D'Alter vum WireGuard-Handshake ass kee Sessiouns-Timeout
Schlëssel-Erneierangs-Timer regelen d'Schlësselen, net de Benotzerzougang. latest-handshakes liesen seet eppes iwwer de Protokollszoustand vun engem Peer, net ob seng Autorisatioun ofgelaf ass.
E Peer, dee kee Verkéier méi duerchléisst, verléiert doduerch säi Schlëssel net, an en neien Handshake beweist net, datt een d'Erlaabnes fir seng Notzung erneiert huet. D'Timer vu WireGuard halen d'Schlësselen frësch an d'Paketen a Beweegung; si modeléieren keen Benotzer, deen no enger bestëmmter Zuel vu Minutten ausloggt. Hei ginn dräi Froe verwiesselt, an all huet aner Beweiser. Dësen Ënnerscheed entscheet, wéi eng Instrument een hëlt.
Dräi Froe, eng Kommando-Ausgab
Bedreiwer froen, ob e Peer erreechbar ass, ob en aktiv war an ob en nach erlaabt ass. Dat éischt ass Protokollszoustand, dat zweet sinn d'Verkéierszieler an dat drëtt ass Autorisatioun. Nëmmen déi zwee éischt kënnen aus enger WireGuard-Schnittstell gelies ginn, a si ginn dacks benotzt fir all dräi ze beäntweren.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lies d'Reihen als dräi getrennte Enquêten. Déi zwee éischt si bëlleg a kënnen aus den eegenen Zieler vun der Schnittstell beäntwert ginn. Dat drëtt brauch d'Konfiguratioun, déi den Zougang gëtt, an déi wunnt an enger anerer Datei oder engem anere System. Déi falsch Rei wielen heescht, vun engem Protokolls-Timer ze froen, d'Aarbecht vun enger Politik ze maachen.
Wat d'Timer tatsächlech regelen
De Protokoll definéiert Konstanten fir de Widderhuelen vum Handshake, d'Rotatioun vun den Transport-Schlësselen an d'Oflehnung vu Paketen, déi duerch en ale Schlëssel geschützt sinn. Si reagéieren op Verkéier an op Zoustand, net op e Kalenner oder op eng Politik, déi seet, datt eng Persoun bis 17:00 ka verbonne sinn. Dofir kann en idle Peer stonnenlaang inaktiv ausgesinn a gläichzäiteg autoriséiert bleiwen.
PersistentKeepalive gëtt dacks fir den feelenden Timeout gehalen. Et schéckt authentifizéiert eidel Paketen, fir eng NAT-Zouuerdnung liewensdeg ze halen, an et op null setzen hält déi Paketen op, ouni eppes ze widderruffen.
Lies den Runtime-Zoustand pro Peer, mat dem ëffentleche Schlëssel amplaz vum Kommentar:
wg show wg0 latest-handshakes
wg show wg0 transferEn neien Handshake seet, datt en Handshake ofgeschloss gouf. Et seet net, datt de private Service hannert dem Tunnel erreechbar ass, an en ale Zäitstempel kann zu engem Peer gehéieren, deen einfach stëll ass.
Firwat en idle Peer keen ausgeloggte Peer ass
WireGuard huet keen Sessiounsobjekt mat engem Ufank an engem Enn. E Peer ass en ëffentleche Schlëssel mat erlaabten Adressen, an den Handshake, dee säi Verkéier schützt, gëtt no Bedarf ersat, ouni en dem Benotzer siichtbaren Login. D'Feele vun neie Verkéier als Ausloggen ze behandelen dréint d'Modell ëm.
Wann d'richteg Beschwéierd ass, datt eng Verbindung no Idle-Zäit feelt, läit d'Ursaach meeschtens soss anzwousch: eng ofgelaf NAT-Zouuerdnung, en Apparat dee geschlof huet oder eng Firewall déi den Zoustand verluer huet. Test duerch Verkéier vun der anerer Säit ze schécken an en neie Floss unzefänken, a vergläich, wat sech ännert.
Setz de Termin do, wou d'Autorisatioun wunnt
Wann den Zougang zu enger bestëmmter Zäit muss ophalen, gehéiert den Termin zu deem, wat den Zougang gëtt. E Controller, deen Peer-Konfiguratiounen ausgëtt, kann eng erneiert Genehmegung verlaangen, ier en eng nei ausgëtt, an dat ass eng Eegenschaft vum Controller an net en verstoppte Parameter op der Schnittstell.
Bei Peer, déi vu Hand geréiert ginn, muss d'Ewechhuelen zwou Plazen erreechen: d'Schnittstell déi leeft an d'gespäichert Konfiguratioun. D'Peer nëmmen zur Runtime ewechhuelen gëtt duerch en Neistart oder eng Ofstëmmungsschleif réckgängeg gemaach, déi d'Identitéit erëmhierstellt, déi Dir fir ofgelaf gehal huet:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Test duerno d'Grenz an net d'Etikett. Bestätegt, datt de Peer no dem Termin verworf gëtt, datt de Wee vun der Erneierung funktionéiert an datt den Zoustand en Nei-Luede vum Manager iwwerlieft. D'Alter vun engem Handshake ass en nëtzlecht operationellt Signal, an et ass kee Zougangsregistre.