WireGuard 5G 支局：支局からハブへ接続させよう

変化するモバイルアドレスの背後に支局があり、ハブが安定した名前を持つ場合、支局をハブに向けるのはこの設計の易しい半分です。するとハブは、更新し続けなければならない記録ではなく、認証された通信から支局を学びます。契約は単純です：常に支局が開始します。

意図的に設定し、次に人々が動くと思い込んでいる部分を検証します。どちらの手順も数分で終わり、この種の設計はたいてい二つ目で失敗します。

どちら側が安定したエンドポイントを持つか

支局の設定はハブのエンドポイントと公開鍵を指定します。ハブの設定は支局の公開鍵と許可する内部プレフィックスを指定し、身元が最後のパケットの送信元アドレスではなく鍵から来るため、エンドポイントをまったく持たないこともあります。この非対称性が仕組みそのものであり、ハブ側から探索問題の一群を丸ごと取り除きます。

支局が認証済みパケットを送ると、ハブはそれが届いた送信元を記録し、その対応付けを応答に使います。その後のモバイル回線の再番号付けは次のハンドシェイク以外の費用がかからず、不要になった構成要素は切り替え中に故障できないものになります。この性質は、障害時ではなく計画変更時に試す価値があります。両端を同時に見られる人がいるうちに行ってください。

再番号付けに耐える設定を支局に与える

エンドポイントとキープアライブは支局側に置き、ハブのピア項目は固定アドレスを持たないようにします。キープアライブは、アイドル期間の後にハブが不要な通信を送れるよう、変換された対応付けを十分長く開いておきます。

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

二十五秒は NAT の対応付けを生かしておくためによく引用される例であり、すべてのピアへの要件ではありません。実際に観測する対応付けのタイムアウトに合わせて設定し、インターフェースが起動している間は従量制の回線で通信を発生させることを忘れないでください。

ハブ側では、支局ピアの許可プレフィックスが支局の送るすべてを覆う必要があります。欠けたプレフィックスは 遠端ではルーティング障害のように振る舞い、どちらの側にも警告を出さないため、最初の実パケットの前に見直す価値があります。最初の接続の前に、ハブの許可プレフィックスと支局のインターフェースアドレスを突き合わせてください。

対応付けとフェイルオーバーを検証する

ハンドシェイクが完了すること、ハブが支局の現在のエンドポイントを一覧に出すこと、支局の内部アドレスがトンネル経由で到達できることを確認します。これが基準線であり、誰かがモバイル回線に触れる前に記録すべきものです。出力は二行で十分です。タイムスタンプとともにチケットに残してください。

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

次に、この設計が存在する理由である障害を試します。主系 WAN を抜き、支局のハブへの基盤経路が今はモバイルインターフェースから出ていることを確認します。トンネルは壊れた物理経路を修復できないため、死んだ上流リンクを指したままの外部経路はハンドシェイクのタイムアウトを生み、それはハブの問題にそっくりに見えます。

外部経路が明示的に束縛されているかポリシーで経路制御されているなら、フェイルオーバーはそれを含めなければなりません。正しく読める設計と障害を生き延びる設計の間のその隙間が、たいてい唯一足りないものです。

この設計が解決しないこと

ここでは支局への受信接続を一切認めていません。本社側の何かがモバイル拠点へ発信しなければならないなら、その要件にはトンネルの向きが誤りであり、動的 DNS は名前を更新するだけです。事業者の変換、受信ポリシー、クライアントによるエンドポイント更新がすべて行く手を阻み、変更されたレコードはキャリアグレード NAT を開けません。

支局のプレフィックスは他のどの拠点とも別にし、そのゲートウェイが転送する範囲を制限してください。安定したハブのエンドポイントは探索を単純にしますが、ルーティング設計、アドレス計画、どのアプリケーション経路がフェイルオーバーを生き延びるかという問いには何もしません。

ランブックに四つ書いてください：誰が開始するか、どのプレフィックスが許可されるか、キープアライブはどれだけか、主系リンクが落ちたら何が起きるか。将来の運用者が午前三時に本当に必要とするのは、その行です。