WireGuard rokas spiediena vecums nav sesijas taimauts
Atslēgu atjaunošanas taimeri pārvalda atslēgas, nevis lietotāja piekļuvi. latest-handshakes lasīšana stāsta par viena peer protokola stāvokli, nevis par to, vai tā autorizācija ir beigusies.
Peer, kas pārstāj laist cauri datplūsmu, tādēļ nezaudē savu atslēgu, un jauns rokas spiediens nepierāda, ka kāds ir atjaunojis atļauju to lietot. WireGuard taimeri uztur atslēgas svaigas un paketes kustībā; tie nemodelē lietotāju, kas izrakstās pēc noteikta minūšu skaita. Šeit tiek sajaukti trīs jautājumi, un katram ir citi pierādījumi. Šī atšķirība nosaka, kuru rīku izmantot.
Trīs jautājumi, viena komandas izvade
Operatoris jautā, vai peer ir sasniedzams, vai tas ir bijis aktīvs un vai tas joprojām ir atļauts. Pirmais ir protokola stāvoklis, otrais ir datplūsmas skaitītāji, trešais ir autorizācija. Tikai pirmos divus var nolasīt no WireGuard saskarnes, un tos parasti izmanto, lai atbildētu uz visiem trim.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Lasiet rindas kā trīs atsevišķas izmeklēšanas. Pirmās divas ir lētas, un uz tām var atbildēt ar pašas saskarnes skaitītājiem. Trešajai nepieciešama konfigurācija, kas piešķir piekļuvi, un tā dzīvo citā failā vai citā sistēmā. Nepareizas rindas izvēle nozīmē lūgt protokola taimerim veikt politikas darbu.
Ko taimeri patiešām pārvalda
Protokols definē konstantes rokas spiediena atkārtojumam, transporta atslēgu rotācijai un vecas atslēgas aizsargātu pakešu noraidīšanai. Tās reaģē uz datplūsmu un stāvokli, nevis uz kalendāru vai politiku, kas saka, ka cilvēks var būt savienots līdz 17:00. Tāpēc dīkstāvē esošs peer var stundām izskatīties neaktīvs un tomēr būt autorizēts.
PersistentKeepalive bieži tiek noturēts par trūkstošo taimautu. Tas sūta autentificētas tukšas paketes, lai uzturētu NAT kartējumu dzīvu, un iestatīšana uz nulli pārtrauc šīs paketes, neko neatceļot.
Lasiet izpildes stāvokli katram peer, izmantojot publisko atslēgu, nevis komentāru:
wg show wg0 latest-handshakes
wg show wg0 transferNesen rokas spiediens saka, ka viens rokas spiediens ir pabeigts. Tas nepasaka, ka privātais pakalpojums aiz tuneļa ir sasniedzams, un vecs laika zīmogs var piederēt peer, kas vienkārši klusē.
Kāpēc dīkstāvē esošs peer nav izrakstījies peer
WireGuard nav sesijas objekta ar sākumu un beigām. Peer ir publiskā atslēga ar atļautām adresēm, un rokas spiediens, kas aizsargā tā datplūsmu, tiek nomainīts pēc vajadzības bez lietotājam redzamas pieteikšanās. Nesen datplūsmas neesamību uzskatīt par izrakstīšanos nozīmē apgriezt modeli.
Ja īstā sūdzība ir tā, ka savienojums neizdodas pēc dīkstāves, cēlonis parasti ir citur: novecojis NAT kartējums, ierīce, kas aizmigusi, vai ugunsmūris, kas pazaudējis stāvokli. Pārbaudiet, sūtot datplūsmu no otras puses un sākot jaunu plūsmu, un salīdziniet, kas mainās.
Novietojiet termiņu tur, kur dzīvo autorizācija
Ja piekļuvei jābeidzas noteiktā laikā, termiņš pieder tam, kas piešķir piekļuvi. Kontrolieris, kas izdod peer konfigurācijas, var pieprasīt atjaunotu apstiprinājumu pirms jaunas izdošanas, un tā ir kontroliera īpašība, nevis paslēpts saskarnes parametrs.
Ar rokām pārvaldītiem peer noņemšanai jāsasniedz divas vietas: darbojošā saskarne un saglabātā konfigurācija. Peer noņemšana tikai izpildes laikā tiek atcelta ar restartu vai saskaņošanas cilpu, kas atjauno identitāti, kuru uzskatījāt par beigušos:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Pēc tam pārbaudiet robežu, nevis etiķeti. Apstipriniet, ka peer tiek noraidīts pēc termiņa, ka atjaunošanas ceļš darbojas un ka stāvoklis pārdzīvo pārvaldnieka pārlades. Rokas spiediena vecums ir noderīgs operatīvs signāls, un tas nav piekļuves ieraksts.