Vek handshake pri WireGuarde nie je časový limit relácie
Časovače obnovy kľúčov riadia kľúče, nie prístup používateľov. Čítanie latest-handshakes hovorí o stave protokolu jedného peera, nie o tom, či jeho autorizácia vypršala.
Peer, ktorý prestane prepúšťať prevádzku, tým nestráca svoj kľúč, a nový handshake nedokazuje, že niekto obnovil oprávnenie ho používať. Časovače WireGuardu udržiavajú kľúče čerstvé a pakety v pohybe; nemodelujú používateľa, ktorý sa odhlási po stanovenom počte minút. Miešajú sa tu tri otázky a každá má iné dôkazy. Rozlíšenie rozhoduje o tom, po ktorom nástroji siahneme.
Tri otázky, jeden výstup príkazu
Operátori sa pýtajú, či je peer dostupný, či bol aktívny a či je stále povolený. Prvé je stav protokolu, druhé sú prevádzkové počítadlá a tretie je autorizácia. Len prvé dve sa dajú prečítať z rozhrania WireGuardu a bežne sa nimi odpovedá na všetky tri.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Čítajte riadky ako tri samostatné vyšetrovania. Prvé dve sú lacné a dajú sa zodpovedať z vlastných počítadiel rozhrania. Tretie potrebuje konfiguráciu, ktorá prístup udeľuje, a tá žije v inom súbore alebo inom systéme. Voľba nesprávneho riadku znamená žiadať časovač protokolu o prácu politiky.
Čomu časovače skutočne vládnu
Protokol definuje konštanty pre opakovanie handshake, rotáciu transportných kľúčov a odmietanie paketov chránených starým kľúčom. Reagujú na prevádzku a na stav, nie na kalendár ani na politiku, ktorá hovorí, že človek smie byť pripojený do 17:00. Preto môže nečinný peer hodiny vyzerať ako neaktívny a napriek tomu byť autorizovaný.
PersistentKeepalive sa často považuje za chýbajúci časový limit. Posiela overené prázdne pakety, aby udržal mapovanie NAT nažive, a nastavenie na nulu tieto pakety zastaví bez toho, aby čokoľvek odvolalo.
Čítajte behový stav pre každý peer, s použitím verejného kľúča namiesto komentára:
wg show wg0 latest-handshakes
wg show wg0 transferČerstvý handshake hovorí, že jeden handshake sa dokončil. Nehovorí, že súkromná služba za tunelom je dostupná, a stará časová pečiatka môže patriť peeru, ktorý je jednoducho ticho.
Prečo nečinný peer nie je odhlásený peer
WireGuard nemá objekt relácie so začiatkom a koncom. Peer je verejný kľúč s povolenými adresami a handshake, ktorý chráni jeho prevádzku, sa podľa potreby nahrádza bez akéhokoľvek používateľovi viditeľného prihlásenia. Považovať neprítomnosť čerstvej prevádzky za odhlásenie obracia model.
Ak je skutočnou sťažnosťou to, že spojenie po nečinnosti zlyhá, príčina býva inde: vypršané mapovanie NAT, zariadenie, ktoré zaspalo, alebo firewall, ktorý zahodil stav. Testujte tak, že pošlete prevádzku z druhej strany a začnete nový tok, a porovnajte, čo sa zmení.
Umiestnite termín tam, kde žije autorizácia
Ak má prístup skončiť v určitom čase, termín patrí tomu, čo prístup udeľuje. Kontrolér, ktorý vydáva konfigurácie peerov, môže vyžadovať obnovené schválenie, kým vydá novú, a to je vlastnosť kontroléra, nie skrytý parameter rozhrania.
Pri ručne spravovaných peeroch musí odstránenie zasiahnuť obe miesta: bežiace rozhranie a uloženú konfiguráciu. Odstránenie peera len za behu zruší reštart alebo slučka zosúladenia, ktorá obnoví identitu, ktorú ste považovali za vypršanú:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Potom testujte hranicu, nie označenie. Overte, že je peer po termíne odmietnutý, overte, že cesta obnovy funguje, a overte, že stav prežije znovunačítanie správcu. Vek handshake je užitočný prevádzkový signál a nie je to záznam o prístupe.