Pse një peer WireGuard i fshirë kthehet pas një rindezjeje

Identiteti zhduket nga ndërfaqja që punon dhe ndryshimi duket i kryer. Pasi shërbimi rindizet, ai kthehet, gjë që lexohet sikur WireGuard ta injorojë komandën. Ajo që ndodhi në të vërtetë është më e thjeshtë: konfigurimi i nisjes ende e përmban peer-in.

Dy gjendje e mbajnë atë listë. Revokimi është i vërtetë vetëm kur të dyja e humbin.

Çfarë ndryshon në të vërtetë wg set

Komanda wg set wg0 peer <public-key> remove redakton ndërfaqen që punon brenda kernelit. Nuk shkruan asgjë në disk. Skedari i konfigurimit, profili i NetworkManager ose gjendja e ruajtur e routerit mbeten të paprekura. Ky është dizajni, jo defekt.

Ky ndarje është e qëllimshme, sepse mjeti nuk e ka idenë kush e zotëron ndërfaqen. Një komandë në kohën e ekzekutimit duhet të jetë e sigurt ndaj një ndërfaqeje që menaxhohet nga diçka tjetër. Nuk mund ta hamendësojë ku jeton kopja e qëndrueshme. Pasoja është e lehtë të thuhet: heqja në kohën e ekzekutimit është e përkohshme nga ndërtimi.

Pra peer-i kthehet në rindezjen tjetër, dhe kthehet me prefikset e tij origjinale të lejuara. Çdo gjë që rutohet përmes tij rikrijohet gjithashtu. Një identitet që supozohet i revokuar mund, pra, të arrijë destinacionet e tij të mëparshme pas një ringarkimi. Asgjë në daljen e kohës së ekzekutimit nuk kishte paralajmëruar askënd.

Gjeni shkruesin përpara se të redaktoni një skedar

Ndërfaqja ka një pronar. Mund të jetë wg-quick që lexon një skedar, NetworkManager që zbaton një profil, konfigurimi i ndërfaqes së vetë routerit, ose pika e hyrjes së një kontejneri që rikrijon ndërfaqen në nisje. Redaktimi i një skedari që pronari nuk e lexon kurrë nuk prodhon asnjë ndryshim të qëndrueshëm.

Filloni nga ndërfaqja që punon dhe identifikoni çelësat publikë, sepse emrat dhe adresat janë identifikues më të dobët se vetë çelësi. Pastaj krahasoni atë listë me konfigurimin e ruajtur që pronari lexon vërtet.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Një ndërfaqe e gjallë, lista e peer-ve dhe përmbajtja e skedarit të së cilës nuk përputhen, është i gjithë diagnozi. Konfigurimi i ruajtur fiton në nisje, dhe gjendja e kohës së ekzekutimit humbet. Krahasoni të dyja përpara se të ndryshoni cilëndo.

Kurthi i SaveConfig

wg-quick shton një palosje që kap njerëzit që redaktojnë skedarë me dorë. Kur SaveConfig është i aktivizuar, sjellja e tij e dokumentuar në fikje shkruan gjendjen aktuale të kohës së ekzekutimit mbi skedarin e konfigurimit.

Kjo e kthen mbrapsht drejtimin e zakonshëm të qëndrueshmërisë. Ju hiqni një peer nga skedari, pastaj shërbimi ndalet. Gjendja që punon shkruhet mbi redaktimin tuaj dhe rikthen peer-in që sapo fshinë.

Prandaj radha ka rëndësi: redaktoni skedarin ndërsa ndërfaqja është poshtë, ose çaktivizoni SaveConfig përpara redaktimit, pastaj ngrini ndërfaqen përsëri dhe konfirmoni çfarë u ngarkua. Një redaktim me dorë ndërsa ndërfaqja është lart është garë me shkrimin e fikjes.

Ndryshoni të dyja gjendjet, pastaj ringarkoni

Në kohën e ekzekutimit, hiqni peer-in sipas çelësit. Në konfigurimin e ruajtur, hiqni të njëjtin bllok përmes operacionit të mbështetur të pronarit, në vend që të redaktoni përreth tij.

Pastaj rishikoni çfarë mbante peer-i. Një rrjet i rutuar që i përkiste identitetit të revokuar duhet të ricaktohet me qëllim ose të hiqet, jo të trashëgohet në heshtje nga peer-i që do të redaktohet më pas.

Mbajeni të hapur një rrugë rikuperimi nëse porta mbart edhe aksesin tuaj administrativ. Një rindezje që heq peer-in e gabuar është një ndërprerje që ia keni shkaktuar vetes. E njëjta gjë vlen për një rindezje që heq rrugën e gabuar.

Si duket një test i kaluar

Ringarkoni ose rindizni shërbimin, pastaj lexoni përsëri listën e peer-ve. Çelësi i vjetër duhet të mungojë, dhe peer-ët që kishit ndërmend të mbani duhet të jenë ende të pranishëm dhe funksionalë.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Aty ku situata e lejon, konfirmoni që identiteti i vjetër nuk arrin më burimet e tij të mëparshme. Një listë e rregullt e ndërfaqes përpara një rindezjeje është gjysma e testit. Gjysma tjetër është çfarë mund të bëjë identiteti ende pas kësaj.

Nëse një menaxher vazhdon ta rikthejë peer-in, ndaloni së përsërituri heqjen e nivelit të ulët. Rregulloni inventarin që lexon ai shkrues, sepse deri atëherë çdo rindezje është një ftesë tjetër për identitetin të rishfaqet.