WireGuard 5G-ôfdieling: lit de ôfdieling de hub skilje

In ôfdieling op in hub rjochtsje is de maklike helte fan dit ûntwerp as de ôfdieling efter in feroarjend mobyl adres sit en de hub in stabile namme hat. Dan leart de hub de ôfdieling út autentisearre ferkear, ynstee fan út in record dat jo byhâlde moatte. It kontrakt is ienfâldich: de ôfdieling begjint altyd.

Konfigurearje it bewust en ferifiearje dan it part dat minsken oannimme dat it wurket. Beide stappen nimme minuten, en it is by de twadde dat dizze ûntwerpen meastentiids mislearje.

Hokker kant hâldt it stabile einpunt

De konfiguraasje fan de ôfdieling neamt it einpunt en de iepenbiere kaai fan de hub. De konfiguraasje fan de hub neamt de iepenbiere kaai fan de ôfdieling en har tastiene ynterne foarheaksels, en hy hoecht hielendal gjin einpunt te hawwen, om’t identiteit út de kaai komt en net út it boarne-adres fan it lêste pakket. Dy asymmetry is it hiele meganisme, en it hellet in hiele klasse fan ûntdekkingsproblemen by de hub wei.

As de ôfdieling in autentisearre pakket stjoert, registrearret de hub de boarne dêr’t it wei kaam en brûkt dy mapping foar antwurden. It opnij nûmerjen fan ’e mobyle keppeling kostet dan neat oars as de folgjende hânskud, en elk komponint dat jo net mear nedich hawwe is ien dat by in omskeakeling net mislearje kin. Dy eigenskip is it wurdich om by in plande feroaring te testen en net by in ynsidint. Doch it wylst immen beide einen tagelyk besjen kin.

Jou de ôfdieling in konfiguraasje dy’t opnij nûmerjen oerlibbet

Hâld it einpunt en de keepalive by de ôfdieling, en hâld de peer-ynfier fan de hub frij fan in hurd kodearre adres. De keepalive hâldt de oersetten mapping langernôch iepen sadat de hub nei in rêstperioade ûnfrege ferkear stjoere kin.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Fiifentweintich sekonden is it faak oanhelle foarbyld om in NAT-mapping libben te hâlden, net in eask foar elke peer. Set it neffens de mapping-timeout dy’t jo echt sjogge, en tink derom dat it ferkear generearret op in keppeling mei datalimyt salang’t de ynterface oan stiet.

By de hub moatte de tastiene foarheaksels fan ’e peer fan ’e ôfdieling alles dekke wat de ôfdieling stjoere sil. In ûntbrekkend foarheaksel hâldt him as in routingflater oan de fiere kant en jout oan gjin inkele kant in warskôging, en dêrom is it it wurdich om it foar it earste echte pakket te besjen. Fergelykje de tastiene foarheaksels fan de hub mei de ynterface-adressen fan de ôfdieling foar de earste ferbining.

Ferifiearje de mapping en de failover

Befêstigje dat it hânskud foltôge wurdt, dat de hub it hjoeddeiske einpunt fan de ôfdieling listet en dat de ynterne adressen fan de ôfdieling fia de tunnel berikber binne. Dat is de basisline, en dy moat fêstlein wurde foardat immen de mobyle keppeling oanrekket. Twa rigels útfier binne genôch. Hâld se by it ticket mei de tiidstimpel.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Test dan de flater dêr’t it ûntwerp foar bestiet. Lûk it primêre WAN derút en befêstigje dat de ûnderlizzende rûte fan de ôfdieling nei de hub no fia de mobyle ynterface giet. In tunnel kin in brutsen fysike paad net reparearje, dus in bûtenrûte dy’t noch nei in deade uplink wiist, jout in hânskud-timeout dy’t der krekt as in hub-probleem útsjocht.

As it bûtenpaad eksplisyt bûn of beliedsrûte is, moat de failover it omfetsje. Dat gat tusken in ûntwerp dat goed lêst en ien dat in útfal oerlibbet is meastentiids it iennichste dat mist.

Wat dit ûntwerp net oplost

Neat hjir lit in ynkommende ferbining nei de ôfdieling ta. As iets by it haadkantoar de mobyle lokaasje skilje moat, is de tunnelrjochting ferkeard foar dy eask, en dynamyske DNS fernijt allinnich in namme. Oersetting fan de provider, ynkommend belied en it fernijen fan it einpunt troch de klant steane allegear yn ’e wei, en in feroare record kin gjin NAT fan operatorklasse iepenje.

Hâld it foarheaksel fan de ôfdieling apart fan elke oare lokaasje, en behein wat syn gateway trochjaan sil. It stabile einpunt fan de hub ferienfâldiget ûntdekking en docht neat foar routingûntwerp, adresplanning of de fraach hokker applikaasjerûtes in failover oerlibje.

Skriuw fjouwer dingen yn ’e runbook: wa’t begjint, hokker foarheaksels tastien binne, hoe lang de keepalive is en wat der bart as de primêre keppeling útfalt. Dy rigels binne wat in takomstige operator om trije oere nachts echt nedich hat.