე მხრიდან ტრაფიკის გაგზავნით და ახალი ნაკადის დაწყებით, და შეადარეთ, რა იცვლება.
ვადა ჩადეთ იქ, სადაც ავტორიზაცია ცხოვრობს
თუ წვდომა კონკრეტულ დროს უნდა დასრულდეს, ვადა ეკუთვნის იმას, რაც წვდომას იძლევა. peer-ის კონფიგურაციების გამომცემ კონტროლერს შეიძლება სჭირდებოდეს განახლებული დადასტურება სანამ ახალს გასცემს, და ეს კონტროლერის თვისებაა და არა ინტერფეისის ფარული პარამეტრი.
ხელით მართული peer-ებისთვის წაშლა ორ ადგილს უნდა მიაღწიოს: მოქმედ ინტერფეისს და შენახულ კონფიგურაციას. peer-ის მხოლოდ მუშაობის დროს წაშლა უქმდება გადატვირთვით ან შეჯერების ციკლით, რომელიც აღადგენს იმ იდენტობას, რომელიც ვადაგასულად გეგონათ:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0შემდეგ შეამოწმეთ საზღვარი და არა იარლიყი. დაადასტურეთ, რომ peer ვადის შემდეგ უარყოფილია, რომ განახლების გზა მუშაობს და რომ მდგომარეობა გადაურჩება მენეჯერის გადატვირთვას. ხელის ჩამორთმევის ასაკი სასარგებლო ოპერაციული სიგნალია და ეს წვდომის ჩანაწერი არ არის.