WireGuard-ын гар барилтын нас нь сессийн тайм-аут биш
Түлхүүр шинэчлэх таймерууд түлхүүрийг удирддаг, хэрэглэгчийн хандалтыг биш. latest-handshakes унших нь нэг peer-ийн протоколын төлөвийг хэлнэ, түүний зөвшөөрөл дууссан эсэхийг биш.
Хөдөлгөөн дамжуулахаа болиулсан peer үүгээр түлхүүрээ алдахгүй бөгөөд шинэ гар барилт нь хэн нэгэн түүнийг ашиглах зөвшөөрлийг шинэчилсэн гэдгийг батлахгүй. WireGuard-ын таймерууд түлхүүрийг шинэ, пакетуудыг хөдөлгөөнд байлгадаг; тэд тодорхой тооны минутын дараа системээс гарах хэрэглэгчийг загварчлахгүй. Энд гурван асуулт холилдож, тус бүр өөр нотолгоотой. Энэ ялгаа нь ямар хэрэгсэлд хандахаа шийднэ.
Гурван асуулт, нэг командын гаралт
Операторууд peer хүртээмжтэй эсэх, идэвхтэй байсан эсэх, одоо ч зөвшөөрөгдсөн эсэхийг асуудаг. Эхнийх нь протоколын төлөв, хоёр дахь нь хөдөлгөөний тоолуур, гурав дахь нь зөвшөөрөл юм. Зөвхөн эхний хоёрыг WireGuard интерфэйсээс уншиж болох бөгөөд тэдгээрийг гурвуулаад хариулахад байнга ашигладаг.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Мөрүүдийг гурван тусдаа мөрдөн шалгалт гэж уншаарай. Эхний хоёр нь хямд бөгөөд интерфэйсийн өөрийн тоолуураар хариулж болно. Гурав дахь нь хандалт олгодог тохиргоог шаарддаг бөгөөд энэ нь өөр файл эсвэл өөр системд амьдардаг. Буруу мөрийг сонгох нь протоколын таймераас бодлогын ажлыг хийхийг гуйх явдал юм.
Таймерууд үнэхээр юуг удирддаг вэ
Протокол нь гар барилтыг давтах, тээврийн түлхүүрийг эргүүлэх, хуучин түлхүүрээр хамгаалагдсан пакетыг татгалзах тогтмолуудыг тодорхойлдог. Тэдгээр нь хөдөлгөөн болон төлөвт хариу үйлдэл үзүүлдэг, хуанли эсвэл хүн 17:00 хүртэл холбогдож болно гэсэн бодлогод биш. Тиймээс сул зогссон peer цагаар идэвхгүй харагдаж болох бөгөөд зөвшөөрөлтэй хэвээр байж болно.
PersistentKeepalive дутуу тайм-аут гэж байнга андуурдаг. Энэ нь NAT-ын зураглалыг амьд байлгахын тулд баталгаажсан хоосон пакет илгээдэг бөгөөд тэгийг тэг болгох нь юуг ч цуцалгүйгээр тэдгээр пакетыг зогсоодог.
Ажиллах үеийн төлөвийг peer тус бүрээр, тайлбарын оронд нийтийн түлхүүр ашиглан уншаарай:
wg show wg0 latest-handshakes
wg show wg0 transferСаяхны гар барилт нь нэг гар барилт дууссан гэж хэлдэг. Энэ нь туннелийн ард байгаа хувийн үйлчилгээ хүртээмжтэй гэж хэлдэггүй, хуучин цагийн тэмдэглэгээ нь зүгээр л чимээгүй peer-д хамаарах байж болно.
Яагаад сул зогссон peer нь гарсан peer биш вэ
WireGuard-д эхлэл ба төгсгөл бүхий сессийн объект байхгүй. Peer нь зөвшөөрөгдсөн хаягтай нийтийн түлхүүр бөгөөд түүний хөдөлгөөнийг хамгаалдаг гар барилт нь хэрэглэгчид харагдах нэвтрэлтгүйгээр шаардлагатай үед солигддог. Саяхны хөдөлгөөн байхгүйг гаралт гэж үзэх нь загварыг эргүүлэх юм.
Хэрэв жинхэнэ гомдол нь холболт сул зогссоны дараа бүтэлгүйтдэг явдал бол шалтгаан нь ихэвчлэн өөр газар: хугацаа нь дууссан NAT зураглал, унтсан төхөөрөмж, эсвэл төлөвөө алдсан галт хана. Нөгөө талаас хөдөлгөөн илгээж, шинэ урсгал эхлүүлж туршаад, юу өөрчлөгдөж байгааг харьцуулаарай.
Хугацааг зөвшөөрөл амьдардаг газарт тавь
Хэрэв хандалт тодорхой цагт дуусах ёстой бол хугацаа нь хандалт олгодог зүйлд хамаарна. Peer тохиргоо олгодог контроллер шинийг өгөхийн өмнө шинэчилсэн зөвшөөрөл шаардаж болох бөгөөд энэ нь интерфэйс дээрх далд параметр биш, контроллерын шинж чанар юм.
Гараар удирддаг peer-ийн хувьд устгах нь хоёр газарт хүрэх ёстой: ажиллаж байгаа интерфэйс ба хадгалсан тохиргоо. Peer-ийг зөвхөн ажиллах үед устгах нь хугацаа нь дууссан гэж бодсон таних тэмдгийг сэргээдэг дахин эхлүүлэх эсвэл зохицуулалтын давталтаар хүчингүй болдог:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Дараа нь шошгыг биш, хязгаарыг туршаарай. Peer хугацааны дараа татгалзагдаж байгаа, шинэчлэх зам ажиллаж байгаа, төлөв нь менежерийг дахин ачаалсны дараа ч хадгалагдаж байгааг баталгаажуулаарай. Гар барилтын нас нь ашигтай үйл ажиллагааны дохио бөгөөд энэ нь хандалтын бүртгэл биш юм.