Bakit bumabalik ang tinanggal na peer ng WireGuard pagkatapos ng restart

Nawawala ang pagkakakilanlan mula sa tumatakbong interface at mukhang tapos na ang pagbabago. Pagkatapos mag-restart ng serbisyo, bumabalik ito, na parang binabalewala ng WireGuard ang utos. Ang tunay na nangyari ay mas simple: nasa boot configuration pa rin ang peer na iyon.

Dalawang estado ang humahawak sa listahang iyon. Totoo lang ang pagbawi kapag nawala ito sa pareho.

Ano talaga ang binabago ng wg set

Ang utos na wg set wg0 peer <public-key> remove ay nag-e-edit ng tumatakbong interface sa kernel. Wala itong isinusulat sa disk. Ang configuration file, profile ng NetworkManager o naka-save na estado ng router ay hindi nagagalaw. Iyon ang disenyo, hindi bug.

Sinasadya ang paghihiwalay na iyon, dahil wala talagang ideya ang kasangkapan kung sino ang may-ari ng interface. Ang utos sa oras ng pagtakbo ay dapat ligtas sa isang interface na pinamamahalaan ng ibang bagay. Hindi nito mahuhulaan kung saan nakatira ang matibay na kopya. Madaling sabihin ang bunga: ang pag-alis habang tumatakbo ay pansamantala ayon sa pagkakabuo nito.

Kaya bumalik ang peer sa susunod na restart, at bumalik ito kasama ang orihinal nitong pinapayagang prefix. Ang lahat ng niruruta sa pamamagitan nito ay muling nililikha rin. Kaya ang isang pagkakakilanlang diumano'y binawi ay makakarating sa dating destinasyon nito pagkatapos ng reload. Wala sa output habang tumatakbo ang nagbabala sa kahit sino.

Hanapin ang nagsusulat bago mag-edit ng file

May may-ari ang interface. Maaaring ito ay wg-quick na nagbabasa ng file, NetworkManager na naglalapat ng profile, sariling configuration ng interface ng router, o entrypoint ng container na muling lumilikha ng interface sa pagsisimula. Ang pag-edit ng file na hindi kailanman binabasa ng may-ari ay walang idinudulot na matibay na pagbabago.

Magsimula sa tumatakbong interface at tukuyin ang mga public key, dahil mas mahinang identifier ang mga pangalan at address kaysa sa key mismo. Pagkatapos ihambing ang listahang iyon sa naka-save na configuration na talagang binabasa ng may-ari.

wg show wg0 peers
wg show wg0 allowed-ips
systemctl status wg-quick@wg0 --no-pager
ls -l /etc/wireguard

Ang buhay na interface na hindi tugma ang listahan ng peer at ang nilalaman ng file ay ang buong diagnosis. Nanalo sa boot ang naka-save na configuration, at natatalo ang estado habang tumatakbo. Paghambingin ang dalawa bago baguhin ang alinman.

Ang bitag ng SaveConfig

Nagdaragdag ang wg-quick ng tiklop na humuhuli sa mga taong nag-e-edit ng file gamit ang kamay. Kapag naka-enable ang SaveConfig, isinusulat ng dokumentadong pag-uugali nito sa pagsara ang kasalukuyang estado habang tumatakbo sa ibabaw ng configuration file.

Binabaligtad niyon ang karaniwang direksyon ng pagtitiyaga. Tinatanggal mo ang peer mula sa file, tapos humihinto ang serbisyo. Isinusulat ang tumatakbong estado sa ibabaw ng iyong edit at ibinabalik ang peer na kakaalis mo lang.

Kaya mahalaga ang pagkakasunod-sunod: i-edit ang file habang nakababa ang interface, o i-disable ang SaveConfig bago ang edit, pagkatapos itaas muli ang interface at tiyakin kung ano ang na-load. Ang edit gamit ang kamay habang nakaupo ang interface ay karera sa pagsulat sa pagsara.

Baguhin ang dalawang estado, tapos i-reload

Habang tumatakbo, alisin ang peer sa pamamagitan ng key. Sa naka-save na configuration, alisin ang parehong bloke sa pamamagitan ng sinusuportahang operasyon ng may-ari, sa halip na mag-edit sa paligid nito.

Pagkatapos suriin kung ano ang dinala ng peer. Ang niruruta na network na pag-aari ng binawing pagkakakilanlan ay dapat sadyang italaga muli o alisin, hindi tahimik na mamanahin ng peer na susunod na e-edit.

Panatilihing bukas ang daan ng pagbawi kung ang gateway ay nagdadala rin ng iyong administratibong access. Ang restart na nag-aalis ng maling peer ay pagkabalam na ikaw mismo ang gumawa. Gayundin sa restart na nag-aalis ng maling ruta.

Ano ang hitsura ng pumasa na pagsubok

I-reload o i-restart ang serbisyo, tapos basahin muli ang listahan ng peer. Dapat wala ang lumang key, at ang mga peer na gusto mong itago ay dapat naroon pa rin at gumagana.

wg show wg0 peers
wg show wg0 allowed-ips
sudo wg-quick down wg0 && sudo wg-quick up wg0
wg show wg0 peers

Kung saan pinapayagan ng sitwasyon, tiyakin na hindi na naaabot ng lumang pagkakakilanlan ang dating mapagkukunan nito. Ang maayos na listahan ng interface bago ang restart ay kalahati ng pagsubok. Ang kabilang kalahati ay kung ano pa ang kaya ng pagkakakilanlan pagkatapos.

Kung may tagapamahala na patuloy na ibinabalik ang peer, tigilan ang paulit-ulit na pag-alis sa mababang antas. Ayusin ang imbentaryo na binabasa ng nagsusulat na iyon, dahil hanggang doon bawat restart ay isa pang imbitasyon para muling lumitaw ang pagkakakilanlan.