WireGuard 5G harukontor: lase harukontoril jaoturit ise kutsuda

Kui harukontor kutsub jaoturit, ei pea jaotur kunagi tuvastama muutuvat mobiilset aadressi. Seadista, kontrolli ja vaata siis, mida see ei lahenda.

Harukontori suunamine jaoturi poole on selle kavandi lihtne pool, kui harukontor asub muutuva mobiilse aadressi taga ja jaoturil on püsiv nimi. Siis õpib jaotur harukontori tundma autenditud liiklusest, mitte kirjest, mida peate ajakohasena hoidma. Leping on lihtne: harukontor algatab alati.

Seadista see teadlikult ja kontrolli siis seda osa, mille kohta inimesed eeldavad, et see töötab. Mõlemad sammud võtavad minuteid ja just teises kukuvad need kavandid tavaliselt läbi.

Kumb pool hoiab püsivat lõpp-punkti

Harukontori seadistus nimetab jaoturi lõpp-punkti ja avaliku võtme. Jaoturi seadistus nimetab harukontori avaliku võtme ja selle lubatud sisemised prefiksid ning võib üldse lõpp-punkti mitte sisaldada, sest identiteet tuleb võtmest, mitte viimase paketi lähteaadressist. See asümmeetria on kogu mehhanism ja see eemaldab jaoturi poolelt terve klassi avastamisprobleeme.

Kui harukontor saadab autenditud paki, märgib jaotur üles allika, kust see saabus, ja kasutab seda vastete jaoks. Mobiilse lingi ümbernummerdamine ei maksa siis midagi peale järgmise kätlemise, ja iga komponent, mida te enam ei vaja, on selline, mis ei saa ülemineku ajal katki minna. See omadus on väärt testimist planeeritud muudatuse ajal, mitte juhtumi ajal. Tehke seda siis, kui keegi saab mõlemat otsa korraga jälgida.

Anna harukontorile seadistus, mis peab vastu ümbernummerdamisele

Hoia lõpp-punkt ja keepalive harukontori küljes ning hoia jaoturi partnerikirje ilma kõvakodeeritud aadressita. Keepalive hoiab tõlgitud vastet piisavalt kaua lahti, et jaotur saaks pärast jõudeperioodi saata soovimata liiklust.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Kakskümmend viis sekundit on sageli tsiteeritud näide NAT-vaste elus hoidmiseks, mitte nõue iga partneri jaoks. Sea see selle vastete ajalõpu järgi, mida te tegelikult näete, ja pidage meeles, et see tekitab liiklust andmemahupiiranguga lingil seni, kuni liides on üleval.

Jaoturis peavad harukontori partneri lubatud prefiksid katma kõik, mida harukontor saadab. Puuduv prefiks käitub kaugemas otsas marsruutimistõrkena ja ei anna kummaski otsas hoiatust, mistõttu tasub seda enne esimest päris paketti üle vaadata. Võrrelge jaoturi lubatud prefikse harukontori liidese aadressidega enne esimest ühendust.

Kontrolli vastet ja ümberlülitust

Kinnitage, et kätlemine lõpeb, et jaotur loetleb harukontori praeguse lõpp-punkti ja et harukontori sisemised aadressid on tunneli kaudu kättesaadavad. See on baasjoon ja see tuleks kirja panna enne, kui keegi mobiilset linki puudutab. Kahest väljundireast piisab. Hoidke neid piletil koos ajatempliga.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Seejärel testige tõrget, mille jaoks kavand olemas on. Tõmmake peamine WAN välja ja kinnitage, et harukontori alusmarsruut jaoturi poole väljub nüüd mobiilse liidese kaudu. Tunnel ei saa katkist füüsilist teed parandada, seega surnud üleslingile osutav väline marsruut tekitab kätlemise ajalõpu, mis näeb välja täpselt nagu jaoturi probleem.

Kui väline tee on selgesõnaliselt seotud või poliitikapõhiselt marsruuditud, peab ümberlülitus selle kaasama. See vahe õigesti loetava kavandi ja katkestuse üle elava kavandi vahel on tavaliselt ainus puuduv asi.

Mida see kavand ei lahenda

Miski siin ei luba sissetulevat ühendust harukontorisse. Kui peakontoris peab miski mobiilsesse asukohta helistama, on tunneli suund selle nõude jaoks vale ja dünaamiline DNS uuendab ainult nime. Teenusepakkuja tõlge, sissetulev poliitika ja kliendi lõpp-punkti värskendus jäävad kõik ette ning muudetud kirje ei saa operaatoritasemel NAT-i avada.

Hoidke harukontori prefiks igast teisest asukohast eraldi ja piirake, mida selle lüüs edasi saadab. Jaoturi püsiv lõpp-punkt lihtsustab avastamist ega tee midagi marsruutimiskavandi, aadresside planeerimise ega küsimuse jaoks, millised rakenduste marsruudid ümberlülituse üle elavad.

Kirjutage runbooki neli asja: kes algatab, millised prefiksid on lubatud, kui pikk on keepalive ja mis juhtub, kui peamine link maha kukub. Just need read on see, mida tulevane operaator kell kolm öösel tõesti vajab.

Seotud artiklid