Староста на ракувањето на WireGuard не е тајмаут на сесија
Тајмерите за обнова на клучевите управуваат со клучевите, а не со пристапот на корисниците. Читањето latest-handshakes говори за протоколарната состојба на еден peer, а не за тоа дали неговото овластување истекло.
Peer што престанал да пропушта сообраќај не го губи од тоа својот клуч, а новото ракување не докажува дека некој ја обновил дозволата за негово користење. Тајмерите на WireGuard ги одржуваат клучевите свежи и пакетите во движење; тие не моделираат корисник што се одјавува по одреден број минути. Овде се мешаат три прашања и секое има различен доказ. Оваа разлика одлучува кое средство да го земеме.
Три прашања, еден излез од наредба
Операторите прашуваат дали peer е достапен, дали бил активен и дали сѐ уште е дозволен. Првото е состојба на протоколот, второто се бројачи на сообраќај, а третото е овластување. Само првите две можат да се прочитаат од интерфејс на WireGuard и тие рутински се користат за одговор на сите три.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Читајте ги редовите како три одделни истраги. Првите две се евтини и на нив може да се одговори со сопствените бројачи на интерфејсот. Третото бара конфигурација што дава пристап, а таа живее во друга датотека или друг систем. Изборот на погрешен ред значи да побараме од протоколен тајмер да ја заврши работата на политика.
Со што всушност управуваат тајмерите
Протоколот дефинира константи за повторен обид за ракување, ротација на транспортни клучеви и отфрлање на пакети заштитени со стар клуч. Тие реагираат на сообраќај и на состојба, а не на календар или политика што вели дека личност може да биде поврзана до 17:00. Затоа peer што мирува може со часови да изгледа неактивен, а сѐ уште да биде овластен.
PersistentKeepalive често се заменува со тајмаутот што недостасува. Испраќа автентификувани празни пакети за да одржи NAT мапирање живо, а поставувањето на нула ги запира тие пакети без да отповика нешто.
Читајте ја состојбата при извршување за секој peer, користејќи го јавниот клуч наместо коментарот:
wg show wg0 latest-handshakes
wg show wg0 transferНеодамнешното ракување вели дека едно ракување е завршено. Тоа не вели дека приватната услуга зад тунелот е достапна, а старата временска ознака може да припаѓа на peer што едноставно молчи.
Зошто peer што мирува не е одјавен peer
WireGuard нема објект на сесија со почеток и крај. Peer е јавен клуч со дозволени адреси, а ракувањето што го штити неговиот сообраќај се заменува по потреба без никаква најава видлива за корисникот. Да се третира отсуството на неодамнешен сообраќај како одјава значи да се преврти моделот.
Ако вистинската жалба е дека врската не успева по мирување, причината обично е на друго место: истечена NAT мапа, уред што заспал или огнен ѕид што ја загубил состојбата. Тестирајте со испраќање сообраќај од другата страна и со започнување нов тек, па споредете што се менува.
Ставете го рокот таму каде што живее овластувањето
Ако пристапот мора да заврши во определено време, рокот и припаѓа на она што го дава пристапот. Контролер што издава конфигурации за peer може да бара обновено одобрување пред да издаде нова, и тоа е својство на контролерот, а не скриен параметар на интерфејсот.
За peer-ови што се управуваат рачно, отстранувањето мора да стигне на две места: интерфејсот што работи и зачуваната конфигурација. Отстранувањето на peer само за време на работа го поништува повторното стартување или јамката за усогласување, која го враќа идентитетот што сте мислеле дека истекол:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Потоа тестирајте ја границата, а не етикетата. Потврдете дека peer се одбива по рокот, дека патеката за обнова работи и дека состојбата го преживува повторното вчитување на менаџерот. Староста на ракувањето е корисен оперативен сигнал и не е запис за пристап.