WireGuard rankos paspaudimo amžius nėra sesijos laikas
Raktų atnaujinimo laikmačiai valdo raktus, o ne vartotojo prieigą. latest-handshakes skaitymas pasako apie vieno peer protokolo būseną, o ne ar jo autorizacija baigėsi.
Peer, kuris nustoja praleisti srautą, dėl to nepraranda savo rakto, o naujas rankos paspaudimas neįrodo, kad kas nors atnaujino leidimą jį naudoti. WireGuard laikmačiai palaiko raktus šviežius, o paketus judėjime; jie nemodeliuoja vartotojo, kuris atsijungia po nustatyto minučių skaičiaus. Čia painiojami trys klausimai, ir kiekvienas turi skirtingus įrodymus. Šis skirtumas nulemia, kokį įrankį pasirinksime.
Trys klausimai, viena komandos išvestis
Operatoriai klausia, ar peer pasiekiamas, ar jis buvo aktyvus ir ar jis vis dar leidžiamas. Pirmasis yra protokolo būsena, antrasis – srauto skaitikliai, trečiasis – autorizacija. Tik pirmuosius du galima perskaityti iš WireGuard sąsajos, ir jie įprastai naudojami atsakyti į visus tris.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Skaitykite eilutes kaip tris atskirus tyrimus. Pirmosios dvi pigios ir į jas galima atsakyti pačios sąsajos skaitikliais. Trečiajai reikia konfigūracijos, kuri suteikia prieigą, o ji gyvena kitame faile arba kitoje sistemoje. Netinkamos eilutės pasirinkimas reiškia prašymą protokolo laikmačiui atlikti politikos darbą.
Ką laikmačiai iš tikrųjų valdo
Protokolas apibrėžia konstantas rankos paspaudimo kartojimui, transporto raktų rotacijai ir paketų, apsaugotų senu raktu, atmetimui. Jie reaguoja į srautą ir į būseną, o ne į kalendorių ar politiką, kuri sako, kad žmogus gali būti prisijungęs iki 17:00. Štai kodėl neveiklus peer gali valandų valandas atrodyti neaktyvus ir vis tiek būti autorizuotas.
PersistentKeepalive dažnai palaikomas trūkstamu laiko limitu. Jis siunčia autentifikuotus tuščius paketus, kad palaikytų NAT atvaizdavimą gyvą, o nustačius jį į nulį tie paketai sustoja nieko neatšaukiant.
Skaitykite vykdymo būseną kiekvienam peer, naudodami viešąjį raktą, o ne komentarą:
wg show wg0 latest-handshakes
wg show wg0 transferNaujas rankos paspaudimas sako, kad vienas rankos paspaudimas baigtas. Jis nesako, kad privati tarnyba už tunelio yra pasiekiama, o sena laiko žyma gali priklausyti peer, kuris tiesiog tyli.
Kodėl neveiklus peer nėra atsijungęs peer
WireGuard neturi sesijos objekto su pradžia ir pabaiga. Peer yra viešasis raktas su leidžiamais adresais, o rankos paspaudimas, saugantis jo srautą, pakeičiamas pagal poreikį be jokio vartotojui matomo prisijungimo. Vertinti neseno srauto nebuvimą kaip atsijungimą reiškia apversti modelį.
Jei tikrasis nusiskundimas yra tai, kad ryšys nepavyksta po neveiklumo, priežastis paprastai būna kitur: pasenęs NAT atvaizdavimas, užmigęs įrenginys ar ugniasienė, kuri prarado būseną. Tikrinkite siųsdami srautą iš kitos pusės ir pradėdami naują eigą, ir palyginkite, kas keičiasi.
Padėkite terminą ten, kur gyvena autorizacija
Jei prieiga turi baigtis konkrečiu laiku, terminas priklauso tam, kas suteikia prieigą. Valdiklis, išduodantis peer konfigūracijas, gali reikalauti atnaujinto patvirtinimo prieš išduodamas naują, ir tai yra valdiklio savybė, o ne paslėptas sąsajos parametras.
Rankiniu būdu valdomiems peer, pašalinimas turi pasiekti dvi vietas: veikiančią sąsają ir išsaugotą konfigūraciją. Peer pašalinimas tik vykdymo metu yra atšaukiamas perkrovimo ar suderinimo ciklo, kuris atkuria tapatybę, kurią manėte pasibaigus:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Tada tikrinkite ribą, o ne etiketę. Patvirtinkite, kad peer atmetamas po termino, kad atnaujinimo kelias veikia ir kad būsena išlieka po valdytojo perkrovimo. Rankos paspaudimo amžius yra naudingas operacinis signalas, ir tai nėra prieigos įrašas.