Għaliex peer WireGuard imħassar jerġa' lura wara restart

L-identità tispiċċa mill-interface li tkun qed taħdem u l-bidla tidher magħmula. Wara li s-servizz jerġa' jibda, hija terġa' lura, li jinqara bħallikieku WireGuard qed jinjora l-kmand. Dak li fil-fatt ġara huwa aktar sempliċi: il-konfigurazzjoni tal-boot għadha fiha l-peer.

Żewġ stati jżommu dik il-lista. Ir-revoka hija vera biss meta t-tnejn jitilfuha.

X'jibdel tassew wg set

Il-kmand wg set wg0 peer <public-key> remove jeditja l-interface li tkun qed taħdem fil-kernel. Ma jikteb xejn fuq id-diska. Il-fajl tal-konfigurazzjoni, il-profil ta' NetworkManager jew l-istat salvat tar-router jibqgħu ma jitmessux. Dan huwa d-disinn, mhux difett.

Dan is-separazzjoni hija apposta, għax l-għodda m'għandhiex idea ta' min hu s-sid tal-interface. Kmand fil-ħin tal-eżekuzzjoni għandu jkun sigur fuq interface amministrat minn xi ħaġa oħra. Ma jistax jaqta' fejn tgħix il-kopja dejjiema. Il-konsegwenza hija faċli li tingħad: tneħħija fil-ħin tal-eżekuzzjoni hija temporanja bix-xejra tagħha.

Għalhekk il-peer jerġa' lura fir-restart li jmiss, u jerġa' lura bil-prefissi awtorizzati oriġinali tiegħu. Kull ma jiġi routed minnu jerġa' jinħoloq ukoll. Identità li suppost ġiet revokata tista' għalhekk tilħaq id-destinazzjonijiet preċedenti tagħha wara li terġa' tiġi mgħobbija. Xejn fl-output tal-ħin tal-eżekuzzjoni ma kien wissa lil ħadd.

Sib il-kittieb qabel ma tbiddel fajl

L-interface għandha sid. Jista' jkun wg-quick li jaqra fajl, NetworkManager li japplika profil, il-konfigurazzjoni tal-interface tar-router innifsu, jew entrypoint ta' container li jerġa' joħloq l-interface mal-bidu. Li tbiddel fajl li s-sid qatt ma jaqra ma jipproduċi l-ebda bidla dejjiema.

Ibda mill-interface li tkun qed taħdem u identifika l-muftieħ pubbliċi, għax l-ismijiet u l-indirizzi huma identifikaturi aktar dgħajfa mill-muftieħ innifsu. Imbagħad qabbel dik il-lista mal-konfigurazzjoni salvata li s-sid tassew jaqra.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Interface ħaj li l-lista tal-peer u l-kontenut tal-fajl tiegħu ma jaqblux huwa d-dijanjosi kollha. Il-konfigurazzjoni salvata tirbaħ fil-boot, u l-istat fil-ħin tal-eżekuzzjoni jitlef. Qabbilhom qabel ma tbiddel waħda minnhom.

In-nassa ta' SaveConfig

wg-quick iżid tinda li taqbad lil dawk li jeditjaw il-fajls bl-idejn. Meta SaveConfig ikun attivat, l-imġiba tiegħu dokumentata waqt l-għeluq tikteb l-istat attwali tal-ħin tal-eżekuzzjoni fuq il-fajl tal-konfigurazzjoni.

Dan jaqleb id-direzzjoni tas-soltu tal-persistenza. Inti tneħħi peer mill-fajl, imbagħad is-servizz jieqaf. L-istat li qed jaħdem jerġa' jinkiteb fuq it-tibdila tiegħek u jirrestawra l-peer li għadek kemm ħassart.

Għalhekk l-ordni hija importanti: editja l-fajl waqt li l-interface tkun mitfija, jew iddiżattiva SaveConfig qabel it-tibdila, imbagħad erġa' għolli l-interface u kkonferma x'inġabar. Tibdila bl-idejn waqt li l-interface tkun mixgħula hija tellieqa mal-kitba tal-għeluq.

Ibdel iż-żewġ stati, imbagħad erġa' għabbi

Fil-ħin tal-eżekuzzjoni, neħħi l-peer bil-muftieħ. Fil-konfigurazzjoni salvata, neħħi l-istess blokk permezz tal-operazzjoni appoġġjata tas-sid, minflok ma tedita madwarha.

Imbagħad aħseb x'kien qed iġorr il-peer. Netwerk routed li kien jappartjeni lill-identità revokata għandu jerġa' jiġi assenjat b'mod deliberat jew jitneħħa, mhux jintiret skiet mill-peer li jkun imiss li jiġi editjat.

Żomm triq ta' rkupru miftuħa jekk il-gateway iġorr ukoll l-aċċess amministrattiv tiegħek. Restart li jneħħi l-peer ħażin huwa waqfien li għamilt int stess. L-istess jgħodd għal restart li jneħħi r-rotta ħażina.

Kif jidher test li jgħaddi

Erġa' għabbi jew ibda mill-ġdid is-servizz, imbagħad aqra l-lista tal-peer għal darba oħra. Il-muftieħ antik għandu jkun nieqes, u l-peer li ridt iżżomm għandhom xorta jkunu preżenti u jaħdmu.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Fejn is-sitwazzjoni tippermetti, ikkonferma li l-identità antika ma tilħaqx aktar ir-riżorsi preċedenti tagħha. Lista tal-interface nadifa qabel restart hija nofs test. In-nofs l-ieħor huwa x'għadha tista' tagħmel l-identità wara.

Jekk xi manager ikompli jirrestawra l-peer, waqqaf li tirrepeti t-tneħħija tal-livell baxx. Sejjaħ l-inventarju li jaqra dak il-kittieb, għax sa dakinhar kull restart huwa stedina oħra għall-identità biex terġa' tidher.