Starost rokovanja WireGuard ni časovna omejitev seje
Časovniki za obnovo ključev upravljajo ključe, ne dostopa uporabnikov. Branje latest-handshakes pove o protokolarnem stanju enega peerja, ne o tem, ali je njegova avtorizacija potekla.
Peer, ki preneha prepuščati promet, zaradi tega ne izgubi svojega ključa, in novo rokovanje ne dokazuje, da je kdo obnovil dovoljenje za njegovo uporabo. Časovniki WireGuarda ohranjajo ključe sveže in pakete v gibanju; ne modelirajo uporabnika, ki se odjavi po določenem številu minut. Tu se mešajo tri vprašanja in vsako ima drugačne dokaze. Ta razlika odloča, katero orodje uporabimo.
Tri vprašanja, en izpis ukaza
Upravljavci sprašujejo, ali je peer dosegljiv, ali je bil aktiven in ali je še dovoljen. Prvo je stanje protokola, drugo so števci prometa in tretje je avtorizacija. Samo prva dva je mogoče prebrati z vmesnika WireGuard in se rutinsko uporabljata za odgovor na vse tri.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Vrstice berite kot tri ločene preiskave. Prvi dve sta poceni in nanju je mogoče odgovoriti z lastnimi števci vmesnika. Tretja potrebuje konfiguracijo, ki daje dostop, in ta živi v drugi datoteki ali drugem sistemu. Izbira napačne vrstice pomeni prositi protokolni časovnik, naj opravi delo politike.
Čemu časovniki dejansko vladajo
Protokol določa konstante za ponovni poskus rokovanja, rotacijo transportnih ključev in zavračanje paketov, zaščitenih s starim ključem. Odzivajo se na promet in na stanje, ne na koledar ali politiko, ki pravi, da je oseba lahko povezana do 17:00. Zato je lahko nedejaven peer videti neaktiven ure in ure ter biti še vedno avtoriziran.
PersistentKeepalive se pogosto zamenjuje z manjkajočo časovno omejitvijo. Pošilja overjene prazne pakete, da ohrani preslikavo NAT živo, in nastavitev na nič te pakete ustavi, ne da bi karkoli preklicala.
Berite izvajalno stanje za vsak peer, z javnim ključem namesto komentarja:
wg show wg0 latest-handshakes
wg show wg0 transferNedavno rokovanje pravi, da se je eno rokovanje zaključilo. Ne pravi, da je zasebna storitev za tunelom dosegljiva, in stara časovna oznaka lahko pripada peerju, ki je preprosto tih.
Zakaj nedejaven peer ni odjavljen peer
WireGuard nima objekta seje z začetkom in koncem. Peer je javni ključ z dovoljenimi naslovi, in rokovanje, ki ščiti njegov promet, se zamenja po potrebi brez uporabniku vidne prijave. Če odsotnost nedavnega prometa obravnavamo kot odjavo, model obrnemo.
Če je resnična pritožba ta, da povezava po mirovanju ne uspe, je vzrok običajno drugje: potekla preslikava NAT, naprava, ki je zaspala, ali požarni zid, ki je izgubil stanje. Preizkusite tako, da pošljete promet z druge strani in začnete nov tok, ter primerjajte, kaj se spremeni.
Rok postavite tja, kjer živi avtorizacija
Če se mora dostop končati ob določenem času, rok pripada tistemu, kar daje dostop. Krmilnik, ki izdaja konfiguracije peerjev, lahko zahteva obnovljeno odobritev, preden izda novo, in to je lastnost krmilnika, ne skriti parameter na vmesniku.
Pri ročno upravljanih peerjih mora odstranitev doseči dva kraja: delujoči vmesnik in shranjeno konfiguracijo. Odstranitev peerja le med delovanjem razveljavi ponovni zagon ali zanka usklajevanja, ki obnovi identiteto, za katero ste mislili, da je potekla:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Nato preizkusite mejo, ne oznake. Potrdite, da je peer po roku zavrnjen, da pot obnove deluje in da stanje preživi ponovno nalaganje upravitelja. Starost rokovanja je koristen operativni signal in ni evidenca dostopa.