WireGuard 5G na sucursal: que a sucursal marque o concentrador

Apuntar unha sucursal cara a un concentrador é a metade fácil deste deseño cando a sucursal está detrás dun enderezo móbil cambiante e o concentrador ten un nome estable. Entón o concentrador aprende a sucursal do tráfico autenticado, en lugar dun rexistro que vostede debe manter actualizado. O contrato é simple: a sucursal sempre inicia.

Configúreo a propósito e despois verifique a parte que a xente supón que funciona. Os dous pasos levan minutos, e é no segundo onde estes deseños adoitan fallar.

Que lado ten o extremo estable

A configuración da sucursal nomea o extremo e a chave pública do concentrador. A configuración do concentrador nomea a chave pública da sucursal e os seus prefixos internos permitidos, e pode non levar ningún extremo, porque a identidade vén da chave e non do enderezo de orixe do último paquete. Esa asimetría é todo o mecanismo, e elimina toda unha clase de problemas de descuberta do lado do concentrador.

Cando a sucursal envía un paquete autenticado, o concentrador rexistra a orixe da que chegou e usa ese mapa para as respostas. Renumerar a ligazón móbil entón non custa nada máis alá do seguinte saludo, e cada compoñente que xa non necesita é un que non pode fallar durante unha conmutación. Esa propiedade merece probarse durante un cambio planificado e non durante un incidente. Fágao mentres alguén poida mirar os dous extremos á vez.

Dea á sucursal unha configuración que sobreviva á renumeración

Manteña o extremo e o keepalive na sucursal, e manteña a entrada de par do concentrador libre dun enderezo codificado de forma fixa. O keepalive mantén o mapa traducido aberto o tempo suficiente para que o concentrador envíe tráfico non solicitado tras un período inactivo.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Vinte e cinco segundos é o exemplo que se cita a miúdo para manter vivo un mapa NAT, non un requisito para cada par. Fíxeo segundo o tempo de espera do mapa que observe realmente, e lembre que xera tráfico nunha ligazón con límite de datos mentres a interface estea activa.

No concentrador, os prefixos permitidos do par da sucursal deben cubrir todo o que enviará a sucursal. Un prefixo ausente comportase como un fallo de encamiñamento no extremo lonxano e non produce ningún aviso en ningún dos dous lados, polo que paga a pena revisalo antes do primeiro paquete real. Compare os prefixos permitidos do concentrador cos enderezos de interface da sucursal antes da primeira conexión.

Verifique o mapa e a conmutación por erro

Confirme que o saludo se completa, que o concentrador lista o extremo actual da sucursal e que os enderezos internos da sucursal son alcanzables polo túnel. Esa é a liña base, e debería rexistrarse antes de que alguén toque a ligazón móbil. Dúas liñas de saída son suficientes. Gárdeas no tícket coa marca de tempo.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Logo probe o fallo para o que existe o deseño. Retire o WAN principal e confirme que a ruta subxacente da sucursal cara ao concentrador agora sae pola interface móbil. Un túnel non pode reparar un camiño físico roto, así que unha ruta exterior que aínda apunta a unha ligazón morta produce un tempo de espera de saludo que parece exactamente un problema do concentrador.

Se o camiño exterior está ligado explicitamente ou encamiñado por política, a conmutación por erro ten que incluílo. Esa fenda entre un deseño que se le correctamente e un que sobrevive a unha caída adoita ser o único que falta.

Que non resolve este deseño

Nada aquí admite unha conexión entrante cara á sucursal. Se algo na sede central debe marcar o sitio móbil, a dirección do túnel é incorrecta para ese requisito, e o DNS dinámico só actualiza un nome. A tradución do provedor, a política de entrada e a actualización do extremo por parte do cliente seguen todos no camiño, e un rexistro cambiado non pode abrir un NAT de nivel de operador.

Manteña o prefixo da sucursal diferente de calquera outro sitio, e limite o que reenviará a súa pasarela. O extremo estable do concentrador simplifica a descuberta e non fai nada polo deseño de encamiñamento, a planificación de enderezos nin a cuestión de que rutas de aplicación sobreviven a unha conmutación.

Escriba catro cousas no manual: quen inicia, que prefixos se permiten, canto dura o keepalive e que pasa cando cae a ligazón principal. Esas liñas son o que un operador futuro realmente necesita ás tres da madrugada.