WireGuard 5G-avdeling: la avdelinga ringje huben

Å peike ei avdeling mot ein hub er den lette halvdelen av dette designet når avdelinga sit bak ei skiftande mobiladresse og huben har eit stabilt namn. Då lærer huben avdelinga frå autentisert trafikk, i staden for frå ein post du må halde oppdatert. Kontrakten er enkel: avdelinga startar alltid.

Konfigurer det med vilje, og stadfest deretter delen folk reknar med verkar. Begge trinna tek minutt, og det er i det andre desse designa vanlegvis sviktar.

Kva side held den stabile endepunktet

Konfigurasjonen til avdelinga namngjev endepunktet og den offentlege nøkkelen til huben. Konfigurasjonen til huben namngjev den offentlege nøkkelen til avdelinga og dei tillatne indre prefiksa hennar, og han kan heilt mangla endepunkt, fordi identiteten kjem frå nøkkelen og ikkje frå kjeldadressa til den siste pakken. Den asymmetrien er heile mekanismen, og han fjernar ein heil klasse av oppdagingsproblem på hubsida.

Når avdelinga sender ein autentisert pakke, registrerer huben kjelda han kom frå og brukar den tilordninga for svar. Å nummerere mobillinja på nytt kostar då ingenting utover neste handtrykk, og kvar komponent du ikkje lenger treng er ein som ikkje kan svikte under ein overgang. Den eigenskapen er verdt å teste under ei planlagd endring og ikkje under ein hending. Gjer det medan nokon kan følgje begge endar samstundes.

Gje avdelinga ein konfigurasjon som overlever omnummerering

Hald endepunktet og keepalive på avdelinga, og hald peer-oppføringa til huben fri for ei hardkoda adresse. Keepalive held den omsette tilordninga open lenge nok til at huben kan sende uoppmoda trafikk etter ein inaktiv periode.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Tjuefem sekund er det ofte siterte dømet for å halde ei NAT-tilordning levande, ikkje eit krav for kvar peer. Set det etter tilordningstidsavbrotet du faktisk observerer, og hug at det genererer trafikk på ei linje med datakvote så lenge grensesnittet er oppe.

På huben må dei tillatne prefiksa til peeren til avdelinga dekkje alt avdelinga vil sende. Eit manglande prefiks oppfører seg som ein rutingsvikt i den fjerne enden og gjev inga åtvaring på nokon av sidene, difor er det verdt å gå gjennom det før den første verkelege pakken. Samanlikn dei tillatne prefiksa til huben med grensesnittadressene til avdelinga før den første sambindinga.

Stadfest tilordninga og failover

Stadfest at handtrykket blir fullført, at huben viser det noverande endepunktet til avdelinga og at dei indre adressene til avdelinga er nåbare gjennom tunnelen. Det er grunnlinja, og ho bør registrerast før nokon rører mobillinja. To liner med utdata er nok. Oppbevar dei i saka saman med tidsstempelet.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Test deretter feilen designet finst for. Trekk ut den primære WAN-en og stadfest at den underliggande ruta til avdelinga mot huben no går ut gjennom det mobile grensesnittet. Ein tunnel kan ikkje reparere ein broten fysisk veg, så ei ytre rute som framleis peikar på ein daud oppkobling gjev eit handtrykkstidsavbrot som ser nøyaktig ut som eit hubproblem.

Dersom den ytre vegen er eksplisitt bunden eller policy-ruta, må failover ta han med. Det gapet mellom eit design som blir lese rett og eit som overlever eit utfall er vanlegvis det einaste som manglar.

Kva dette designet ikkje løyser

Ingenting her tillèt ei innkomande sambinding til avdelinga. Dersom noko på hovudkontoret må ringje den mobile lokasjonen, er tunnelretninga feil for det kravet, og dynamisk DNS oppdaterer berre eit namn. Omsetjinga til leverandøren, innkomande policy og klienten si oppdatering av endepunktet står alle i vegen, og ein endra post kan ikkje opne carrier-grade NAT.

Hald prefikset til avdelinga skilt frå kvar annan lokasjon, og avgrens kva gatewayen hennar vil videresende. Det stabile hub-endepunktet gjer oppdaging enklare og gjer ingenting for rutingsdesign, adresseplanlegging eller spørsmålet om kva applikasjonsruter som overlever ein failover.

Skriv fire ting i runbooken: kven som startar, kva prefiks som er tillatne, kor lang keepalive er, og kva som skjer når den primære sambindinga fell. Dei linene er det ein framtidig operatør faktisk treng klokka tre om natta.