Alderen på WireGuard-handtrykket er ikkje ein sesjonstimeout

Ein peer som sluttar å senda trafikk mistar ikkje nøkkelen sin av den grunn, og eit nytt handtrykk beviser ikkje at nokon har fornya løyvet til å bruka han. Tidsinnstillingane i WireGuard held nøklar ferske og pakkar i rørsle; dei modellerer ikkje ein brukar som loggar ut etter eit fast tal minutt. Tre spørsmål blir blanda saman her, og kvart har ulike bevis. Skilnaden avgjer kva verktøy du grip til.

Tre spørsmål, éin kommando-utskrift

Driftsfolk spør om ein peer er tilgjengeleg, om han har vore aktiv og om han framleis er tillaten. Det første er protokolltilstand, det andre er trafikkteljarar og det tredje er autorisasjon. Berre dei to første kan lesast frå eit WireGuard-grensesnitt, og dei blir rutinemessig brukte til å svara på alle tre.

Les radene som tre separate granskingar. Dei to første er billege og kan svarast på med grensesnittet sine eigne teljarar. Den tredje krev konfigurasjonen som gir tilgang, og han ligg i ei anna fil eller eit anna system. Å velja feil rad er å be ein protokolltimer gjera jobben til ein policy.

Kva tidtakingane faktisk styrer

Protokollen definerer konstantar for nytt handtrykk, rotasjon av transportnøklar og avvising av pakkar som er verna av ein gamal nøkkel. Dei svarar på trafikk og på tilstand, ikkje på ein kalender eller på ein policy som seier at ein person kan vera tilkopla til 17:00. Difor kan ein inaktiv peer sjå passiv ut i timar og likevel vera autorisert.

PersistentKeepalive blir ofte forveksla med den manglande timeouten. Det sender autentiserte tomme pakkar for å halda ein NAT-mapping i live, og set ein det til null, stoppar dei pakkane utan å kalla noko attende.

Les køyretidstilstanden per peer, med den offentlege nøkkelen i staden for kommentaren:

wg show wg0 latest-handshakes
wg show wg0 transfer

Eit nytt handtrykk seier at eitt handtrykk vart fullført. Det seier ikkje at den private tenesta bak tunnelen er tilgjengeleg, og eit gamalt tidsstempel kan høyra til ein peer som berre er stille.

Kvifor ein inaktiv peer ikkje er ein utlogga peer

WireGuard har ikkje noko sesjonsobjekt med ein start og ein slutt. Ein peer er ein offentleg nøkkel med tillatne adresser, og handtrykket som vernar trafikken hans blir bytt ut ved behov utan noka innlogging brukaren kan sjå. Å handsama fråværet av fersk trafikk som ei utlogging snur modellen på hovudet.

Viss den eigentlege klaga er at ei tilkopling feilar etter å ha vore inaktiv, ligg årsaka oftast ein annan stad: ein NAT-mapping som har gått ut, eining som har sove, eller ein brannmur som har mista tilstand. Test ved å senda trafikk frå den andre sida og starta ein ny straum, og samanlikn kva som endrar seg.

Set fristen der autorisasjonen bur

Viss tilgangen må ta slutt på eit bestemt tidspunkt, høyrer fristen til det som gir tilgangen. Ein kontrollar som gjev ut peer-konfigurasjonar kan krevja ei fornya godkjenning før han deler ut ei ny, og det er ein eigenskap ved kontrollaren og ikkje ein skjult parameter på grensesnittet.

For peer som blir styrte for hand, må fjerninga nå begge stader: det køyrande grensesnittet og den lagra konfigurasjonen. Blir peeren fjerna berre i køyretid, blir det gjort om av ein omstart eller ei avstemmingsløkke, som attopprettar identiteten du trudde var gått ut:

sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0

Test deretter grensa i staden for etiketten. Stadfest at peeren blir avvist etter fristen, at fornyingsvegen verkar, og at tilstanden overlever ei omlasting av behandlaren. Alderen på eit handtrykk er eit nyttig driftssignal, og det er ikkje ei tilgangsregistrering.