WireGuard 5G cawangan: biarkan cawangan mendail hab

Menghalakan cawangan ke hab ialah separuh mudah reka bentuk ini apabila cawangan berada di belakang alamat mudah alih yang berubah dan hab mempunyai nama yang stabil. Hab kemudian mempelajari cawangan daripada trafik yang disahkan, bukan daripada rekod yang perlu anda kekalkan kemas kini. Kontraknya mudah: cawangan sentiasa memulakan.

Konfigurasikannya dengan sengaja, kemudian sahkan bahagian yang orang anggap berfungsi. Kedua-dua langkah mengambil masa beberapa minit, dan pada langkah keduanya reka bentuk seperti ini biasanya gagal.

Pihak mana yang memegang titik akhir yang stabil

Konfigurasi cawangan menamakan titik akhir dan kunci awam hab. Konfigurasi hab menamakan kunci awam cawangan dan awalan dalaman yang dibenarkan, dan mungkin tidak membawa titik akhir langsung, kerana identiti datang daripada kunci dan bukan daripada alamat sumber paket terakhir. Asimetri itulah keseluruhan mekanisme, dan ia menghapuskan satu kelas masalah penemuan dari pihak hab.

Apabila cawangan menghantar paket yang disahkan, hab merekodkan sumber dari mana ia tiba dan menggunakan pemetaan itu untuk balasan. Penomboran semula pautan mudah alih kemudian tidak menelan apa-apa selain jabat tangan seterusnya, dan setiap komponen yang anda tidak perlukan lagi ialah komponen yang tidak boleh gagal semasa peralihan. Sifat itu wajar diuji semasa perubahan berjadual dan bukan semasa insiden. Lakukan semasa seseorang dapat memerhati kedua-dua hujung serentak.

Berikan cawangan konfigurasi yang bertahan semasa penomboran semula

Kekalkan titik akhir dan keepalive di cawangan, dan kekalkan entri rakan hab tanpa alamat yang dikodkan keras. Keepalive menahan pemetaan terjemahan terbuka cukup lama untuk hab menghantar trafik yang tidak diminta selepas tempoh melahu.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Dua puluh lima saat ialah contoh yang sering dipetik untuk mengekalkan pemetaan NAT hidup, bukan keperluan bagi setiap rakan. Tetapkannya mengikut tamat masa pemetaan yang benar-benar anda perhatikan, dan ingat ia menjana trafik pada pautan berhad data selagi antara muka dihidupkan.

Di hab, awalan yang dibenarkan bagi rakan cawangan mesti meliputi semua yang akan dihantar oleh cawangan. Awalan yang hilang berkelakuan seperti kegagalan penghalalan di hujung jauh dan tidak menghasilkan amaran di mana-mana pihak, sebab itu ia wajar disemak sebelum paket sebenar pertama. Bandingkan awalan yang dibenarkan di hab dengan alamat antara muka cawangan sebelum sambungan pertama.

Sahkan pemetaan dan pengalihan kegagalan

Pastikan jabat tangan selesai, hab menyenaraikan titik akhir semasa cawangan, dan alamat dalaman cawangan boleh dicapai melalui terowong. Itulah garis dasar, dan ia harus direkodkan sebelum sesiapa menyentuh pautan mudah alih. Dua baris keluaran sudah cukup. Simpan dalam tiket bersama cap masa.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Kemudian uji kegagalan yang menjadi sebab reka bentuk ini wujud. Cabut WAN utama dan pastikan laluan asas cawangan ke hab kini keluar melalui antara muka mudah alih. Terowong tidak dapat membaiki laluan fizikal yang rosak, jadi laluan luar yang masih menuding ke pautan atas yang mati menghasilkan tamat masa jabat tangan yang kelihatan tepat seperti masalah hab.

Jika laluan luar terikat secara eksplisit atau dihalakan oleh dasar, pengalihan kegagalan mesti memasukkannya. Jurang antara reka bentuk yang terbaca betul dan yang bertahan semasa gangguan biasanya satu-satunya perkara yang kurang.

Apa yang tidak diselesaikan oleh reka bentuk ini

Tiada apa di sini membenarkan sambungan masuk ke cawangan. Jika sesuatu di ibu pejabat mesti mendail tapak mudah alih, arah terowong salah untuk keperluan itu, dan DNS dinamik hanya mengemas kini nama. Terjemahan pembekal, dasar masuk dan penyegaran titik akhir oleh klien semuanya masih menghalang, dan rekod yang berubah tidak dapat membuka NAT gred pembawa.

Kekalkan awalan cawangan berbeza daripada setiap tapak lain, dan hadkan apa yang akan diteruskan oleh getnya. Titik akhir hab yang stabil memudahkan penemuan dan tidak melakukan apa-apa untuk reka bentuk penghalalan, perancangan alamat atau persoalan laluan aplikasi mana yang bertahan semasa pengalihan.

Tulis empat perkara dalam runbook: siapa yang memulakan, awalan mana yang dibenarkan, berapa lama keepalive, dan apa yang berlaku apabila pautan utama terputus. Baris-baris itulah yang benar-benar diperlukan oleh pengendali masa depan pada pukul tiga pagi.