WireGuard 5G -sivukonttori: anna sivukonttorin soittaa keskittimelle

Sivukonttorin osoittaminen keskittimeen on tämän suunnittelun helppo puoli, kun sivukonttori on vaihtuvan matkapuhelinosoitteen takana ja keskittimellä on vakaa nimi. Silloin keskitin oppii sivukonttorin todennetusta liikenteestä eikä tietueesta, jota sinun on pidettävä ajan tasalla. Sopimus on yksinkertainen: sivukonttori aloittaa aina.

Määritä se tarkoituksella ja varmenna sitten se osa, jonka ihmiset olettavat toimivan. Molemmat vaiheet vievät minuutteja, ja toisessa nämä suunnitelmat yleensä epäonnistuvat.

Kumpi puoli pitää vakaan päätepisteen

Sivukonttorin määritys nimeää keskittimen päätepisteen ja sen julkisen avaimen. Keskittimen määritys nimeää sivukonttorin julkisen avaimen ja sen sallitut sisäiset etuliitteet, eikä siinä välttämättä ole päätepistettä lainkaan, koska identiteetti tulee avaimesta eikä viimeisen paketin lähdeosoitteesta. Tämä epäsymmetria on koko mekanismi, ja se poistaa kokonaisen löytämisongelmien luokan keskittimen puolelta.

Kun sivukonttori lähettää todennetun paketin, keskitin kirjaa lähteen, josta se saapui, ja käyttää tätä yhdistämistä vastauksiin. Matkapuhelinlinkin uudelleennumerointi ei silloin maksa mitään seuraavan kättelyn lisäksi, ja jokainen komponentti, jota et enää tarvitse, on sellainen, joka ei voi pettää siirtymän aikana. Tämä ominaisuus kannattaa testata suunnitellun muutoksen aikana eikä häiriön aikana. Tee se, kun joku voi seurata molempia päitä yhtä aikaa.

Anna sivukonttorille määritys, joka kestää uudelleennumeroinnin

Pidä päätepiste ja keepalive sivukonttorissa ja pidä keskittimen vertaismerkintä ilman kovakoodattua osoitetta. Keepalive pitää käännetyn yhdistämisen auki tarpeeksi kauan, jotta keskitin voi lähettää pyytämätöntä liikennettä joutokäynnin jälkeen.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Kaksikymmentäviisi sekuntia on usein siteerattu esimerkki NAT-yhdistämisen pitämisestä elossa, ei vaatimus jokaiselle vertaiselle. Aseta se sen yhdistämisen aikakatkaisun mukaan, jonka todella havaitset, ja muista, että se tuottaa liikennettä datarajoitteisella linkillä niin kauan kuin liitäntä on ylhäällä.

Keskittimessä sivukonttorin vertaisen sallittujen etuliitteiden on katettava kaikki, mitä sivukonttori lähettää. Puuttuva etuliite käyttäytyy kuin reititysvirhe kauempana päässä eikä tuota varoitusta kummallakaan puolella, minkä vuoksi se kannattaa tarkistaa ennen ensimmäistä todellista pakettia. Vertaa keskittimen sallittuja etuliitteitä sivukonttorin liitäntäosoitteisiin ennen ensimmäistä yhteyttä.

Varmenna yhdistäminen ja vikasieto

Vahvista, että kättely suoritetaan loppuun, että keskitin listaa sivukonttorin nykyisen päätepisteen ja että sivukonttorin sisäiset osoitteet ovat tavoitettavissa tunnelin kautta. Se on perustaso, ja se pitäisi kirjata ennen kuin kukaan koskee matkapuhelinlinkkiin. Kaksi riviä tulostetta riittää. Pidä ne tiketissä aikaleiman kanssa.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Testaa sitten se vika, jota varten suunnitelma on olemassa. Irrota ensisijainen WAN ja vahvista, että sivukonttorin taustalla oleva reitti keskittimelle kulkee nyt matkapuhelinliitännän kautta. Tunneli ei voi korjata rikkoutunutta fyysistä polkua, joten kuolleeseen ylälinkkiin yhä osoittava ulompi reitti tuottaa kättelyn aikakatkaisun, joka näyttää täsmälleen keskittimen ongelmalta.

Jos ulompi polku on nimenomaisesti sidottu tai käytäntöreititetty, vikasiedon on sisällettävä se. Se ero oikein luettavan suunnitelman ja katkoksen kestävän suunnitelman välillä on yleensä ainoa puuttuva asia.

Mitä tämä suunnitelma ei ratkaise

Mikään tässä ei salli saapuvaa yhteyttä sivukonttoriin. Jos pääkonttorissa jonkin on soitettava matkapuhelinsijaintiin, tunnelin suunta on väärä tälle vaatimukselle, ja dynaaminen DNS päivittää vain nimen. Palveluntarjoajan käännös, saapuva käytäntö ja asiakkaan päätepisteen päivitys pysyvät kaikki tiellä, eikä muuttunut tietue voi avata operaattoritason NAT:ia.

Pidä sivukonttorin etuliite erillään kaikista muista sijainneista ja rajoita, mitä sen yhdyskäytävä välittää. Keskittimen vakaa päätepiste yksinkertaistaa löytämistä eikä tee mitään reitityssuunnittelulle, osoitesuunnittelulle tai kysymykselle siitä, mitkä sovellusreitit kestävät vikasiedon.

Kirjoita runbookiin neljä asiaa: kuka aloittaa, mitkä etuliitteet ovat sallittuja, kuinka pitkä keepalive on ja mitä tapahtuu, kun ensisijainen linkki putoaa. Juuri ne rivit ovat se, mitä tuleva operaattori todella tarvitsee kolmelta aamuyöllä.