WireGuard 5G-filio: lasu la filion alvoki la nabon

Direkti filion al nabo estas la facila duono de ĉi tiu dezajno, kiam la filio staras malantaŭ ŝanĝiĝanta poŝtelefona adreso kaj la nabo tenas stabilan nomon. Tiam la nabo lernas la filion el aŭtentigita trafiko, anstataŭ el rikordo, kiun vi devas teni ĝisdatigita. La kontrakto estas simpla: la filio ĉiam komencas.

Agordu ĝin intence, poste kontrolu la parton, kiun homoj supozas funkcii. Ambaŭ paŝoj daŭras minutojn, kaj ĉe la dua ĉi tiuj dezajnoj kutime malsukcesas.

Kiu flanko tenas la stabilan finpunkton

La agordo de la filio nomas la finpunkton kaj la publikan ŝlosilon de la nabo. La agordo de la nabo nomas la publikan ŝlosilon de la filio kaj ĝiajn permesitajn internajn prefiksojn, kaj ĝi povas tute ne havi finpunkton, ĉar identeco venas de la ŝlosilo kaj ne de la fontadreso de la lasta pako. Tiu nesimetrio estas la tuta mekanismo, kaj ĝi forigas tutan klason de malkovraj problemoj ĉe la nabo.

Kiam la filio sendas aŭtentigitan pakon, la nabo registras la fonton, de kiu ĝi alvenis, kaj uzas tiun mapadon por respondoj. Renumerigi la poŝtelefona ligilon tiam kostas nenion krom la sekva manpremo, kaj ĉiu komponanto, kiun vi jam ne bezonas, estas tiu, kiu ne povas malsukcesi dum transiro. Tiu eco indas esti testata dum planita ŝanĝo kaj ne dum okazaĵo. Faru ĝin dum iu povas observi ambaŭ finojn samtempe.

Donu al la filio agordon, kiu postvivas renumerigon

Tenu la finpunkton kaj la keepalive ĉe la filio, kaj tenu la peer-rikordon de la nabo sen malmola adreso. La keepalive tenas la tradukitan mapadon malfermita sufiĉe longe, por ke la nabo povu sendi nemenditan trafikon post senokupa periodo.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Dudek kvin sekundoj estas la ofte citita ekzemplo por teni NAT-mapadon viva, ne postulo por ĉiu peer. Starigu ĝin laŭ la mapada tempolimo, kiun vi efektive observas, kaj memoru, ke ĝi generas trafikon sur limigita ligilo dum la interfaco estas aktiva.

Ĉe la nabo, la permesitaj prefiksoj de la filia peer devas kovri ĉion, kion la filio sendos. Mankanta prefikso kondutas kiel vojiga paneo ĉe la malproksima fino kaj produktas neniun averton ĉe ajna flanko, tial indas revizii ĝin antaŭ la unua reala pako. Komparu la permesitajn prefiksojn de la nabo kun la interfacaj adresoj de la filio antaŭ la unua konekto.

Kontrolu la mapadon kaj la ŝanĝan trairon

Konfirmu, ke la manpremo finiĝas, ke la nabo listigas la nunan finpunkton de la filio kaj ke la internaj adresoj de la filio estas atingeblaj tra la tunelo. Tio estas la bazlinio, kaj ĝi devus esti registrita antaŭ ol iu tuŝos la poŝtelefona ligilon. Du linioj da eligo sufiĉas. Konservu ilin en la bileto kun la tempostampo.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Poste testu la paneon, por kiu la dezajno ekzistas. Eltiru la ĉefan WAN kaj konfirmu, ke la suba vojo de la filio al la nabo nun eliras tra la poŝtelefona interfaco. Tunelo ne povas ripari rompitan fizikan vojon, do ekstera vojo ankoraŭ montranta al morta suprenligo produktas manpreman tempolimon, kiu aspektas ĝuste kiel naba problemo.

Se la ekstera vojo estas eksplicite ligita aŭ politikigita, la ŝanĝa trairo devas inkluzivi ĝin. Tiu breĉo inter dezajno, kiu legiĝas ĝuste, kaj unu, kiu postvivas interrompon, estas kutime la sola mankanta afero.

Kion ĉi tiu dezajno ne solvas

Nenio ĉi tie enlasas envenantan konekton al la filio. Se io en la ĉefsidejo devas voki la poŝtelefonan ejon, la tunela direkto estas malĝusta por tiu postulo, kaj dinamika DNS nur ĝisdatigas nomon. Provizanta traduko, envenanta politiko kaj la finpunkta refreŝigo de la kliento ĉiuj restas sur la vojo, kaj ŝanĝita rikordo ne povas malfermi NAT de operatora nivelo.

Tenu la filian prefikson aparta de ĉiu alia ejo, kaj limigu, kion ĝia enirejo plusendos. La stabila naba finpunkto simpligas malkovron kaj faras nenion por vojiga dezajno, adresa planado aŭ la demando, kiuj aplikaĵaj vojoj postvivas ŝanĝan trairon.

Skribu kvar aferojn en la gvidlibron: kiu komencas, kiuj prefiksoj estas permesitaj, kiom longe daŭras la keepalive kaj kio okazas, kiam la ĉefa ligilo falas. Tiuj linioj estas tio, kion estonta operatoro vere bezonas je la tria matene.