Kvifor ein sletta WireGuard-peer kjem tilbake etter ein omstart

Identiteten forsvinn frå grensesnittet som køyrer, og endringa ser ferdig ut. Når tenesta startar på nytt, er han tilbake, noko som blir lese som om WireGuard overser kommandoen. Det som faktisk hende, er enklare: oppstartskonfigurasjonen inneheld framleis peer-en.

To tilstandar held den lista. Tilbakekalling er berre reell når begge mistar henne.

Kva wg set faktisk endrar

Kommandoen wg set wg0 peer <public-key> remove redigerer grensesnittet som køyrer i kjernen. Han skriv ingenting til disken. Konfigurasjonsfila, NetworkManager-profilen eller den lagra tilstanden til rutaren er urørt. Det er designet, ikkje ein feil.

Denne skilnaden er medvite, fordi verktøyet ikkje veit kven som eig grensesnittet. Ein kommando under køyring må vere trygg mot eit grensesnitt som blir styrt av noko anna. Han kan ikkje gjette kvar den varige kopien bur. Konsekvensen er lett å seie: fjerning under køyring er mellombels av oppbygginga si.

Så kjem peer-en tilbake ved neste omstart, og han kjem tilbake med dei opphavlege tillatne prefiksa sine. Alt som blir ruta gjennom han, blir også laga på nytt. Ein påstått tilbakekalla identitet kan difor nå dei tidlegare måla sine etter ei omlasting. Ingenting i utdata under køyring hadde varsla nokon.

Finn skrivaren før du redigerer ei fil

Grensesnittet har ein eigar. Det kan vere wg-quick som les ei fil, NetworkManager som brukar ein profil, grensesnittkonfigurasjonen til rutaren sjølv, eller eit container-entrypoint som lagar grensesnittet på nytt ved start. Å redigere ei fil som eigaren aldri les, gir ingen varig endring i det heile.

Start frå grensesnittet som køyrer og identifiser dei offentlege nøklane, sidan namn og adresser er svakare identifikatorar enn nøkkelen sjølv. Samanlikn deretter lista med den lagra konfigurasjonen som eigaren faktisk les.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Eit levande grensesnitt der peer-lista og filinnhaldet ikkje stemmer, er heile diagnosen. Den lagra konfigurasjonen vinn ved oppstart, og tilstanden under køyring tapar. Samanlikn dei før du endrar nokon av dei.

SaveConfig-fella

wg-quick legg til ei fold som fangar folk som redigerer filer for hand. Når SaveConfig er slått på, skriv den dokumenterte framferda ved nedstenging den gjeldande tilstanden under køyring over konfigurasjonsfila.

Det snur den vanlege retninga for varigheit. Du fjernar ein peer frå fila, og så stoppar tenesta. Den køyrande tilstanden blir skriven tilbake over endringa di og gjenopprettar peer-en du nettopp sletta.

Difor har rekkjefølgja noko å seie: rediger fila medan grensesnittet er nede, eller slå av SaveConfig før endringa, ta så grensesnittet opp att og stadfest kva som vart lasta. Ei handendring medan grensesnittet er oppe, er eit kappløp med skrivinga ved nedstenging.

Endre begge tilstandane, last så på nytt

Under køyring fjernar du peer-en med nøkkelen. I den lagra konfigurasjonen fjernar du same blokka gjennom den støtta operasjonen til eigaren, i staden for å redigere rundt henne.

Gå så gjennom kva peer-en bar med seg. Eit ruta nettverk som høyrde til den tilbakekalla identiteten, bør bli tildelt på nytt med vilje eller fjerna, ikkje arva stille av den peer-en som blir redigert neste gong.

Hald ein gjenopprettingsveg open om gatewayen også ber din administrative tilgang. Ein omstart som fjernar feil peer, er eit sjølvpåført avbrot. Det same gjeld ein omstart som fjernar feil rute.

Korleis ein bestått test ser ut

Last tenesta på nytt eller start henne på nytt, og les så peer-lista igjen. Den gamle nøkkelen må mangle, og peer-ane du meinte å halde på, må framleis vere til stades og fungere.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Der situasjonen tillet det, stadfest at den gamle identiteten ikkje lenger når dei tidlegare ressursane sine. Ei ryddig grensesnittliste før ein omstart er halve testen. Den andre halvdelen er kva identiteten framleis kan gjere etterpå.

Viss ein behandlar held fram med å gjenopprette peer-en, slutt å gjenta fjerninga på lågt nivå. Reparer inventaret som den skrivaren les, for inntil då er kvar omstart nok ei oppmoding til at identiteten dukkar opp igjen.