WireGuard 5G-tak: laat die tak na die hub skakel

Om ’n tak na ’n hub te wys, is die maklike helfte van hierdie ontwerp wanneer die tak agter ’n wisselende sellulêre adres sit en die hub ’n stabiele naam het. Die hub leer die tak dan uit geauthentiseerde verkeer, eerder as uit ’n rekord wat jy op datum moet hou. Die kontrak is eenvoudig: die tak begin altyd.

Konfigureer dit doelbewus en verifieer dan die deel waarvan mense aanneem dit werk. Albei stappe neem minute, en die tweede is waar hierdie ontwerpe gewoonlik misluk.

Watter kant hou die stabiele eindpunt

Die tak-konfigurasie noem die hub se eindpunt en publieke sleutel. Die hub-konfigurasie noem die tak se publieke sleutel en sy toegelate binneprefikse, en dit hoef glad geen eindpunt te hê nie, want identiteit kom uit die sleutel eerder as uit die bronadres van die laaste pakket. Daardie asimmetrie is die hele meganisme, en dit verwyder ’n hele klas ontdekkingsprobleem aan die hub-kant.

Wanneer die tak ’n geauthentiseerde pakket stuur, teken die hub die bron waarvan dit gekom het op en gebruik daardie kartering vir antwoorde. Die hernommering van die sellulêre skakel kos dan niks buiten die volgende handdruk nie, en elke komponent wat jy nie meer nodig het nie, is een wat nie tydens ’n oorskakeling kan faal nie. Daardie eienskap is die moeite werd om tydens ’n geskeduleerde verandering te toets, eerder as tydens ’n voorval. Doen dit terwyl iemand albei kante gelyktydig kan dophou.

Gee die tak ’n konfigurasie wat hernommering oorleef

Hou die eindpunt en die keepalive aan die tak-kant, en hou die hub se peer-inskrywing vry van ’n hardgekodeerde adres. Die keepalive hou die vertaalde kartering lank genoeg oop sodat die hub ná ’n stil tydperk ongevraagde verkeer kan stuur.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Vyf-en-twintig sekondes is die algemeen aangehaalde voorbeeld om ’n NAT-kartering lewendig te hou, nie ’n vereiste vir elke peer nie. Stel dit volgens die kartering-tydsverloop wat jy werklik sien, en onthou dit genereer verkeer op ’n skakel met datalimiet solank die koppelvlak op is.

Op die hub moet die tak-peer se toegelate prefikse alles dek wat die tak sal stuur. ’n Ontbrekende prefiks gedra hom soos ’n roeterfout aan die ander kant en lewer geen waarskuwing aan enige kant nie, en daarom is dit die moeite werd om dit voor die eerste werklike pakket na te gaan. Vergelyk die hub se toegelate prefikse met die tak se koppelvlakadresse voor die eerste verbinding.

Verifieer die kartering en die foutoorskakeling

Bevestig dat die handdruk voltooi word, dat die hub die tak se huidige eindpunt lys, en dat die tak se binne-adresse deur die tonnel bereikbaar is. Dit is die basislyn, en dit moet opgeteken word voordat iemand aan die sellulêre skakel raak. Twee reëls uitset is genoeg. Hou hulle saam met die tydstempel in die kaartjie.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Toets dan die fout waarvoor die ontwerp bestaan. Trek die primêre WAN uit en bevestig dat die tak se onderliggende roete na die hub nou deur die sellulêre koppelvlak gaan. ’n Tonnel kan nie ’n gebroke fisiese pad herstel nie, so ’n buitenste roete wat steeds na ’n dooie opverbinding wys, lewer ’n handdruk-tydsverloop op wat presies soos ’n hub-probleem lyk.

As die buitenste pad eksplisiet gebind of beleidsgestuur is, moet die foutoorskakeling dit insluit. Daardie gaping tussen ’n ontwerp wat korrek lees en een wat ’n onderbreking oorleef, is gewoonlik die enigste ding wat kortkom.

Wat hierdie ontwerp nie oplos nie

Niks hier laat ’n inkomende verbinding na die tak toe nie. As iets by die hoofkantoor na die sellulêre terrein moet skakel, is die tonnelrigting verkeerd vir daardie vereiste, en dinamiese DNS werk net ’n naam op. Die verskaffer se vertaling, inkomende beleid en die kliënt se eindpunt-verfrissing staan almal in die pad, en ’n veranderde rekord kan nie karriergraad-NAT oopmaak nie.

Hou die tak-prefiks apart van elke ander terrein, en beperk wat sy poort sal aanstuur. Die stabiele hub-eindpunt vereenvoudig ontdekking en doen niks vir roeterontwerp, adresbeplanning of die vraag watter toepassingsroetes ’n foutoorskakeling oorleef nie.

Skryf vier dinge in die runbook: wie begin, watter prefikse toegelaat word, hoe lank die keepalive is, en wat gebeur wanneer die primêre skakel val. Daardie reëls is wat ’n toekomstige operateur om drie-uur in die oggend werklik nodig het.