WireGuard 5G filiāle: ļaujiet filiālei pašai zvanīt centram

Norādīt filiāli uz centru ir šī risinājuma vieglā puse, ja filiāle atrodas aiz mainīgas mobilās adreses un centram ir stabils nosaukums. Tad centrs filiāli apgūst no autentificētas datplūsmas, nevis no ieraksta, kas jums pastāvīgi jāatjaunina. Līgums ir vienkāršs: filiāle vienmēr sāk.

Konfigurējiet to apzināti un pēc tam pārbaudiet to daļu, par kuru cilvēki pieņem, ka tā darbojas. Abi soļi aizņem minūtes, un tieši otrajā šie risinājumi parasti cieš neveiksmi.

Kura puse tur stabilo galapunktu

Filiāles konfigurācija nosauc centra galapunktu un tā publisko atslēgu. Centra konfigurācija nosauc filiāles publisko atslēgu un tās atļautos iekšējos prefiksus, un tai var vispār nebūt galapunkta, jo identitāte nāk no atslēgas, nevis no pēdējās paketes avota adreses. Šī asimetrija ir viss mehānisms, un tā novērš veselu atklāšanas problēmu klasi centra pusē.

Kad filiāle sūta autentificētu paketi, centrs reģistrē avotu, no kura tā ieradās, un izmanto šo kartējumu atbildēm. Tad mobilās saites pārnummerēšana neizmaksā neko papildus nākamajam rokasspiedienam, un katra sastāvdaļa, kas jums vairs nav vajadzīga, ir tāda, kas pārslēgšanās laikā nevar sabojāties. Šī īpašība ir tā vērta, lai to pārbaudītu plānotas izmaiņas laikā, nevis incidenta laikā. Dariet to, kamēr kāds var vērot abus galus vienlaikus.

Dodiet filiālei konfigurāciju, kas pārdzīvo pārnummerēšanu

Turiet galapunktu un keepalive filiālē, un turiet centra partnera ierakstu bez cieti kodētas adreses. Keepalive tur atvērtu tulkoto kartējumu pietiekami ilgi, lai centrs pēc dīkstāves varētu nosūtīt nepieprasītu datplūsmu.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Divdesmit piecas sekundes ir bieži citētais piemērs, kā uzturēt NAT kartējumu dzīvu, nevis prasība katrai pusei. Iestatiet to pēc kartējuma taimauta, ko jūs patiešām novērojat, un atcerieties, ka tas rada datplūsmu uz datu limitētas saites, kamēr saskarne ir ieslēgta.

Centrā filiāles partnera atļautajiem prefiksiem jāaptver viss, ko filiāle sūtīs. Trūkstošs prefikss uzvedas kā maršrutēšanas kļūda tālajā galā un nerada brīdinājumu nevienā pusē, tāpēc to ir vērts pārskatīt pirms pirmās īstās paketes. Pirms pirmā savienojuma salīdziniet centra atļautos prefiksus ar filiāles saskarnes adresēm.

Pārbaudiet kartējumu un pārslēgšanos

Apstipriniet, ka rokasspiediens tiek pabeigts, ka centrs uzskaita filiāles pašreizējo galapunktu un ka filiāles iekšējās adreses ir sasniedzamas caur tuneli. Tā ir bāzes līnija, un tā jāreģistrē pirms kāds pieskaras mobilajai saitei. Ar divām izvades rindām pietiek. Glabājiet tās biļetē kopā ar laika zīmogu.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Pēc tam pārbaudiet atteici, kuras dēļ šis risinājums pastāv. Izraujiet primāro WAN un apstipriniet, ka filiāles pamata maršruts uz centru tagad iet caur mobilo saskarni. Tunelis nevar salabot salauztu fizisko ceļu, tāpēc ārējais maršruts, kas joprojām norāda uz mirušu augšupēju, rada rokasspiediena taimautu, kas izskatās tieši kā centra problēma.

Ja ārējais ceļš ir skaidri piesaistīts vai politikas maršrutēts, pārslēgšanai tas jāietver. Šī plaisa starp pareizi lasāmu risinājumu un tādu, kas pārdzīvo pārtraukumu, parasti ir vienīgais trūkstošais.

Ko šis risinājums neatrisina

Nekas šeit nepieļauj ienākošu savienojumu uz filiāli. Ja kaut kam galvenajā birojā ir jāzvana uz mobilo vietu, tuneļa virziens šai prasībai ir nepareizs, un dinamiskais DNS atjaunina tikai nosaukumu. Pakalpojumu sniedzēja tulkojums, ienākošā politika un klienta galapunkta atjaunināšana visi paliek ceļā, un mainīts ieraksts nevar atvērt operatora līmeņa NAT.

Turiet filiāles prefiksu atsevišķi no katras citas vietas un ierobežojiet, ko tās vārteja pārsūtīs. Stabils centra galapunkts vienkāršo atklāšanu un neko nedara maršrutēšanas dizainam, adrešu plānošanai vai jautājumam, kuri lietojumprogrammu maršruti pārdzīvo pārslēgšanu.

Ierakstiet runbook četras lietas: kas sāk, kuri prefiksi ir atļauti, cik ilgs ir keepalive un kas notiek, kad primārā saite nokrīt. Tieši šīs rindas ir tas, kas nākamajam operatoram patiešām vajadzīgs trijos naktī.