Firwat en geläschte WireGuard-Peer no engem Neistart erëmzkënnt

D'Identitéit verschwënnt aus dem lafenden Interface an d'Ännerung gesäit fäerdeg aus. Nodeems den Service nei gestart ass, ass se erëm do, wat liest wéi wann WireGuard den Uerder ignoréiert. Wat tatsächlech geschitt ass, ass méi einfach: d'Startkonfiguratioun enthält de Peer nach ëmmer.

Zwee Zustänn halen déi Lëscht. D'Revocatioun ass nëmme richteg, wann béid se verléieren.

Wat wg set tatsächlech ännernt

Den Uerder wg set wg0 peer <public-key> remove ännert de lafenden Interface am Kernel. En schreift näischt op d'Plack. D'Konfiguratiounsdatei, de NetworkManager-Profil oder den ofgespaarte Zustand vum Router bleiwen onberéiert. Dat ass den Design, keen Defekt.

Dës Trennung ass bewosst, well d'Instrument guer net weess, wiem den Interface gehéiert. En Uerder zur Lafzäit muss sécher sinn géintiwwer engem Interface, dee vun eppes anescht geréiert gëtt. En kann net roden, wou d'dauerhaft Kopie läit. D'Konsequenz ass einfach ze soen: eng Entfernung wärend der Lafzäit ass vun der Konstruktioun hir temporär.

Also kommt de Peer beim nächsten Neistart erëm, a kënnt mat senge ursprénglechen erlaabten Prefixen erëm. Alles, wat duerch en gerout gëtt, gëtt och nei erstallt. Eng angeeblech revoquéiert Identitéit kann duerfir no engem Neielueden hir fréier Destinatiounen erreechen. Näischt an der Ausgab zur Lafzäit huet iergendeen gewarnt.

Fannt de Schreiwer, ier Dir eng Datei ännert

Den Interface huet en Eegentum. Et kann wg-quick sinn, deen eng Datei liest, NetworkManager, deen e Profil applizéiert, d'Interface-Konfiguratioun vum Router selwer, oder en Container-Entréespunkt, deen den Interface beim Start nei erstallt. Eng Datei änneren, déi den Eegentum ni liest, bréngt iwwerhaapt keng dauerhaft Ännerung.

Fänkt mam lafenden Interface un a bestëmmt déi ëffentlech Schlësselen, well Nimm an Adressen si méi schwaach Identifikatoren wéi de Schlëssel selwer. Vergläicht dann déi Lëscht mat der gespäicherter Konfiguratioun, déi den Eegentum wierklech liest.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

En liewegen Interface, deem seng Peer-Lëscht an de Dateiinhalt net iwwerenee stëmmen, ass déi ganz Diagnos. Déi gespäichert Konfiguratioun gewënnt beim Boot, an den Zoustand zur Lafzäit verléiert. Vergläicht se, ier Dir eng vun deenen zwou ännert.

D'Falle SaveConfig

wg-quick bäisetzt eng Fal, déi Leit fänkt, déi Dateien per Hand änneren. Wann SaveConfig aktiv ass, schreift säin dokumentéierte Verhalen beim Ausschalten den aktuellen Zoustand zur Lafzäit iwwer d'Konfiguratiounsdatei.

Dat dréit déi gewéinlech Richtung vun der Persistenz ëm. Dir hëlt e Peer aus der Datei, duerno stoppt den Service. Den lafenden Zoustand gëtt iwwer Är Ännerung geschriwwen an de Peer, deen Dir just geläscht hutt, gëtt restauréiert.

Dofir ass d'Reiefolleg wichteg: ännert d'Datei, während den Interface ënnen ass, oder deaktivéiert SaveConfig virun der Ännerung, hieft den Interface duerno erëm an a bestätegt, wat geluede gouf. Eng Ännerung per Hand, während den Interface uewen ass, ass e Course géint d'Schreiwen beim Ausschalten.

Ännert béid Zustänn, luet dann nei

Zur Lafzäit entfernt de Peer iwwer de Schlëssel. An der gespäicherter Konfiguratioun entfernt dee selwechte Block iwwer déi ënnerstëtzt Operatioun vum Eegentum, amplaz ronderëm ze editéieren.

Kuckt duerno, wat de Peer gedroen huet. En geroutte Netzwierk, dat zu der revoquéierter Identitéit gehéiert huet, soll bewosst nei zougewise oder ewechgeholl ginn, net onopfälleg vun deem Peer geierft ginn, deen als nächstes geännert gëtt.

Haalt e Recuperatiounswee op, wann de Gateway och Ären administrativen Zougang dréit. En Neistart, deen de falsche Peer ewech hëlt, ass eng Stéierung, déi Dir Iech selwer zougefüügt hutt. Datselwecht gëllt fir en Neistart, deen déi falsch Route ewech hëlt.

Wéi en Test ass, dee bestanen huet

Luet den Service nei oder start en nei, a liest dann d'Peer-Lëscht erëm. Deen ale Schlëssel muss fehlen, an d'Peers, déi Dir wëllt behalen, mussen nach do sinn a funktionéieren.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Wou et d'Situatioun erlaabt, bestätegt, datt déi al Identitéit hir fréier Ressourcen net méi erreecht. Eng propper Interface-Lëscht virun engem Neistart ass d'Halschent vun engem Test. Déi aner Halschent ass, wat d'Identitéit duerno nach ka maachen.

Wann en Manager de Peer ëmmer erëm restauréiert, hält op, déi niddereg-Niveau Entfernung ze widderhuelen. Reparéiert d'Inventar, deen dee Schreiwer liest, well bis dohi ass all Neistart eng aner Invitatioun fir d'Identitéit, erëm opzedauchen.