WireGuard 5G podružnica: neka podružnica sama poziva hub

Usmjeriti podružnicu na hub laka je polovina ovog dizajna kada podružnica stoji iza promjenljive mobilne adrese, a hub drži stabilno ime. Hub tada uči podružnicu iz autentificiranog saobraćaja, umjesto iz zapisa koji morate stalno ažurirati. Ugovor je jednostavan: podružnica uvijek počinje.

Konfigurirajte ga namjerno, a zatim provjerite dio za koji ljudi pretpostavljaju da radi. Oba koraka traju nekoliko minuta, a drugi je mjesto gdje ovi dizajni obično padaju.

Koja strana drži stabilnu krajnju tačku

Konfiguracija podružnice navodi krajnju tačku huba i njegov javni ključ. Konfiguracija huba navodi javni ključ podružnice i njene dozvoljene unutrašnje prefikse, a može i ne sadržavati nikakvu krajnju tačku, jer identitet dolazi iz ključa, a ne iz izvorne adrese posljednjeg paketa. Ta asimetrija je cijeli mehanizam i uklanja cijelu klasu problema s otkrivanjem na strani huba.

Kada podružnica pošalje autentificirani paket, hub bilježi izvor s kojeg je stigao i koristi to mapiranje za odgovore. Ponovno numeriranje mobilne veze tada ne košta ništa osim sljedećeg rukovanja, a svaka komponenta koja vam više ne treba je ona koja ne može pasti tokom prelaska. Tu osobinu vrijedi testirati tokom planirane promjene, a ne tokom incidenta. Uradite to dok neko može istovremeno gledati oba kraja.

Dajte podružnici konfiguraciju koja preživljava ponovno numeriranje

Držite krajnju tačku i keepalive na podružnici, a unos partnera na hubu držite bez tvrdo kodirane adrese. Keepalive drži prevedeno mapiranje otvorenim dovoljno dugo da hub nakon perioda mirovanja pošalje neželjeni saobraćaj.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Dvadeset pet sekundi je često citiran primjer za održavanje NAT mapiranja živim, ne zahtjev za svakog partnera. Postavite ga prema vremenskom ograničenju mapiranja koje stvarno vidite, i zapamtite da stvara saobraćaj na vezi s ograničenim podacima dok je interfejs uključen.

Na hubu dozvoljeni prefiksi partnera podružnice moraju pokrivati sve što će podružnica poslati. Prefiks koji nedostaje ponaša se kao greška usmjeravanja na udaljenom kraju i ne proizvodi nikakvo upozorenje ni na jednoj strani, zbog čega ga vrijedi pregledati prije prvog stvarnog paketa. Uporedite dozvoljene prefikse huba s adresama interfejsa podružnice prije prve veze.

Provjerite mapiranje i prebacivanje

Potvrdite da rukovanje završava, da hub navodi trenutnu krajnju tačku podružnice i da su unutrašnje adrese podružnice dostupne kroz tunel. To je osnovna linija i treba je zabilježiti prije nego što iko dirne mobilnu vezu. Dva reda izlaza su dovoljna. Držite ih u kartici zajedno s vremenskom oznakom.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Zatim testirajte kvar zbog kojeg dizajn postoji. Izvucite primarni WAN i potvrdite da izvorna ruta podružnice prema hubu sada ide kroz mobilni interfejs. Tunel ne može popraviti pokvaren fizički put, pa vanjska ruta koja još pokazuje na mrtvu uzlaznu vezu proizvodi tajmaut rukovanja koji izgleda tačno kao problem huba.

Ako je vanjski put izričito vezan ili usmjeren politikom, prebacivanje mora uključivati i njega. Taj jaz između dizajna koji se ispravno čita i onog koji preživljava ispad obično je jedina stvar koja nedostaje.

Šta ovaj dizajn ne rješava

Ništa ovdje ne dopušta dolaznu vezu prema podružnici. Ako nešto u sjedištu mora pozvati mobilnu lokaciju, smjer tunela je pogrešan za taj zahtjev, a dinamički DNS samo ažurira ime. Prevođenje provajdera, dolazna politika i osvježavanje krajnje tačke od strane klijenta sve ostaju na putu, a promijenjeni zapis ne može otvoriti NAT operatorskog nivoa.

Držite prefiks podružnice odvojen od svake druge lokacije i ograničite šta će njen pristupnik prosljeđivati. Stabilna krajnja tačka huba pojednostavljuje otkrivanje i ne čini ništa za dizajn usmjeravanja, planiranje adresa ili pitanje koje rute aplikacija preživljavaju prebacivanje.

Upišite četiri stvari u priručnik: ko počinje, koji su prefiksi dozvoljeni, koliko traje keepalive i šta se dešava kada primarna veza padne. Ti redovi su ono što budućem operateru zaista treba u tri sata ujutro.