WireGuard 5G a la sucursal: que sigui la sucursal qui marqui el concentrador

Apuntar una sucursal cap a un concentrador és la meitat fàcil d’aquest disseny quan la sucursal és darrere d’una adreça mòbil canviant i el concentrador té un nom estable. Llavors el concentrador aprèn la sucursal del trànsit autenticat, en lloc d’un registre que hàgiu de mantenir actualitzat. El contracte és simple: la sucursal sempre inicia.

Configureu-lo deliberadament i després verifiqueu la part que la gent suposa que funciona. Els dos passos costen minuts, i el segon és on aquests dissenys solen fallar.

Quin costat té l’extrem estable

La configuració de la sucursal anomena l’extrem del concentrador i la seva clau pública. La configuració del concentrador anomena la clau pública de la sucursal i els seus prefixos interns permesos, i pot no portar cap extrem, perquè la identitat ve de la clau i no de l’adreça d’origen de l’últim paquet. Aquesta asimetria és tot el mecanisme, i elimina tota una classe de problemes de descoberta pel costat del concentrador.

Quan la sucursal envia un paquet autenticat, el concentrador enregistra l’origen d’on ha arribat i fa servir aquest mapatge per a les respostes. Renumerar l’enllaç mòbil llavors no costa res més enllà del següent encaix de mans, i cada component que ja no necessiteu és un que no pot fallar durant una commutació. Aquesta propietat val la pena provar-la durant un canvi planificat i no durant un incident. Feu-ho mentre algú pugui mirar els dos costats alhora.

Doneu a la sucursal una configuració que sobrevisqui a la renumeració

Mantingueu l’extrem i el keepalive a la sucursal, i mantingueu l’entrada de parell del concentrador lliure d’una adreça codificada fixament. El keepalive manté el mapatge traduït obert prou temps perquè el concentrador pugui enviar trànsit no sol·licitat després d’un període inactiu.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Vint-i-cinc segons és l’exemple que se sol citar per mantenir viu un mapatge NAT, no un requisit per a cada parell. Fixeu-lo segons el temps d’espera de mapatge que observeu realment, i recordeu que genera trànsit en un enllaç amb límit de dades mentre la interfície estigui activa.

Al concentrador, els prefixos permesos del parell de la sucursal han de cobrir tot el que enviarà la sucursal. Un prefix que falta es comporta com una fallada d’encaminament a l’extrem llunyà i no produeix cap avís en cap dels dos costats, i per això val la pena revisar-ho abans del primer paquet real. Compareu els prefixos permesos del concentrador amb les adreces d’interfície de la sucursal abans de la primera connexió.

Verifiqueu el mapatge i la commutació per error

Confirmeu que l’encaix de mans es completa, que el concentrador llista l’extrem actual de la sucursal i que les adreces internes de la sucursal són accessibles pel túnel. Aquesta és la línia base, i cal enregistrar-la abans que ningú toqui l’enllaç mòbil. Dues línies de sortida són suficients. Guardeu-les al tiquet amb la marca de temps.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

A continuació proveu la fallada per a la qual existeix el disseny. Traieu el WAN principal i confirmeu que la ruta subjacent de la sucursal cap al concentrador ara surt per la interfície mòbil. Un túnel no pot reparar un camí físic trencat, així que una ruta externa que encara apunta a un enllaç mort produeix un temps d’espera d’encaix de mans que sembla exactament un problema del concentrador.

Si el camí extern està lligat explícitament o encaminat per política, la commutació per error ha d’incloure’l. Aquest buit entre un disseny que es llegeix correctament i un que sobreviu a una caiguda sol ser l’única cosa que falta.

Què no resol aquest disseny

Res d’aquí no admet una connexió entrant cap a la sucursal. Si alguna cosa a la seu central ha de marcar el lloc mòbil, la direcció del túnel és equivocada per a aquest requisit, i el DNS dinàmic només actualitza un nom. La traducció del proveïdor, la política d’entrada i l’actualització de l’extrem pel client continuen pel mig, i un registre canviat no pot obrir un NAT de nivell d’operador.

Mantingueu el prefix de la sucursal diferent de qualsevol altre lloc, i limiteu què reenviarà la seva passarel·la. L’extrem estable del concentrador simplifica la descoberta i no fa res per al disseny d’encaminament, la planificació d’adreces o la qüestió de quines rutes d’aplicació sobreviuen a una commutació.

Escriviu quatre coses al manual: qui inicia, quins prefixos es permeten, quant dura el keepalive i què passa quan cau l’enllaç principal. Aquestes línies són el que un operador futur necessita de debò a les tres de la matinada.