WireGuard 5G podružnica: neka podružnica sama zove čvorište

Usmjeriti podružnicu na čvorište laka je polovica ovog dizajna kada podružnica stoji iza promjenjive mobilne adrese, a čvorište drži stabilno ime. Tada čvorište uči podružnicu iz autentificiranog prometa, umjesto iz zapisa koji morate održavati ažurnim. Ugovor je jednostavan: podružnica uvijek započinje.

Konfigurirajte to namjerno, a zatim provjerite dio za koji ljudi pretpostavljaju da radi. Oba koraka traju minute, a na drugome ovi dizajni obično padaju.

Koja strana drži stabilnu završnu točku

Konfiguracija podružnice imenuje završnu točku čvorišta i njegov javni ključ. Konfiguracija čvorišta imenuje javni ključ podružnice i njezine dopuštene unutarnje prefikse, a može uopće ne sadržavati završnu točku, jer identitet dolazi iz ključa, a ne iz izvorne adrese posljednjeg paketa. Ta je asimetrija cijeli mehanizam i uklanja cijelu klasu problema s otkrivanjem na strani čvorišta.

Kada podružnica pošalje autentificirani paket, čvorište bilježi izvor s kojeg je stigao i koristi to preslikavanje za odgovore. Ponovno numeriranje mobilne veze tada ne košta ništa osim sljedećeg rukovanja, a svaka komponenta koja vam više ne treba je ona koja ne može zakazati tijekom prelaska. To svojstvo vrijedi testirati tijekom planirane promjene, a ne tijekom incidenta. Učinite to dok netko može istodobno gledati oba kraja.

Dajte podružnici konfiguraciju koja preživljava ponovno numeriranje

Držite završnu točku i keepalive na podružnici, a unos partnera na čvorištu držite bez tvrdo kodirane adrese. Keepalive drži prevedeno preslikavanje otvorenim dovoljno dugo da čvorište nakon razdoblja mirovanja pošalje neželjeni promet.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Dvadeset i pet sekundi često je citiran primjer za održavanje NAT preslikavanja živim, a ne zahtjev za svakog partnera. Postavite ga prema vremenskom ograničenju preslikavanja koje stvarno vidite i zapamtite da stvara promet na vezi s ograničenjem podataka dok je sučelje uključeno.

Na čvorištu dopušteni prefiksi partnera podružnice moraju pokrivati sve što će podružnica poslati. Prefiks koji nedostaje ponaša se kao pogreška usmjeravanja na udaljenom kraju i ne proizvodi nikakvo upozorenje ni na jednoj strani, zbog čega ga vrijedi pregledati prije prvog stvarnog paketa. Usporedite dopuštene prefikse čvorišta s adresama sučelja podružnice prije prve veze.

Provjerite preslikavanje i prebacivanje

Potvrdite da rukovanje završava, da čvorište navodi trenutačnu završnu točku podružnice i da su unutarnje adrese podružnice dostupne kroz tunel. To je osnovna linija i treba je zabilježiti prije nego što itko dotakne mobilnu vezu. Dva retka izlaza dovoljna su. Držite ih u kartici zajedno s vremenskom oznakom.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Zatim testirajte kvar zbog kojeg dizajn postoji. Izvucite primarni WAN i potvrdite da osnovna ruta podružnice prema čvorištu sada izlazi kroz mobilno sučelje. Tunel ne može popraviti slomljen fizički put, pa vanjska ruta koja još pokazuje na mrtvu uzlaznu vezu proizvodi istek vremena rukovanja koji izgleda točno kao problem čvorišta.

Ako je vanjski put izričito vezan ili usmjeren politikom, prebacivanje ga mora uključiti. Taj jaz između dizajna koji se ispravno čita i onoga koji preživljava ispad obično je jedina stvar koja nedostaje.

Što ovaj dizajn ne rješava

Ništa ovdje ne dopušta dolaznu vezu prema podružnici. Ako nešto u središnjici mora nazvati mobilnu lokaciju, smjer tunela pogrešan je za taj zahtjev, a dinamički DNS samo ažurira ime. Prijevod davatelja, dolazna politika i osvježavanje završne točke od strane klijenta svi ostaju na putu, a promijenjeni zapis ne može otvoriti NAT operatorske razine.

Držite prefiks podružnice odvojen od svake druge lokacije i ograničite što će njezin pristupnik prosljeđivati. Stabilna završna točka čvorišta pojednostavljuje otkrivanje i ne čini ništa za dizajn usmjeravanja, planiranje adresa ili pitanje koje rute aplikacija preživljavaju prebacivanje.

Zapišite četiri stvari u priručnik: tko započinje, koji su prefiksi dopušteni, koliko traje keepalive i što se događa kada primarna veza padne. Ti su reci ono što budućem operateru doista treba u tri sata ujutro.