WireGuard-håndtrykkets alder er ikke en økttimeout

En peer som slutter å sende trafikk, mister ikke nøkkelen sin av den grunn, og et nytt håndtrykk beviser ikke at noen har fornyet tillatelsen til å bruke den. Tidsinnstillingene i WireGuard holder nøkler ferske og pakker i bevegelse; de modellerer ikke en bruker som logger ut etter et fast antall minutter. Tre spørsmål blandes sammen her, og hvert har forskjellige bevis. Forskjellen avgjør hvilket verktøy du griper til.

Tre spørsmål, én kommando-utskrift

Driftsfolk spør om en peer er tilgjengelig, om den har vært aktiv og om den fortsatt er tillatt. Det første er protokolltilstand, det andre er trafikktellere og det tredje er autorisasjon. Bare de to første kan leses fra et WireGuard-grensesnitt, og de brukes rutinemessig til å svare på alle tre.

Les radene som tre separate undersøkelser. De to første er billige og kan besvares med grensesnittets egne tellere. Den tredje krever konfigurasjonen som gir tilgang, og den ligger i en annen fil eller et annet system. Å velge feil rad er å be en protokolltimer gjøre jobben til en policy.

Hva tidtakerne faktisk styrer

Protokollen definerer konstanter for nytt håndtrykk, rotasjon av transportnøkler og avvisning av pakker som beskyttes av en gammel nøkkel. De svarer på trafikk og på tilstand, ikke på en kalender eller på en policy som sier at en person kan være tilkoblet til 17:00. Derfor kan en inaktiv peer se passiv ut i timer og likevel være autorisert.

PersistentKeepalive forveksles ofte med den manglende timeouten. Det sender autentiserte tomme pakker for å holde en NAT-mapping i live, og settes det til null, stopper de pakkene uten å tilbakekalle noe.

Les kjøretidstilstanden per peer, med den offentlige nøkkelen i stedet for kommentaren:

wg show wg0 latest-handshakes
wg show wg0 transfer

Et nytt håndtrykk sier at ett håndtrykk ble fullført. Det sier ikke at den private tjenesten bak tunnelen er tilgjengelig, og et gammelt tidsstempel kan tilhøre en peer som bare er stille.

Hvorfor en inaktiv peer ikke er en utlogget peer

WireGuard har ingen sesjonsobjekt med en start og en slutt. En peer er en offentlig nøkkel med tillatte adresser, og håndtrykket som beskytter trafikken dens, byttes ut ved behov uten en innlogging brukeren kan se. Å behandle fraværet av fersk trafikk som en utlogging snur modellen på hodet.

Hvis den egentlige klagen er at en tilkobling feiler etter å ha vært inaktiv, ligger årsaken oftest et annet sted: en NAT-mapping som er utløpt, en enhet som har sovet, eller en brannmur som har mistet tilstand. Test ved å sende trafikk fra den andre siden og starte en ny strøm, og sammenlign hva som endrer seg.

Sett fristen der autorisasjonen bor

Hvis tilgangen må ta slutt på et bestemt tidspunkt, hører fristen til det som gir tilgangen. En kontroller som utsteder peer-konfigurasjoner kan kreve en fornyet godkjenning før den deler ut en ny, og det er en egenskap ved kontrolleren og ikke en skjult parameter på grensesnittet.

For håndstyrte peers må fjerningen nå begge steder: det kjørende grensesnittet og den lagrede konfigurasjonen. Fjernes peeren bare i kjøretid, blir det angret av en omstart eller en avstemmingsløkke, som gjenoppretter identiteten du trodde var utløpt:

sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0

Test deretter grensen i stedet for etiketten. Bekreft at peeren avvises etter fristen, bekreft at fornyelsesveien virker, og bekreft at tilstanden overlever en omlasting av behandleren. Alderen på et håndtrykk er et nyttig driftssignal, og det er ikke en tilgangsregistrering.