Umur jabat tangan WireGuard bukan tamat masa sesi

Rakan yang berhenti menyalurkan trafik tidak dengan itu kehilangan kuncinya, dan jabat tangan baharu tidak membuktikan sesiapa telah memperbaharui kebenaran untuk menggunakannya. Pemasa WireGuard memastikan kunci segar dan paket terus mengalir; ia tidak memodelkan pengguna yang log keluar selepas bilangan minit yang ditetapkan. Tiga soalan bercampur di sini, dan setiap satu mempunyai bukti berbeza. Perbezaan inilah yang menentukan alat mana yang digunakan.

Tiga soalan, satu keluaran arahan

Pengendali bertanya sama ada rakan boleh dicapai, sama ada ia pernah aktif, dan sama ada ia masih dibenarkan. Yang pertama ialah keadaan protokol, yang kedua pengira trafik dan yang ketiga kebenaran. Hanya dua yang pertama boleh dibaca daripada antara muka WireGuard, dan kedua-duanya lazim digunakan untuk menjawab ketiga-tiganya.

Bacalah baris-baris itu sebagai tiga siasatan berasingan. Dua yang pertama murah dan boleh dijawab dengan pengira antara muka itu sendiri. Yang ketiga memerlukan konfigurasi yang memberikan akses, dan ia tinggal dalam fail lain atau sistem lain. Memilih baris yang salah bermakna meminta pemasa protokol melakukan kerja dasar.

Apa yang sebenarnya dikawal oleh pemasa

Protokol mentakrifkan pemalar untuk cubaan semula jabat tangan, putaran kunci pengangkutan dan penolakan paket yang dilindungi kunci lama. Semuanya bertindak balas terhadap trafik dan keadaan, bukan kalendar atau dasar yang menyatakan seseorang boleh bersambung sehingga 17:00. Itulah sebabnya rakan yang melahu boleh kelihatan tidak aktif berjam-jam namun masih dibenarkan.

PersistentKeepalive sering disalah anggap sebagai tamat masa yang hilang. Ia menghantar paket kosong yang disahkan untuk mengekalkan pemetaan NAT hidup, dan menetapkannya kepada sifar menghentikan paket itu tanpa membatalkan apa-apa.

Bacalah keadaan masa jalan bagi setiap rakan, dengan menggunakan kunci awam dan bukan komen:

wg show wg0 latest-handshakes
wg show wg0 transfer

Jabat tangan terkini mengatakan satu jabat tangan telah selesai. Ia tidak mengatakan bahawa perkhidmatan peribadi di belakang terowong boleh dicapai, dan cap masa lama mungkin milik rakan yang hanya berdiam.

Mengapa rakan yang melahu bukan rakan yang sudah log keluar

WireGuard tidak mempunyai objek sesi dengan permulaan dan pengakhiran. Rakan ialah kunci awam dengan alamat yang dibenarkan, dan jabat tangan yang melindungi trafiknya diganti apabila perlu tanpa sebarang log masuk yang kelihatan kepada pengguna. Menganggap ketiadaan trafik terkini sebagai log keluar membalikkan model itu.

Jika aduan sebenar ialah sambungan gagal selepas melahu, puncanya biasanya di tempat lain: pemetaan NAT yang luput, peranti yang tidur, atau tembok api yang menggugurkan keadaan. Uji dengan menghantar trafik dari sebelah sana dan memulakan aliran baharu, kemudian bandingkan apa yang berubah.

Letakkan tarikh akhir di tempat kebenaran berada

Jika akses mesti tamat pada masa tertentu, tarikh akhir itu milik apa-apa yang memberikan akses. Pengawal yang mengeluarkan konfigurasi rakan boleh menuntut kelulusan yang diperbaharui sebelum menyerahkan yang baharu, dan itu sifat pengawal dan bukan parameter tersembunyi pada antara muka.

Bagi rakan yang diurus secara manual, penghapusan mesti sampai ke dua tempat: antara muka yang berjalan dan konfigurasi yang disimpan. Menghapuskan rakan hanya semasa masa jalan akan dibatalkan oleh permulaan semula atau gelung penyesuaian, yang memulihkan identiti yang anda sangka sudah luput:

sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0

Kemudian ujilah sempadan dan bukan label. Sahkan rakan ditolak selepas tarikh akhir, sahkan laluan pembaharuan berfungsi, dan sahkan keadaan bertahan selepas pengurus dimuat semula. Umur jabat tangan ialah isyarat operasi yang berguna, dan ia bukan rekod akses.