WireGuard 5G филијала: нека филијалата сама се јави на центарот

Насочување филијала кон центар е лесната половина од овој дизајн кога филијалата стои зад променлива мобилна адреса, а центарот има стабилно име. Тогаш центарот ја учи филијалата од автентифициран сообраќај, наместо од запис што морате да го одржувате ажурен. Договорот е едноставен: филијалата секогаш започнува.

Конфигурирајте го намерно, па проверете го делот што луѓето претпоставуваат дека работи. Двата чекора траат минути, и токму на вториот овие дизајни обично пропаѓаат.

Која страна ја држи стабилната крајна точка

Конфигурацијата на филијалата ја именува крајната точка на центарот и неговиот јавен клуч. Конфигурацијата на центарот го именува јавниот клуч на филијалата и нејзините дозволени внатрешни префикси, и може воопшто да не носи крајна точка, зашто идентитетот доаѓа од клучот, а не од изворната адреса на последниот пакет. Таа асиметрија е целиот механизам, и таа отстранува цела класа проблеми со откривање од страната на центарот.

Кога филијалата испраќа автентифициран пакет, центарот го запишува изворот од кој пристигна и го користи тоа мапирање за одговори. Пренумерувањето на мобилната врска тогаш не чини ништо освен следното ракување, и секоја компонента што повеќе не ви треба е онаа што не може да откаже при преминување. Тоа својство вреди да се тестира при планирана промена, а не при инцидент. Направете го додека некој може да ги гледа двата краја истовремено.

Дајте ѝ на филијалата конфигурација што го преживува пренумерувањето

Држете ја крајната точка и keepalive на филијалата, а записот за партнерот во центарот држете го без тврдо кодирана адреса. Keepalive го држи преведеното мапирање отворено доволно долго за центарот да испрати непобарана сообраќај по период на мирување.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Дваесет и пет секунди е често цитираниот пример за одржување NAT мапирање живо, а не барање за секој партнер. Поставете го според временското ограничување на мапирањето што навистина го набљудувате, и запомнете дека создава сообраќај на врска со ограничени податоци додека интерфејсот е вклучен.

Во центарот, дозволените префикси на партнерот на филијалата мора да покриваат сѐ што филијалата ќе испрати. Префиксот што недостасува се однесува како грешка во рутирањето на далечниот крај и не создава никакво предупредување на ниту една страна, затоа вреди да се прегледа пред првиот вистински пакет. Споредете ги дозволените префикси на центарот со адресите на интерфејсот на филијалата пред првата врска.

Проверете го мапирањето и префрлањето

Потврдете дека ракувањето завршува, дека центарот ја наведува тековната крајна точка на филијалата и дека внатрешните адреси на филијалата се достапни преку тунелот. Тоа е основната линија, и треба да се запише пред некој да ја допре мобилната врска. Две линии излез се доволни. Чувајте ги во тикетот со временската ознака.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Потоа тестирајте го дефектот за кој постои дизајнот. Извлечете го примарниот WAN и потврдете дека основната рута на филијалата кон центарот сега излегува преку мобилниот интерфејс. Тунелот не може да поправи скршена физичка патека, па надворешната рута што сѐ уште покажува на мртва нагорна врска создава временско ограничување на ракувањето што изгледа точно како проблем на центарот.

Ако надворешната патека е изречно врзана или рутирана по политика, префрлањето мора да ја вклучи. Таа празнина меѓу дизајн што се чита правилно и дизајн што преживува прекин обично е единственото нешто што недостасува.

Што не решава овој дизајн

Ништо овде не дозволува влезна врска кон филијалата. Ако нешто во централата треба да ја повика мобилната локација, насоката на тунелот е погрешна за тоа барање, а динамичниот DNS ажурира само име. Преводот на провајдерот, влезната политика и освежувањето на крајната точка од клиентот сите остануваат на патот, а променет запис не може да отвори NAT од операторско ниво.

Држете го префиксот на филијалата одвоен од секоја друга локација, и ограничете што ќе проследи нејзината порта. Стабилната крајна точка на центарот го поедноставува откривањето и не прави ништо за дизајнот на рутирањето, планирањето адреси или прашањето кои рути на апликации преживуваат префрлање.

Запишете четири работи во runbook: кој започнува, кои префикси се дозволени, колку долго трае keepalive и што се случува кога примарната врска паѓа. Токму тие линии се она што на иден оператор навистина му треба во три часот наутро.