Mosha e shtrëngimit të duarve të WireGuard nuk është afat i sesionit

Një peer që ndalon kalimin e trafikut nuk e humb për këtë çelësin e tij, dhe një shtrëngim i duarve i ri nuk provon se dikush ka rinovuar lejen për ta përdorur. Kohëmatësit e WireGuard i mbajnë çelësat të freskët dhe paketat në lëvizje; ata nuk modelojnë një përdorues që shkëputet pas një numri të caktuar minutash. Këtu ngatërrohen tre pyetje, dhe secila ka prova të ndryshme. Ky dallim përcakton cilin mjet të përdorim.

Tre pyetje, një dalje komande

Operatorët pyesin nëse një peer është i arritshëm, nëse ka qenë aktiv dhe nëse është ende i lejuar. E para është gjendje e protokollit, e dyta janë numëruesit e trafikut dhe e treta është autorizimi. Vetëm dy të parat mund të lexohen nga një ndërfaqe WireGuard, dhe ato përdoren zakonisht për të përgjigjur të treja.

Lexojini rreshtat si tre hetime të ndara. Dy të parat janë të lira dhe mund të përgjigjen me numëruesit e vetë ndërfaqes. E treta kërkon konfigurimin që jep aksesin, dhe ai jeton në një skedar ose sistem tjetër. Zgjedhja e rreshtit të gabuar është t'i kërkosh një kohëmatësi protokolli punën e një politike.

Çfarë kontrollojnë në të vërtetë kohëmatësit

Protokolli përcakton konstante për ripërpjekjen e shtrëngimit të duarve, rotacionin e çelësave të transportit dhe refuzimin e paketave të mbrojtura nga një çelës i vjetër. Ata reagojnë ndaj trafikut dhe gjendjes, jo ndaj një kalendari ose një politike që thotë se një person mund të lidhet deri në 17:00. Kjo është arsyeja pse një peer inert mund të duket joaktiv për orë të tëra dhe të mbetet i autorizuar.

PersistentKeepalive shpesh ngatërrohet me afatin që mungon. Dërgon paketa boshe të autentikuara për të mbajtur gjallë një hartëzim NAT, dhe vendosja e tij në zero i ndalon ato paketa pa anuluar asgjë.

Lexoni gjendjen e ekzekutimit për çdo peer, duke përdorur çelësin publik në vend të komentit:

wg show wg0 latest-handshakes
wg show wg0 transfer

Një shtrëngim i duarve i fundit thotë se një shtrëngim u përfundua. Ai nuk thotë se shërbimi privat pas tunelit është i arritshëm, dhe një vulë kohore e vjetër mund t'i përkasë një peer që thjesht hesht.

Pse një peer inert nuk është peer i shkëputur

WireGuard nuk ka objekt sesioni me fillim dhe fund. Peer-i është një çelës publik me adresa të lejuara, dhe shtrëngimi i duarve që mbron trafikun e tij zëvendësohet sipas nevojës pa asnjë hyrje të dukshme për përdoruesin. Trajtimi i mungesës së trafikut të fundit si shkëputje e përmbys modelin.

Nëse ankesa e vërtetë është se lidhja dështon pasi ka qenë inerte, shkaku zakonisht është diku tjetër: një hartëzim NAT i skaduar, një pajisje që ka fjetur ose një firewall që ka humbur gjendjen. Provoni duke dërguar trafik nga ana tjetër dhe duke nisur një rrjedhë të re, dhe krahasoni çfarë ndryshon.

Vendosni afatin aty ku jeton autorizimi

Nëse aksesi duhet të përfundojë në një kohë të caktuar, afati i përket asaj që jep aksesin. Një kontrollues që lëshon konfigurime peer mund të kërkojë një miratim të rinovuar përpara se të japë një të ri, dhe kjo është veti e kontrolluesit dhe jo një parametër i fshehur në ndërfaqe.

Për peer-t e menaxhuar me dorë, heqja duhet të arrijë në dy vende: ndërfaqen që po punon dhe konfigurimin e ruajtur. Heqja e peer-it vetëm gjatë kohës së punës anulohet nga një rinisje ose një cikël rakordimi, i cili rikthen identitetin që mendonit se kishte skaduar:

sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0

Më pas provoni kufirin dhe jo etiketën. Konfirmoni se peer-i refuzohet pas afatit, se rruga e rinovimit funksionon dhe se gjendja i mbijeton një ringarkimi të menaxherit. Mosha e një shtrëngimi duarsh është një sinjal operativ i dobishëm, dhe nuk është një regjistër aksesi.