WireGuard 5G Filial: loosst d’Filial den Hub ufuerderen

Eng Filial op en Hub ze riichten ass déi einfach Halschent vun dësem Entworf, wann d’Filial hannert enger ännerlecher Mobiladress sëtzt an den Hub en stabilt Numm huet. Dann léiert den Hub d’Filial aus authentifizéiertem Verkéier, amplaz aus engem Rekord, deen Dir müsst aktuell halen. Den Kontrakt ass einfach: d’Filial fänkt ëmmer un.

Konfiguréiert et bewosst a prüüft dann deen Deel, vun deem d’Leit unhuelen, datt en funktionéiert. Béid Schrëtt daueren Minutten, an et ass deen zweete wou dës Entwërf normalerweis versoen.

Wéi eng Säit hält den stabile Endpunkt

D’Konfiguratioun vun der Filial nennt den Endpunkt an de ëffentleche Schlëssel vum Hub. D’Konfiguratioun vum Hub nennt de ëffentleche Schlëssel vun der Filial an hir erlaabt intern Präfixer, an si kann guer keen Endpunkt droen, well d’Identitéit aus dem Schlëssel kënnt an net aus der Quelladress vum leschte Paket. Déi Asymmetrie ass de ganze Mechanismus, an si entfernt eng ganz Klass vun Entdeckungsproblemer vun der Hub-Säit.

Wann d’Filial e authentifizéierte Paket schéckt, registréiert den Hub d’Quell, vun där en ukomm ass, a benotzt déi Kartéierung fir Äntwerten. D’Renummeréierung vun der Mobilverbindung kascht dann näischt ausser dem nächsten Handshake, an all Komponent, déi Dir net méi braucht, ass eng, déi beim Ëmschalten net ka versoen. Déi Eegenschaft ass et wäert, während enger geplangter Ännerung ze testen an net während engem Tëschefall. Maacht et, wärend een zwou Säiten op eemol ka kucken.

Gitt der Filial eng Konfiguratioun, déi d’Renummeréierung iwwerlieft

Halt den Endpunkt an de Keepalive op der Filial, an halt den Peer-Andrag vum Hub fräi vun enger haart kodéierter Adress. De Keepalive hält déi iwwersat Kartéierung laang genuch op, fir datt den Hub no enger Rouphas ongefrote Verkéier ka schécken.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Fënnefanzwanzeg Sekonnen ass d’Beispill, dat dacks zitéiert gëtt, fir eng NAT-Kartéierung lieweg ze halen, keen Erfuerdernes fir all Peer. Setzt et no dem Kartéierungs-Timeout, deen Dir tatsächlech gesitt, a vergiesst net, datt et Verkéier op enger Verbindung mat Datenlimite generéiert, soulaang d’Interface ugeschalt ass.

Um Hub mussen déi erlaabt Präfixer vum Peer vun der Filial alles decken, wat d’Filial wäert schécken. En feelende Präfix verhält sech wéi e Routingfehler um wäite Enn an erzeegt op kenger Säit eng Warnung, dofir ass et wäert, et virum éischte richtegen Paket ze iwwerpréiwen. Vergläicht dem Hub seng erlaabt Präfixer mat de Interfaceadressen vun der Filial virun der éischter Verbindung.

Iwwerpréift d’Kartéierung an de Failover

Bestätegt, datt den Handshake fäerdeg gëtt, datt den Hub den aktuellen Endpunkt vun der Filial oplëscht, an datt d’intern Adresse vun der Filial duerch den Tunnel erreechbar sinn. Dat ass d’Basislinn, an si sollt festgehale ginn, ier een d’Mobilverbindung beréiert. Zwou Linnen Ausgab duergen. Hält se am Ticket mam Zäitstempel.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Test dann den Ausfall, fir deen den Entworf existéiert. Zitt de primären WAN eraus a bestätegt, datt de Basiséck vun der Filial zum Hub elo duerch d’Mobil-Interface geet. En Tunnel kann e gebrachene physesche Wee net flécken, dofir erzeegt eng baussenzeg Route, déi nach op eng dout Uplink-Verbindung weist, en Handshake-Timeout, deen genee wéi en Hub-Problem ausgesäit.

Wann de baussenzege Wee ausdrécklech gebonnen oder policy-geroutet ass, muss de Failover en abegräifen. Dee Gruef tëscht engem Entworf, dee sech richteg liest, an engem, deen en Ausfall iwwerlieft, ass meeschtens dat eenzegt, wat feelt.

Wat dësen Entworf net léist

Näischt hei erlaabt eng erakommend Verbindung zu der Filial. Wann eppes an der Zentrale d’Mobilstell ufuerdere muss, ass d’Tunnelrichtung fir déi Fuerderung falsch, an dynamescht DNS aktualiséiert just en Numm. D’Iwwersetzung vum Provider, d’Akommespolitik an d’Aktualiséierung vum Endpunkt duerch de Client stinn all am Wee, an en geännerten Rekord kann kee Carrier-Grade-NAT opmaachen.

Halt de Präfix vun der Filial getrennt vun all anere Site, a begrenz, wat säi Gateway wäert weiderleeden. Den stabile Hub-Endpunkt vereinfacht d’Entdeckung a mécht näischt fir Routing-Entworf, Adressplanung oder d’Fro, wéi eng Applikatiounsrouten en Failover iwwerliewe.

Schreift véier Saachen an de Runbook: wien ufänkt, wéi eng Präfixer erlaabt sinn, wéi laang de Keepalive ass, a wat geschitt, wann d’Haaptverbindung fält. Déi Linnen sinn et, wat en zukünftegen Operateur um dräi Auer nuets wierklech brauch.