WireGuard 5G en la sucursal: que la sucursal marque al concentrador

Apuntar una sucursal hacia un concentrador es la mitad fácil de este diseño cuando la sucursal está detrás de una dirección móvil cambiante y el concentrador tiene un nombre estable. Entonces el concentrador aprende la sucursal del tráfico autenticado, en lugar de un registro que usted debe mantener actualizado. El contrato es simple: la sucursal siempre inicia.

Configúrelo a propósito y luego verifique la parte que la gente supone que funciona. Ambos pasos llevan minutos, y es en el segundo donde estos diseños suelen fallar.

Qué lado tiene el extremo estable

La configuración de la sucursal nombra el extremo y la clave pública del concentrador. La configuración del concentrador nombra la clave pública de la sucursal y sus prefijos internos permitidos, y puede no llevar ningún extremo, porque la identidad viene de la clave y no de la dirección de origen del último paquete. Esa asimetría es todo el mecanismo, y elimina toda una clase de problemas de descubrimiento del lado del concentrador.

Cuando la sucursal envía un paquete autenticado, el concentrador registra el origen del que llegó y usa ese mapeo para las respuestas. Renumerar el enlace móvil entonces no cuesta nada más allá del siguiente saludo, y cada componente que ya no necesita es uno que no puede fallar durante un cambio. Esa propiedad merece probarse durante un cambio planificado y no durante un incidente. Hágalo mientras alguien pueda mirar ambos extremos a la vez.

De a la sucursal una configuración que sobreviva a la renumeración

Mantenga el extremo y el keepalive en la sucursal, y mantenga la entrada del par del concentrador libre de una dirección codificada de forma fija. El keepalive mantiene el mapeo traducido abierto el tiempo suficiente para que el concentrador envíe tráfico no solicitado tras un periodo inactivo.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Veinticinco segundos es el ejemplo que se cita a menudo para mantener vivo un mapeo NAT, no un requisito para cada par. Fíjelo según el tiempo de espera del mapeo que observe realmente, y recuerde que genera tráfico en un enlace con límite de datos mientras la interfaz esté activa.

En el concentrador, los prefijos permitidos del par de la sucursal deben cubrir todo lo que enviará la sucursal. Un prefijo ausente se comporta como un fallo de enrutamiento en el extremo lejano y no produce ningún aviso en ninguno de los dos lados, por lo que vale la pena revisarlo antes del primer paquete real. Compare los prefijos permitidos del concentrador con las direcciones de interfaz de la sucursal antes de la primera conexión.

Verifique el mapeo y la conmutación por error

Confirme que el saludo se completa, que el concentrador lista el extremo actual de la sucursal y que las direcciones internas de la sucursal son alcanzables a través del túnel. Esa es la línea base, y debería registrarse antes de que alguien toque el enlace móvil. Dos líneas de salida son suficientes. Guárdelas en el ticket con la marca de tiempo.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Luego pruebe el fallo para el que existe el diseño. Retire el WAN principal y confirme que la ruta subyacente de la sucursal hacia el concentrador ahora sale por la interfaz móvil. Un túnel no puede reparar un camino físico roto, así que una ruta exterior que todavía apunta a un enlace ascendente muerto produce un tiempo de espera de saludo que parece exactamente un problema del concentrador.

Si el camino exterior está ligado explícitamente o enrutado por política, la conmutación por error tiene que incluirlo. Esa brecha entre un diseño que se lee correctamente y uno que sobrevive a una caída suele ser lo único que falta.

Qué no resuelve este diseño

Nada aquí permite una conexión entrante hacia la sucursal. Si algo en la sede central debe marcar el sitio móvil, la dirección del túnel es incorrecta para ese requisito, y el DNS dinámico solo actualiza un nombre. La traducción del proveedor, la política de entrada y la actualización del extremo por parte del cliente siguen en el camino, y un registro cambiado no puede abrir un NAT de nivel de operador.

Mantenga el prefijo de la sucursal distinto de cualquier otro sitio, y limite lo que reenviará su puerta de enlace. El extremo estable del concentrador simplifica el descubrimiento y no hace nada por el diseño de enrutamiento, la planificación de direcciones ni la cuestión de qué rutas de aplicación sobreviven a una conmutación.

Escriba cuatro cosas en el manual: quién inicia, qué prefijos se permiten, cuánto dura el keepalive y qué pasa cuando cae el enlace principal. Esas líneas son lo que un operador futuro realmente necesita a las tres de la madrugada.