Zwee Mobilsiten ouni agehend Porten: baut en Hub, dee funktionnéiert

Zwee Siten op mobilen Uplinks hunn a béide Richtunge mat deem selwechte Problem ze dinn: keng vun hinnen kann eng ongefrote IPv4-Verbindung unhuelen, dofir kann keng vun hinnen de Server an engem direkten Tunnel spillen. D'Architektur déi funktionnéiert setzt en erreechbaren Drëtten an d'Mëtt: all Site wielt no baussen, an d'Mëtt leet just den Traffic weider, deen Dir genehmegt. Dës Mëtt kann en Router sinn, deen Dir selwer bedreift, oder e Produkt, dat Peeren introduzéiert, an dat ass net datselwecht. D'Schrëtt hei drënner si sou geuerdnet, datt jiddwereen e Beweis liwwert, ier deen nächsten drop ugewise sinn.

Keen vun de Siten ass uschlossbar, dofir mussen béid no baussen wielen

Bestätegt d'Limitt, ier Dir ronderëm designen. Wann den Operateur der WAN-Interface eng privat Adress gëtt, mécht keng Portweiderleedung um Site-Router selwer se erreechbar, well d'Iwwersetzung méi uewen geschitt. Eng ëffentlech IPv6-Adress kann op demselwechte Link bestoen an den Design komplett änneren, dofir deckt d'Préifung béid Familljen of. Schreift d'Äntwert pro Site op, well déi zwee selten déi selwecht Limitten hunn, och wa se denselwechten Operateur deelen.

Den normale Mobilfall gesäit aus wéi eng Adress aus dem iwwersate Beräich vum Operateur mat enger Standardroute derduerch. Dat ass kee Feeler dee soll geret ginn; dat ass de Grond firwat den Hub existéiert. Wat Dir sicht ass all Adress, déi en Drëtten erreeche kann, ouni datt d'Site fir d'éischt geschwat huet.

Zwee Befehler beäntweren d'Adresséierungsfro fir d'Site virun där Dir steet. Féiert se um Site-Router aus, net op engem Laptop hannendrun:

ip -4 addr show scope global
ip -6 addr show scope global

Wien introduzéiert Peeren, a wien dréit d'Paketen

Introduktioun an Transport sinn ënnerschiddlech Aufgaben, déi Produkter dacks bündelen, ouni d'Grenz sichtbar ze maachen. E Begéinungsmechanismus hëlleft zwee Peeren e Kandidatspad ze fannen; e Relay dréit hir Paketen, wann et kee direkte Spad gëtt. Engem Service ze kafen, deen Peeren introduzéiert, gëtt Iech keen Router, an deen Ënnerscheed entscheet, ob den Design iwwerhaapt en Hub brauch.

Traversal huet säin eegene Vocabulaire, an d'Wierder beschreiwen Rollen, net Garantien. D'ICE-Spezifikatioun beschreift Kandidaten a Konnektivitéitspréifungen, STUN beschreift ee Wee fir iwwer Adressiwwersetzung ze léieren, an TURN beschreift iwwergeluedenen Transport fir Applikatiounen déi en ëmsetzen. Kee vun dëse Mechanismen erschéngt an enger gewéinlecher Gateway, well Dir se op eng Entdeckungsadress geriicht hutt. Iwwerpréift Traversal als Produktkapazitéit, a gitt vun engem Relay aus, bis en Test de Géigendeel weist.

