WireGuard 5G филиалы: филиал хабка өзү чалсын

Филиал хабка чалганда, хаб өзгөрүп туруучу уюлдук даректи табуунун кереги жок. Жөндөңүз, текшериңиз, анан бул эмнени чечпей турганын караңыз.

Филиалды хабка багыттоо — бул долбоордун жеңил жарымы, эгер филиал өзгөрүп туруучу уюлдук даректин артында турса жана хабдын туруктуу аты болсо. Анда хаб филиалды сиз жаңыртып туруучу жазуудан эмес, аутентификацияланган трафиктен үйрөнөт. Келишим жөнөкөй: дайыма филиал баштайт.

Аны атайын жөндөңүз, анан адамдар иштейт деп ойлогон бөлүгүн текшериңиз. Эки кадам тең мүнөттөрдү алат, жана мындай долбоорлор көбүнчө экинчисинде ийгиликсиз болот.

Туруктуу акыркы чекитти кай тарап кармайт

Филиалдын конфигурациясы хабдын акыркы чекитин жана анын ачык ачкычын атайт. Хабдын конфигурациясы филиалдын ачык ачкычын жана анын уруксат берилген ички префикстерин атайт, жана такыр акыркы чекити болбошу мүмкүн, анткени инсандык акыркы пакеттин булак дарегинен эмес, ачкычтан келет. Ошол асимметрия — бүт механизм, жана ал хаб тарабынан табуу маселелеринин бүтүндөй классын алып салат.

Филиал аутентификацияланган пакет жибергенде, хаб анын келген булагын жазып алат жана жооптор үчүн ошол салыштырууну колдонот. Анда уюлдук байланыштын кайра номери келерки кол алышуудан башка эч нерсеге турбайт, жана мындан ары керек эмес ар бир компонент — которулуу учурунда иштен кетип калбаган компонент. Бул касиетти пландалган өзгөртүү учурунда сынап көрүүгө татыктуу, окуя учурунда эмес. Муну бирөө эки учун тең бир убакта байкай алганда жасаңыз.

Филиалга кайра номериди кармай алган конфигурация бериңиз

Акыркы чекитти жана keepalive-ти филиалда кармаңыз, ал эми хабдын өнөктөш жазуусун катуу коддолгон даректен бош кармаңыз. keepalive которулган салыштырууну хаб бош турган мезгилден кийин суралбаган трафик жибере алышы үчүн жетиштүү узак ачык кармайт.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Жыйырма беш секунд — NAT салыштыруусун тирүү кармоонун көп келтирилген мисалы, ар бир өнөктөш үчүн талап эмес. Аны сиз чындыгында байкаган салыштыруу тайм-аутуна жараша коюңуз жана интерфейс күйүп турганда ал маалыматы чектелген линияда трафик жаратарын унутпаңыз.

Хабда филиал өнөктөшүнүн уруксат берилген префикстери филиал жибере тургандын баарын камтышы керек. Жетишпеген префикс алыскы учта маршруттоо бузулушу сыяктуу аракет кылат жана эки тараптын эч биринде эскертүү бербейт, ошондуктан аны биринчи чыныгы пакетке чейин карап чыгууга татыктуу. Биринчи туташууга чейин хабдын уруксат берилген префикстерин филиалдын интерфейс даректери менен салыштырыңыз.

Салыштырууну жана которулууну текшериңиз

Кол алышуу аяктаарын, хаб филиалдын учурдагы акыркы чекитин тизмелей турганын жана филиалдын ички даректерине туннель аркылуу жетүүгө болорун ырастаңыз. Бул — базалык сызык, аны бирөө уюлдук линияга тийишпестен мурда жазып коюу керек. Эки сап чыгарылыш жетиштүү. Аларды убакыт белгиси менен бирге билетте сактаңыз.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Анан долбоор бар болгон бузулушту сынаңыз. Негизги WAN-ды тартып алыңыз жана филиалдын хабка барар негизги маршруту эми уюлдук интерфейс аркылуу чыгарын ырастаңыз. Туннель бузулган физикалык жолду оңдой албайт, ошондуктан өлүк жогорку звеного дагы көрсөтүп турган тышкы маршрут кол алышуу тайм-аутун жаратат, ал так хаб маселесине окшош.

Эгер тышкы жол ачык байланган же саясат менен маршрутталган болсо, которулуу аны камтышы керек. Туура окулган долбоор менен үзгүлтүктөн аман калган долбоордун ортосундагы бул ажырым адатта жалгыз жетишпеген нерсе.

Бул долбоор эмнени чечпейт

Бул жерде филиалга кирүүчү туташууга эч нерсе жол бербейт. Эгер башкы кеңседеги бир нерсе уюлдук аянтка чалууга тийиш болсо, бул талап үчүн туннелдин багыты туура эмес, ал эми динамикалык DNS болгону атты жаңыртат. Провайдердин котормосу, кирүүчү саясат жана кардардын акыркы чекитти жаңыртуусу — баары жолдо калат, ал эми өзгөргөн жазуу оператордук деңгээлдеги NAT-ты ача албайт.

Филиалдын префиксин ар кандай башка аянттан өзүнчө кармаңыз жана анын дарбазасы эмнени өткөрөрүн чектеңиз. Хабдын туруктуу акыркы чекити табууну жеңилдетет жана маршруттоо долбоору, даректерди пландоо же кайсы колдонмо маршруттары которулуудан аман калат деген суроо үчүн эч нерсе кылбайт.

Runbook-ка төрт нерсе жазыңыз: ким баштайт, кайсы префикстер уруксат берилген, keepalive канчага созулат жана негизги линия кулаганда эмне болот. Так ушул саптар келечектеги операторго түнү саат үчтө чындыгында керек.

Тектеш макалалар