WireGuard қол алысу жасы — сессия тайм-ауты емес
Кілттерді жаңарту таймерлері кілттерді басқарады, пайдаланушы қатынасын емес. latest-handshakes оқу бір peer-дің хаттама күйін білдіреді, оның рұқсатының мерзімі біткенін емес.
Трафикті өткізуді тоқтатқан peer осыдан кілтін жоғалтпайды, ал жаңа қол алысу біреудің оны пайдалану рұқсатын жаңартқанын дәлелдемейді. WireGuard таймерлері кілттерді жаңа, пакеттерді қозғалыста ұстайды; олар белгілі минут санынан кейін шығатын пайдаланушыны модельдемейді. Мұнда үш сұрақ шатасады және әрқайсысының дәлелі бөлек. Бұл айырма қай құралға жүгінетініңізді шешеді.
Үш сұрақ, бір команда шығысы
Операторлар peer қолжетімді ме, ол белсенді болды ма және әлі рұқсат етілген бе деп сұрайды. Біріншісі — хаттама күйі, екіншісі — трафик санауыштары, үшіншісі — рұқсат. Тек алғашқы екеуін ғана WireGuard интерфейсінен оқуға болады және олар үшеуіне де жауап беру үшін тұрақты қолданылады.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Жолдарды үш бөлек тергеу ретінде оқыңыз. Алғашқы екеуі арзан және интерфейстің өз санауыштарымен жауап беріледі. Үшіншісі қатынас беретін конфигурацияны қажет етеді, ол басқа файлда немесе басқа жүйеде тұрады. Қате жолды таңдау — хаттама таймерінен саясаттың жұмысын сұрау.
Таймерлер шын мәнінде нені басқарады
Хаттама қол алысуды қайталауға, транспорттық кілттерді айналдыруға және ескі кілтпен қорғалған пакеттерді қабылдамауға арналған тұрақтыларды анықтайды. Олар трафикке және күйге әрекет етеді, күнтізбеге немесе адам 17:00-ге дейін қосыла алады дейтін саясатқа емес. Сондықтан бос тұрған peer сағаттар бойы белсенді емес көрініп, бәрібір рұқсатты болып қалуы мүмкін.
PersistentKeepalive жиі жетіспейтін тайм-аут деп қателеседі. Ол NAT сәйкестендіруін тірі ұстау үшін аутентификацияланған бос пакеттер жібереді, ал нөлге қою ештеңені қайтарып алмай-ақ сол пакеттерді тоқтатады.
Әр peer бойынша орындалу күйін, түсініктеме орнына ашық кілтті пайдаланып оқыңыз:
wg show wg0 latest-handshakes
wg show wg0 transferЖақындағы қол алысу бір қол алысудың аяқталғанын білдіреді. Ол туннель артындағы жеке қызметтің қолжетімді екенін білдірмейді, ал ескі уақыт белгісі жай ғана үнсіз peer-ге тиесілі болуы мүмкін.
Неге бос тұрған peer шыққан peer емес
WireGuard-та басы мен соңы бар сессия нысаны жоқ. Peer — рұқсат етілген мекенжайлары бар ашық кілт, ал оның трафигін қорғайтын қол алысу пайдаланушыға көрінбейтін кірусіз қажет болғанда ауыстырылады. Жақын трафиктің жоқтығын шығу деп санау модельді төңкеріп тастайды.
Егер нақты шағым байланыстың бос тұрғаннан кейін сәтсіз болуы болса, себебі әдетте басқа жерде: мерзімі өткен NAT сәйкестендіруі, ұйықтап қалған құрылғы немесе күйін жоғалтқан брандмауэр. Қарсы жақтан трафик жіберіп, жаңа ағын бастап сынаңыз және не өзгергенін салыстырыңыз.
Мерзімді рұқсат тұрған жерге қойыңыз
Егер қатынас белгілі бір уақытта бітуі керек болса, мерзім қатынас беретін нәрсеге тиесілі. Peer конфигурацияларын тарататын контроллер жаңасын бермес бұрын жаңартылған мақұлдауды талап етуі мүмкін, және бұл интерфейстегі жасырын параметр емес, контроллердің қасиеті.
Қолмен басқарылатын peer-лер үшін жою екі жерге жетуі керек: жұмыс істеп тұрған интерфейс және сақталған конфигурация. Peer-ді тек орындалу кезінде жою — мерзімі бітті деп ойлаған жеке басын қалпына келтіретін қайта іске қосу немесе келісім циклімен жойылады:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Содан кейін белгіні емес, шекараны сынаңыз. Peer мерзімнен кейін қабылданбайтынын, жаңарту жолының жұмыс істейтінін және күйдің менеджерді қайта жүктегеннен кейін де сақталатынын растаңыз. Қол алысу жасы — пайдалы операциялық сигнал, ол қатынас жазбасы емес.