WireGuard 5G-filial: la filialen ringe huben

Å peke en filial mot en hub er den lette halvparten av dette designet når filialen sitter bak en skiftende mobiladresse og huben har et stabilt navn. Da lærer huben filialen fra autentisert trafikk, i stedet for fra en post du må holde oppdatert. Kontrakten er enkel: filialen starter alltid.

Konfigurer det med vilje, og verifiser deretter delen folk antar virker. Begge trinnene tar minutter, og det er i det andre disse designene vanligvis svikter.

Hvilken side holder det stabile endepunktet

Filialens konfigurasjon navngir hubens endepunkt og offentlige nøkkel. Hubens konfigurasjon navngir filialens offentlige nøkkel og dens tillatte indre prefikser, og den kan helt mangle endepunkt, fordi identiteten kommer fra nøkkelen og ikke fra kildeadressen til den siste pakken. Den asymmetrien er hele mekanismen, og den fjerner en hel klasse av oppdagelsesproblemer på hubens side.

Når filialen sender en autentisert pakke, registrerer huben kilden den kom fra og bruker den tilordningen for svar. Å nummerere mobilforbindelsen på nytt koster da ingenting utover neste håndtrykk, og hver komponent du ikke lenger trenger er en som ikke kan svikte under en overgang. Den egenskapen er verdt å teste under en planlagt endring og ikke under en hendelse. Gjør det mens noen kan følge begge ender samtidig.

Gi filialen en konfigurasjon som overlever omnummerering

Hold endepunktet og keepalive på filialen, og hold hubens peer-oppføring fri for en hardkodet adresse. Keepalive holder den oversatte tilordningen åpen lenge nok til at huben kan sende uanmodet trafikk etter en inaktiv periode.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Tjuefem sekunder er det ofte siterte eksempelet for å holde en NAT-tilordning levende, ikke et krav for hver peer. Sett det etter tilordningstidsavbruddet du faktisk observerer, og husk at det genererer trafikk på en forbindelse med datakvote så lenge grensesnittet er oppe.

På huben må filialens peer ha tillatte prefikser som dekker alt filialen vil sende. Et manglende prefiks oppfører seg som en rutingsvikt i den fjerne enden og gir ingen advarsel på noen av sidene, derfor er det verdt å gjennomgå det før den første virkelige pakken. Sammenlign hubens tillatte prefikser med filialens grensesnittadresser før den første forbindelsen.

Verifiser tilordningen og failover

Bekreft at håndtrykket fullføres, at huben viser filialens nåværende endepunkt og at filialens indre adresser er nåbare gjennom tunnelen. Det er grunnlinjen, og den bør registreres før noen rører mobilforbindelsen. To linjer med utdata er nok. Oppbevar dem i saken sammen med tidsstempelet.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Test deretter feilen designet finnes for. Trekk ut den primære WAN-en og bekreft at filialens underliggende rute til huben nå går ut gjennom det mobile grensesnittet. En tunnel kan ikke reparere en brutt fysisk vei, så en ytre rute som fortsatt peker på en død oppkobling gir et håndtrykkstidsavbrudd som ser nøyaktig ut som et hubproblem.

Hvis den ytre veien er eksplisitt bundet eller policy-rutet, må failover omfatte den. Det gapet mellom et design som leses riktig og et som overlever et utfall er vanligvis det eneste som mangler.

Hva dette designet ikke løser

Ingenting her tillater en innkommende forbindelse til filialen. Hvis noe på hovedkontoret må ringe den mobile lokasjonen, er tunnelenes retning feil for det kravet, og dynamisk DNS oppdaterer bare et navn. Leverandørens oversettelse, innkommende policy og klientens oppdatering av endepunktet står alle i veien, og en endret post kan ikke åpne carrier-grade NAT.

Hold filialens prefiks atskilt fra hver annen lokasjon, og begrens hva gatewayen vil videresende. Det stabile hub-endepunktet forenkler oppdagelse og gjør ingenting for rutingsdesign, adresseplanlegging eller spørsmålet om hvilke applikasjonsruter som overlever en failover.

Skriv fire ting i runbooken: hvem som starter, hvilke prefikser som er tillatt, hvor lang keepalive er, og hva som skjer når den primære forbindelsen faller. De linjene er det en fremtidig operatør faktisk trenger klokken tre om natten.