Зошто избришан WireGuard peer се враќа по рестартирање

Идентитетот исчезнува од активниот интерфејс и промената изгледа завршена. Откако услугата ќе се рестартира, тој се враќа, што се чита како WireGuard да ја игнорира наредбата. Она што навистина се случи е поедноставно: конфигурацијата при подигање сè уште го содржи peer-от.

Две состојби го држат тој список. Отповикувањето е вистинско само кога двете ќе го загубат.

Што всушност менува wg set

Наредбата wg set wg0 peer <public-key> remove го уредува активниот интерфејс во јадрото. Не запишува ништо на дискот. Конфигурациската датотека, профилот на NetworkManager или зачуваната состојба на рутерот остануваат недопрени. Тоа е дизајнот, а не дефект.

Тоа разделување е намерно, бидејќи алатката нема поим чиј е интерфејсот. Наредбата во време на извршување мора да биде безбедна кон интерфејс управуван од нешто друго. Не може да претпостави каде живее трајното копие. Последицата е лесно да се каже: отстранувањето во време на извршување е привремено по својата конструкција.

Затоа peer-от се враќа при следното рестартирање и се враќа со своите првични дозволени префикси. Сè што се рутира преку него исто така се создава одново. Така наводно отповикан идентитет може по повторно вчитување да ги достигне своите поранешни одредишта. Ништо во излезот во време на извршување не предупреди никого.

Најдете го запишувачот пред да уредите датотека

Интерфејсот има сопственик. Тоа може да биде wg-quick што чита датотека, NetworkManager што применува профил, сопствената конфигурација на интерфејсот на рутерот или влезна точка на контејнер што го создава интерфејсот одново при стартување. Уредување датотека што сопственикот никогаш не ја чита не дава никаква трајна промена.

Започнете од активниот интерфејс и идентификувајте ги јавните клучеви, бидејќи имињата и адресите се послаби идентификатори од самиот клуч. Потоа споредете го тој список со зачуваната конфигурација што сопственикот навистина ја чита.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Жив интерфејс чиј список на peer и содржина на датотеката не се совпаѓаат е целата дијагноза. Зачуваната конфигурација победува при подигање, а состојбата во време на извршување губи. Споредете ги пред да промените која било од двете.

Стапицата SaveConfig

wg-quick додава набор што ги фаќа луѓето што уредуваат датотеки рачно. Кога SaveConfig е вклучен, неговото документирано однесување при исклучување ја запишува тековната состојба во време на извршување врз конфигурациската датотека.

Тоа ја превртува вообичаената насока на постојаноста. Отстранувате peer од датотеката, потоа услугата запира. Активната состојба се запишува врз вашата измена и го враќа peer-от што штотуку го избришавте.

Затоа редоследот е важен: уредете ја датотеката додека интерфејсот е исклучен, или оневозможете го SaveConfig пред измената, потоа повторно подигнете го интерфејсот и потврдете што е вчитано. Рачна измена додека интерфејсот е вклучен е трка со записот при исклучување.

Променете ги двете состојби, потоа вчитајте повторно

Во време на извршување, отстранете го peer-от по клуч. Во зачуваната конфигурација, отстранете го истиот блок преку поддржаната операција на сопственикот, наместо со уредување околу него.

Потоа прегледајте што носеше peer-от. Рутирана мрежа што му припаѓаше на отповиканиот идентитет треба свесно да се прераспредели или отстрани, а не тивко да ја наследи peer-от што ќе се уредува следен.

Држете отворен пат за враќање ако портата го носи и вашиот административен пристап. Рестартирање што го отстранува погрешниот peer е прекин што самите сте си го предизвикале. Истото важи за рестартирање што ја отстранува погрешната рута.

Како изгледа успешен тест

Вчитајте ја услугата повторно или рестартирајте ја, потоа прочитајте го списокот на peer повторно. Стариот клуч мора да отсуствува, а peer-ите што сакавте да ги задржите мора да бидат сè уште присутни и да работат.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Каде што ситуацијата дозволува, потврдете дека стариот идентитет повеќе не ги достигнува своите поранешни ресурси. Среден список на интерфејсот пред рестартирање е половина тест. Другата половина е што идентитетот сè уште може да прави потоа.

Ако некој менаџер постојано го враќа peer-от, престанете да го повторувате отстранувањето на ниско ниво. Поправете го пописот што го чита тој запишувач, бидејќи дотогаш секое рестартирање е уште една покана за идентитетот повторно да се појави.