Старост WireGuard руковања није временско ограничење сесије
Тајмери обнове кључева управљају кључевима, а не приступом корисника. Читање latest-handshakes говори о протоколарном стању једног пера, а не о томе да ли је његово овлашћење истекло.
Пер који престане да пропушта саобраћај тиме не губи свој кључ, а ново руковање не доказује да је неко обновио дозволу за његово коришћење. WireGuard тајмери држе кључеве свежим и пакете у покрету; они не моделују корисника који се одјави после одређеног броја минута. Овде се мешају три питања и свако има другачије доказе. Та разлика одлучује које ћемо оруђе узети.
Три питања, један излаз наредбе
Оператери питају да ли је пер доступан, да ли је био активан и да ли је још дозвољен. Прво је стање протокола, друго су бројачи саобраћаја, а треће је овлашћење. Само прва два могу се прочитати са WireGuard интерфејса и рутински се користе за одговор на сва три.
| Question | Evidence it needs | What does not answer it |
|---|---|---|
| Is the peer reachable now? | A recent handshake and a working return path | An interface that exists |
| Has it been active? | Transfer counters moving over time | A handshake timestamp alone |
| Is access still granted? | The configuration or controller that authorizes it | Any protocol timer |
Читајте редове као три одвојене истраге. Прва два су јефтина и на њих се може одговорити сопственим бројачима интерфејса. Треће тражи конфигурацију која даје приступ, а она живи у другој датотеци или другом систему. Избор погрешног реда значи тражити од протоколног тајмера да ради посао политике.
Чиме тајмери заправо управљају
Протокол дефинише константе за поновни покушај руковања, ротацију транспортних кључева и одбијање пакета заштићених старим кључем. Оне реагују на саобраћај и на стање, не на календар или политику која каже да особа може бити повезана до 17:00. Зато пер који мирује може сатима изгледати неактиван и ипак остати овлашћен.
PersistentKeepalive се често замењује са недостајућим временским ограничењем. Шаље аутентификоване празне пакете да одржи NAT мапирање живим, а постављање на нулу зауставља те пакете без опозива ичега.
Читајте стање извршавања по перу, користећи јавни кључ уместо коментара:
wg show wg0 latest-handshakes
wg show wg0 transferНедавно руковање каже да је једно руковање завршено. Оно не каже да је приватна услуга иза тунела доступна, а стара временска ознака може припадати перу које је једноставно тихо.
Зашто пер који мирује није одјављени пер
WireGuard нема објекат сесије са почетком и крајем. Пер је јавни кључ са дозвољеним адресама, а руковање које штити његов саобраћај замењује се по потреби без икакве пријаве видљиве кориснику. Третирати одсуство недавног саобраћаја као одјаву значи преокренути модел.
Ако је права жалба то да веза не успева након мировања, узрок је обично негде другде: истекло NAT мапирање, уређај који је заспао или заштитни зид који је изгубио стање. Тестирајте слањем саобраћаја са друге стране и покретањем новог тока, па упоредите шта се мења.
Поставите рок тамо где живи овлашћење
Ако приступ мора да се заврши у одређено време, рок припада ономе што даје приступ. Контролер који издаје конфигурације пера може захтевати обновљено одобрење пре него што изда нову, и то је својство контролера, а не скривени параметар на интерфејсу.
За пере којима се управља ручно, уклањање мора доћи на два места: интерфејс који ради и сачувану конфигурацију. Уклањање пера само током рада поништава поновно покретање или петља усклађивања, која враћа идентитет за који сте мислили да је истекао:
sudo wg set wg0 peer <public-key> remove
sudo wg-quick save wg0Затим тестирајте границу, а не ознаку. Потврдите да је пер одбијен након рока, да пут обнове ради и да стање преживљава поновно учитавање управљача. Старост руковања корисни је оперативни сигнал и није запис о приступу.