WireGuard 5G filialı: filial mərkəzə özü qoşulsun

Filialı mərkəzə yönəltmək bu dizaynın asan yarısıdır, o halda ki filial dəyişən mobil ünvanın arxasında oturur və mərkəz sabit ada malikdir. Bundan sonra mərkəz filialı sənin yeniləməli olduğun qeyddən deyil, autentifikasiya olunmuş trafikdən öyrənir. Müqavilə sadədir: həmişə filial başlayır.

Onu qəsdən konfiqurasiya et, sonra insanların işlədiyini güman etdiyi hissəni yoxla. Hər iki addım dəqiqələr çəkir və bu dizaynlarda uğursuzluq adətən ikincidə olur.

Sabit son nöqtə hansı tərəfdədir

Filial konfiqurasiyası mərkəzin son nöqtəsini və açıq açarını göstərir. Mərkəz konfiqurasiyası filialın açıq açarını və onun icazə verilən daxili prefikslərini göstərir və ümumiyyətlə heç bir son nöqtə daşımaya bilər, çünki kimlik son paketin mənbə ünvanından deyil, açardan gəlir. Bu asimmetriya bütün mexanizmdir və mərkəz tərəfində bütöv bir aşkarlama problemi sinfini aradan qaldırır.

Filial autentifikasiya olunmuş paket göndərdikdə mərkəz onun gəldiyi mənbəni qeyd edir və cavablar üçün bu uyğunlaşdırmadan istifadə edir. Bundan sonra mobil xəttin nömrələnməsinin dəyişməsi növbəti əl sıxışmadan başqa heç nəyə başa gəlmir və artıq ehtiyac duymadığın hər komponent keçid zamanı sıradan çıxa bilməyən komponentdir. Bu xassə planlı dəyişiklik zamanı sınanmağa dəyər, hadisə zamanı deyil. Bunu kiminsə hər iki ucu eyni vaxtda izləyə bildiyi vaxt edin.

Filiala nömrələnmə dəyişikliyinə davam edən konfiqurasiya ver

Son nöqtəni və keepalive-ı filialda saxla, mərkəzin peer qeydini isə sərt kodlanmış ünvandan azad saxla. Keepalive tərcümə olunmuş uyğunlaşdırmanı kifayət qədər uzun müddət açıq saxlayır ki, mərkəz boş dövrdən sonra sorğusuz trafik göndərə bilsin.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

İyirmi beş saniyə NAT uyğunlaşdırmasını canlı saxlamaq üçün tez-tez göstərilən nümunədir, hər peer üçün tələb deyil. Onu həqiqətən müşahidə etdiyin uyğunlaşdırma taym-autuna görə qur və yadda saxla ki, interfeys işlək olduqca ölçülən xəttdə trafik yaradır.

Mərkəzdə filial peer-inin icazə verilən prefiksləri filialın göndərəcəyi hər şeyi əhatə etməlidir. Çatışmayan prefiks uzaq tərəfdə marşrut xətası kimi davranır və heç bir tərəfdə xəbərdarlıq yaratmır, buna görə də ilk real paketdən əvvəl buna baxmağa dəyər. İlk bağlantıdan əvvəl mərkəzin icazə verilən prefikslərini filialın interfeys ünvanları ilə müqayisə et.

Uyğunlaşdırmanı və ehtiyat keçidi yoxla

Əl sıxışmanın tamamlandığını, mərkəzin filialın cari son nöqtəsini sadaladığını və filialın daxili ünvanlarının tunel vasitəsilə əlçatan olduğunu təsdiqlə. Bu əsas xəttdir və kimsə mobil xəttə toxunmadan əvvəl qeyd olunmalıdır. İki sətir çıxış kifayətdir. Onları vaxt möhürü ilə birlikdə biletdə saxla.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Sonra dizaynın mövcud olduğu nasazlığı sına. Əsas WAN-ı çıxar və filialın mərkəzə gedən əsas marşrutunun indi mobil interfeysdən çıxdığını təsdiqlə. Tunel pozulmuş fiziki yolu düzəldə bilməz, ona görə də hələ də ölü yuxarı xəttə yönələn xarici marşrut əl sıxışma taym-autu yaradır və bu, mərkəz probleminə tam bənzəyir.

Xarici yol açıq şəkildə bağlanıbsa və ya siyasətlə yönləndirilibsə, ehtiyat keçid onu da əhatə etməlidir. Düzgün oxunan dizaynla kəsintiyə davam edən dizayn arasındakı bu boşluq adətən yeganə çatışmayan şeydir.

Bu dizayn nəyi həll etmir

Burada heç nə filiala daxil olan bağlantıya icazə vermir. Əgər baş ofisdə nə isə mobil sahəyə zəng etməlidirsə, tunel istiqaməti bu tələb üçün səhvdir və dinamik DNS yalnız adı yeniləyir. Provayder tərcüməsi, daxil olan siyasət və müştərinin son nöqtə yeniləməsi hamısı yolun üstündə qalır və dəyişmiş qeyd operator səviyyəli NAT-ı aça bilməz.

Filial prefiksini hər digər sahədən fərqli saxla və onun şlüzünün yönləndirəcəyini məhdudlaşdır. Sabit mərkəz son nöqtəsi aşkarlamanı sadələşdirir və marşrut dizaynı, ünvan planlaması və ya hansı tətbiq marşrutlarının ehtiyat keçidə davam etməsi sualı üçün heç nə etmir.

Runbook-a dörd şey yaz: kim başlayır, hansı prefikslərə icazə verilir, keepalive nə qədərdir və əsas xətt düşəndə nə olur. Gələcək operatorun gecə saat üçdə həqiqətən ehtiyac duyduğu sətirlər bunlardır.