WireGuard 5G sukurtsala: utzi sukurtsalari zentroa deitzen

Sukurtsala zentro baterantz bideratzea diseinu honen erdi erraza da sukurtsala aldatzen ari den mugikor helbide baten atzean dagoenean eta zentroak izen egonkorra duenean. Orduan zentroak sukurtsala trafiko autentifikatutik ikasten du, eguneratuta mantendu behar duzun erregistro batetik beharrean. Kontratua sinplea da: sukurtsalak beti hasten du.

Konfiguratu nahita eta gero egiaztatu jendeak funtzionatzen duela suposatzen duen zatia. Bi pausoek minutu batzuk hartzen dituzte, eta bigarrenean huts egiten dute diseinu hauek normalean.

Zein aldeak du amaiera-puntu egonkorra

Sukurtsalaren konfigurazioak zentroaren amaiera-puntua eta haren gako publikoa aipatzen ditu. Zentroaren konfigurazioak sukurtsalaren gako publikoa eta haren barne-prefix onartuak aipatzen ditu, eta baliteke amaiera-punturik ez izatea, identitatea gakotik baitator, ez azken paketearen iturburu-helbidetik. Asimetria hori da mekanismo osoa, eta aurkikuntza-arazo klase oso bat kentzen du zentroaren aldetik.

Sukurtsalak pakete autentifikatu bat bidaltzen duenean, zentroak erregistratzen du zein iturburutik iritsi zen eta mapa hori erabiltzen du erantzunetarako. Mugikor lotura berriro zenbakitzeak ez du ezer balio hurrengo esku-emateaz harago, eta jada behar ez duzun osagai bakoitza huts egin ezin duen bat da. Propietate hori aldaketa programatu batean probatzea merezi du, ez gertakari batean. Egin ezazu norbaitek bi muturrak aldi berean ikus ditzakeenean.

Eman sukurtsalari berriro zenbakitzea gainditzen duen konfigurazioa

Eduki amaiera-puntua eta keepalive sukurtsalean, eta eduki zentroaren pareko sarrera helbide gogor kodifikaturik gabe. Keepalive-k itzulitako mapa irekita edukitzen du zentroak tarte inaktibo baten ondoren eskatu gabeko trafikoa bidal dezan.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Hogeita bost segundo NAT mapa bizirik mantentzeko sarri aipatzen den adibidea da, ez pare bakoitzarentzat baldintza. Ezarri benetan ikusten duzun maparen denbora-mugaren arabera, eta gogoratu datu-muga duen lotura batean trafikoa sortzen duela interfazea aktibo dagoen bitartean.

Zentroan, sukurtsalaren parekoaren prefix onartuek sukurtsalak bidaliko duen guztia estali behar dute. Falta den prefix batek urrutiko muturrean bideratze-hutsegitea bezala jokatzen du eta ez du abisurik sortzen inongo aldean, horregatik merezi du lehen pakete erreala baino lehen berrikustea. Alderatu zentroaren prefix onartuak sukurtsalaren interfaze-helbideekin lehen konexioaren aurretik.

Egiaztatu mapa eta hutsegite-konmutazioa

Berretsi esku-ematea osatzen dela, zentroak sukurtsalaren uneko amaiera-puntua zerrendatzen duela eta sukurtsalaren barne-helbideak tunelaren bidez irisgarriak direla. Hori da oinarrizko lerroa, eta norbaitek mugikor lotura ukitu aurretik erregistratu beharko litzateke. Irteerako bi lerro nahikoa dira. Gorde itzazu txartelean denbora-markarekin.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Ondoren probatu diseinua existitzen den hutsegitea. Atera WAN nagusia eta berretsi sukurtsalaren zentroarekiko azpiko bideak orain interfaze mugikorretik irteten duela. Tunelak ezin du hautsitako bide fisiko bat konpondu, beraz hildako goiko lotura batera oraindik seinalatzen duen kanpoko bide batek esku-ematearen denbora-muga sortzen du, zentroaren arazo baten itxura zehatza duena.

Kanpoko bidea espresuki lotuta edo politika bidez bideratuta badago, hutsegite-konmutazioak hura barne hartu behar du. Zuzen irakurtzen den diseinu baten eta eten bat gainditzen duen baten arteko hutsune hori da normalean falta den gauza bakarra.

Zer ez duen diseinu honek konpontzen

Ezerk ez du hemen sukurtsalerako sarrerako konexiorik onartzen. Bulego nagusian zerbait lekua mugikorrera deitu behar badu, tunelaren norabidea okerra da baldintza horretarako, eta DNS dinamikoak izen bat baino ez du eguneratzen. Hornitzailearen itzulpena, sarrerako politika eta bezeroaren amaiera-puntuaren eguneratzea bidean geratzen dira, eta erregistro aldatuek ezin dute operadore mailako NAT bat ireki.

Eduki sukurtsalaren prefixa beste edozein gunetatik bereizita, eta mugatu bere ateak aurreratuko duena. Zentroaren amaiera-puntu egonkorrak aurkikuntza sinplifikatzen du eta ez du ezer egiten bideratze-diseinurako, helbide-plangintzarako edo zein aplikazio-bidek gainditzen duten konmutazio bat galderarako.

Idatzi lau gauza runbookean: nork hasten duen, zein prefix onartzen diren, zenbat irauten duen keepalive-k eta zer gertatzen den lotura nagusia erortzen denean. Lerro horiek dira etorkizuneko operadore batek goizeko hiruretan benetan behar duena.