WireGuard 5G для філіяла: хай філіял сам злучаецца з цэнтрам

Калі філіял злучаецца з цэнтрам, цэнтру не трэба выяўляць зменлівы сотавы адрас. Наладзьце, праверце, а затым паглядзіце, чаго гэта не вырашае.

Направіць філіял на цэнтр — гэта лёгкая палова гэтага рашэння, калі філіял сядзіць за зменлівым сотавым адрасам, а цэнтр мае стабільнае імя. Тады цэнтр пазнае філіял з аўтэнтыфікаванага трафіку, а не з запісу, які вам даводзіцца падтрымліваць у актуальным стане. Умова простая: філіял заўсёды пачынае.

Наладзьце гэта свядома, а потым праверце тую частку, пра якую людзі мяркуюць, што яна працуе. Абодва крокі займаюць хвіліны, і менавіта на другім гэтыя рашэнні звычайна правальваюцца.

Які бок трымае стабільны канцавы пункт

Канфігурацыя філіяла называе канцавы пункт цэнтра і яго публічны ключ. Канфігурацыя цэнтра называе публічны ключ філіяла і яго дазволеныя ўнутраныя прэфіксы, і можа наогул не мець канцавога пункта, бо ідэнтычнасць бярэцца з ключа, а не з адраса крыніцы апошняга пакета. Гэтая асіметрыя і ёсць увесь механізм, і яна прыбірае цэлы клас праблем выяўлення з боку цэнтра.

Калі філіял дасылае аўтэнтыфікаваны пакет, цэнтр запісвае крыніцу, адкуль той прыйшоў, і выкарыстоўвае гэтую адпаведнасць для адказаў. Пасля гэтага перанумараванне сотавага канала не каштуе нічога, акрамя наступнага рукапаціскання, і кожны кампанент, які вам больш не патрэбны, — гэта той, што не можа адмовіць падчас пераключэння. Гэтую ўласцівасць варта праверыць падчас запланаванага змянення, а не падчас інцыдэнту. Рабіце гэта, пакуль нехта можа назіраць за абодвума бакамі адначасова.

Дайце філіялу канфігурацыю, якая перажывае перанумараванне

Трымайце канцавы пункт і захаванне злучэння на баку філіяла, а запіс партнёра ў цэнтры трымайце свабодным ад жорстка прапісанага адраса. Захаванне злучэння ўтрымлівае перакладзеную адпаведнасць адкрытай дастаткова доўга, каб цэнтр мог пасля перыяду прастою даслаць незапатрабаваны трафік.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Дваццаць пяць секунд — гэта часта цытаваны прыклад для падтрымання адпаведнасці NAT жывой, а не патрабаванне для кожнага партнёра. Стаўце яго паводле тайм-аўту адпаведнасці, які вы рэальна назіраеце, і памятайце, што ён стварае трафік на канале з лімітам даных, пакуль інтэрфейс уключаны.

У цэнтры дазволеныя прэфіксы партнёра філіяла павінны пакрываць усё, што філіял будзе дасылаць. Адсутны прэфікс паводзіць сябе як збой маршрутызацыі на далёкім баку і не дае папярэджання ні на адным баку, таму гэта варта перагледзець да першага рэальнага пакета. Параўнайце дазволеныя прэфіксы цэнтра з адрасамі інтэрфейсаў філіяла да першага злучэння.

Праверце адпаведнасць і пераключэнне

Пераканайцеся, што рукапацісканне завяршаецца, што цэнтр паказвае бягучы канцавы пункт філіяла і што ўнутраныя адрасы філіяла дасягальныя праз тунель. Гэта базавы ўзровень, і яго варта зафіксаваць, перш чым нехта дакранецца да сотавага канала. Двух радкоў вываду дастаткова. Захавайце іх у заяўцы разам з адзнакай часу.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Затым праверце збой, для якога існуе гэтае рашэнне. Адключыце асноўны WAN і пераканайцеся, што базавы маршрут філіяла да цэнтра цяпер ідзе праз сотавы інтэрфейс. Тунель не можа адрамантаваць зламаны фізічны шлях, таму знешні маршрут, які ўсё яшчэ паказвае на мёртвае ўзыходнае злучэнне, дае тайм-аўт рукапаціскання, што выглядае дакладна як праблема цэнтра.

Калі знешні шлях яўна прывязаны або кіруецца палітыкай, пераключэнне павінна ўключаць і яго. Гэтая розніца паміж рашэннем, якое чытаецца правільна, і тым, што перажывае збой, звычайна і ёсць адзінае, чаго не хапае.

Што гэтае рашэнне не вырашае

Тут нішто не дапускае ўваходнага злучэння да філіяла. Калі нешта ў галаўным офісе павінна набіраць сотавую пляцоўку, кірунак тунеля няправільны для гэтай патрэбы, а дынамічны DNS абнаўляе толькі імя. Пераклад правайдера, палітыка ўваходу і абнаўленне канцавога пункта кліентам — усё гэта застаецца на шляху, і зменены запіс не можа адкрыць NAT аператарскага ўзроўню.

Трымайце прэфікс філіяла асобным ад кожнай іншай пляцоўкі і абмяжуйце тое, што яго шлюз будзе перасылаць. Стабільны канцавы пункт цэнтра спрашчае выяўленне і нічога не робіць для праектавання маршрутызацыі, планавання адрасоў або пытання, якія маршруты праграм перажывуць пераключэнне.

Запішыце ў інструкцыю чатыры рэчы: хто пачынае, якія прэфіксы дазволеныя, колькі доўжыцца захаванне злучэння і што адбываецца, калі асноўны канал падае. Менавіта гэтыя радкі патрэбны будучаму аператару ў тры гадзіны ночы.

Падобныя артыкулы