Eng Route pro Site, am Besëtz vun engem Peer

Den Hub brauch een Tunnel pro Site, e separaten LAN-Prefix hannert all eenzelnen an eng Route fir all Prefix, déi hire Besëtzer nennt. Am Beispill ass den Hub 10.61.0.1, d'Site A ass 10.61.0.11 mat LAN 10.60.10.0/24, an d'Site B ass 10.61.0.12 mat LAN 10.60.20.0/24. All Route hei drënner weist op de Peer, deem de Prefix gehéiert, net op d'Tunnel-Interface:

ip route add 10.60.10.0/24 via 10.61.0.11 dev wg0
ip route add 10.60.20.0/24 via 10.61.0.12 dev wg0
sysctl net.ipv4.ip_forward
ip route get 10.60.20.55 from 10.60.10.77

Weiderleedung muss ageschalt sinn, soss bleiwen d'Paketen um Hub stoen, ouni datt e Feeler op d'Ursaach weist. De leschte Befehl beäntwert déi richteg Fro, well en freet wéi ee Wee e Paket vum LAN vun der Site A op de LAN vun der Site B huelen, mat der Quell an der Sich ageschloss. Behandelt eng Sich déi d'Tunnel-Interface nennt als Beweis, an eng déi op d'Standardroute zréckfält als eng feelend Route, net als e Rätsel. Beschränkt dann den Transit bewosst, well en Hub deen tëschent all Peer weiderleet zwee Siten zu engem flaachen Netzwierk mécht an d'Zougrëffspolitik déi Dir mengt ze hunn gëllt net méi.

Entscheet och wou d'Verschlësselung ophält. Wann den Hub béid Tunnelendpunkte hält, kommen den Operateur vun där Maschinn a seng Aarbechtslaascht an de Vertrauens- a Disponibilitéitsmodell, a seng Bandbreed gëtt Deel vum Wee.

Halt all Mapping iwwer den Operateur lieweg

All Site fänkt säin eegenen Tunnel un, an all muss d'Iwwersetzungsmapping lieweg halen, soss vergësst den Operateur se. E Keepalive op der initiéierender Säit erhält dës Mapping tëschent de Handshakes. Beschränkt déi erlaabte Prefixen op d'Hub-Adress an de wäite LAN, soudatt en kompromittéierte Peer kee Prefix ka behaapten, deen him net gehéiert:

[Peer]
PublicKey = <hub public key>
Endpoint = 192.0.2.10:51820
AllowedIPs = 10.61.0.1/32, 10.60.20.0/24
PersistentKeepalive = 25

Spigelt de Block op der anerer Site mat hirem eigenen wäite Prefix, a widersetzt Iech dem Drang de ganzen Tunnelberäich z'erlaben. En Handshake deen ophält an vun enger neier Quellport erëm ufänkt ass d'Ënnerschrëft vun enger ofgelafener Mapping, an d'Zäitstempel vum Handshake sinn de Beweis datt et geschitt ass. En Intervall méi kuerz wéi den Timeout vum Operateur verhënnert den Ofschloss, amplaz en duerno ze reparéieren. Wann den Operateur säi Wuessverhalen ännert, erwaart datt dës Zäite mat him änneren.

Beweist béid Richtungen, dann d'Erhuelung

D'Preiwung ass richtungsgebonnen, dofir beweist e Ping vun A op B d'Halschent vum Design an näischt iwwer de Retourwee. Kontrolléiert de Wee vun der Äntwert mat der selwechter quellbewosster Sich um Hub, widderhëlt den Test vun der anerer Säit. A bezitt frësch Handshakes mat an, well en Tunnel deen eng Stonn rast huet vläicht en al Mapping testet:

wg show wg0 latest-handshakes
ping -c 3 10.60.20.55
traceroute -n 10.60.20.55

Test dann de Feeler, deen Dir erwaart, net de Succès, deen Dir wëllt. Startt den Uplink vun enger Site nei a bestätegt datt den Tunnel zréckkënnt, ouni datt e Mënsch ee vun de béiden Enner beréiert, well en Design deen no all Ännerung beim Operateur en Operateur brauch net fäerdeg ass. Haalt de Primärwee, d'IPv6-Alternativ wann et eng gëtt, an d'Verhalen wann den Hub net disponibel ass, fest. Den Hub ass elo Deel vun Ärem Disponibilitéitsmodell, also schreift dat op, amplaz et während enger Stéierung ze entdecken.