WireGuard 5G fióktelep: hadd tárcsázza a fióktelep a központot

Egy fióktelepet egy központ felé irányítani ennek a tervnek a könnyű fele, amikor a fióktelep változó mobilcím mögött ül, és a központ stabil névvel rendelkezik. Ekkor a központ a hitelesített forgalomból tanulja meg a fióktelepet, nem egy rekordból, amelyet naprakészen kell tartania. A szerződés egyszerű: mindig a fióktelep kezdeményez.

Konfigurálja szándékosan, majd ellenőrizze azt a részt, amelyről az emberek azt feltételezik, hogy működik. Mindkét lépés perceket vesz igénybe, és ezek a tervek általában a másodiknál buknak el.

Melyik oldal tartja a stabil végpontot

A fióktelep konfigurációja megnevezi a központ végpontját és nyilvános kulcsát. A központ konfigurációja megnevezi a fióktelep nyilvános kulcsát és engedélyezett belső előtagjait, és egyáltalán nem is tartalmazhat végpontot, mert az identitás a kulcsból származik, nem az utolsó csomag forráscíméből. Ez az aszimmetria az egész mechanizmus, és a központ oldaláról egy egész felderítési problémacsoportot szüntet meg.

Amikor a fióktelep hitelesített csomagot küld, a központ rögzíti a forrást, ahonnan érkezett, és ezt a leképezést használja a válaszokhoz. A mobil link újraszámozása ekkor semmibe sem kerül a következő kézfogáson kívül, és minden komponens, amelyre már nincs szüksége, olyan, amely nem tud meghibásodni az átállás során. Ezt a tulajdonságot érdemes tervezett változtatás során tesztelni, nem incidens közben. Tegye meg, amíg valaki egyszerre láthatja mindkét végét.

Adjon a fióktelepnek olyan konfigurációt, amely túléli az újraszámozást

Tartsa a végpontot és a keepalive-t a fióktelepnél, a központ partnerbejegyzését pedig tartsa keményen kódolt cím nélkül. A keepalive elég sokáig nyitva tartja a lefordított leképezést ahhoz, hogy a központ tétlenségi időszak után kéretlen forgalmat küldhessen.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Huszonöt másodperc a gyakran idézett példa a NAT-leképezés életben tartására, nem követelmény minden partnernél. A ténylegesen megfigyelt leképezési időtúllépés alapján állítsa be, és ne feledje, hogy adatkorlátos linken forgalmat generál, amíg az interfész aktív.

A központon a fióktelep partnerének engedélyezett előtagjainak le kell fedniük mindent, amit a fióktelep küldeni fog. A hiányzó előtag úgy viselkedik, mint egy útválasztási hiba a távoli végén, és egyik oldalon sem ad figyelmeztetést, ezért érdemes az első valódi csomag előtt átnézni. Hasonlítsa össze a központ engedélyezett előtagjait a fióktelep interfészcímeivel az első kapcsolat előtt.

Ellenőrizze a leképezést és az átállást

Erősítse meg, hogy a kézfogás befejeződik, hogy a központ listázza a fióktelep jelenlegi végpontját, és hogy a fióktelep belső címei elérhetők az alagúton keresztül. Ez az alapvonal, és rögzíteni kell, mielőtt bárki hozzányúl a mobil linkhez. Két sor kimenet elegendő. Tartsa őket a jegyben az időbélyeggel.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Ezután tesztelje azt a hibát, amelyre a terv létezik. Húzza ki az elsődleges WAN-t, és erősítse meg, hogy a fióktelep központ felé vezető mögöttes útvonala most a mobil interfészen keresztül megy ki. Az alagút nem tud megjavítani egy törött fizikai útvonalat, ezért egy halott feltöltő linkre mutató külső útvonal kézfogási időtúllépést okoz, amely pontosan központi problémának látszik.

Ha a külső útvonal kifejezetten kötött vagy házirend-alapú útválasztású, az átállásnak tartalmaznia kell. A helyesen olvasható terv és a kiesést túlélő terv közötti rés általában az egyetlen hiányzó dolog.

Mit nem old meg ez a terv

Itt semmi nem enged bejövő kapcsolatot a fióktelep felé. Ha a központban valaminek tárcsáznia kell a mobil helyszínt, az alagút iránya rossz ehhez a követelményhez, és a dinamikus DNS csak egy nevet frissít. A szolgáltató fordítása, a bejövő házirend és az ügyfél végpontfrissítése mind az úton marad, és egy megváltozott rekord nem tud operátori szintű NAT-ot megnyitni.

Tartsa a fióktelep előtagját minden más helyszíntől elkülönítve, és korlátozza, mit továbbít az átjárója. A központ stabil végpontja egyszerűsíti a felderítést, és semmit nem tesz az útválasztási tervért, a címtervezésért vagy azért a kérdésért, hogy mely alkalmazásútvonalak élik túl az átállást.

Írjon négy dolgot a runbookba: ki kezdeményez, mely előtagok engedélyezettek, milyen hosszú a keepalive, és mi történik, ha az elsődleges link kiesik. Ezek a sorok azok, amelyekre egy jövőbeli üzemeltetőnek hajnali háromkor valóban szüksége van.