WireGuard 5G-filial: la filialen ta kontakt med huben

Å rette en filial mot en hub er den enkle halvdelen av denne konstruksjonen når filialen står bak en mobiladresse som endrer seg og huben har et fast navn. Da lærer huben filialen å kjenne fra autentisert trafikk, ikke fra en oppføring du må holde oppdatert. Avtalen er enkel: filialen innleder alltid.

Sett det opp med overlegg, og verifiser så den delen som folk forutsetter virker. Begge trinnene tar minutter, og det er i det andre disse konstruksjonene vanligvis bryter sammen.

Hvilken side har det faste endepunktet

Oppsettet på filialen angir hubens endepunkt og dens offentlige nøkkel. Oppsettet på huben angir filialens offentlige nøkkel og de tillatte indre prefiksene, og det kan helt mangle endepunkt, fordi identiteten kommer fra nøkkelen og ikke fra kildeadressen til siste pakke. Denne asymmetrien er hele mekanismen, og den fjerner en hel kategori oppdagelsesproblemer på hubsiden.

Når filialen sender en autentisert pakke, noterer huben kilden den kom fra og bruker denne koblingen til svar. Å nummerere mobilforbindelsen på nytt koster da ingenting ut over neste håndtrykk, og hver del du ikke lenger trenger er en som ikke kan svikte under en overgang. Denne egenskapen er verdt å prøve under en planlagt endring og ikke under en hendelse. Gjør det mens noen kan se begge ender samtidig.

Gi filialen et oppsett som tåler omnummerering

Behold endepunktet og keepalive på filialen, og hold hubens peer-oppføring uten en hardkodet adresse. Keepalive holder den oversatte koblingen åpen lenge nok til at huben kan sende trafikk uten forespørsel etter en inaktiv periode.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Tjuefem sekunder er eksempelet som ofte nevnes for å holde en NAT-kobling i live, ikke et krav for hver peer. Sett det etter tidsavbruddet for koblingen som du faktisk ser, og husk at det lager trafikk på en linje med datakvote så lenge grensesnittet er oppe.

På huben må de tillatte prefiksene til filialens peer dekke alt filialen vil sende. Et prefiks som mangler oppfører seg som en ruterfeil i den fjerne enden og gir ingen advarsel på noen av sidene, derfor er det verdt å gå gjennom det før den første virkelige pakken. Sammenlign hubens tillatte prefikser med grensesnittadressene til filialen før den første forbindelsen.

Verifiser koblingen og failover

Bekreft at håndtrykket fullføres, at huben lister filialens nåværende endepunkt og at filialens indre adresser kan nås gjennom tunnelen. Dette er grunnlinjen, og den bør skrives ned før noen rører mobilforbindelsen. To linjer utdata er nok. Ta vare på dem i saken sammen med tidsstempelet.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Prøv så feilen som konstruksjonen finnes for. Trekk ut den primære WAN-en og bekreft at filialens underliggende rute til huben nå går ut gjennom det mobile grensesnittet. En tunnel kan ikke reparere en brutt fysisk vei, så en ytre rute som fortsatt peker på en død oppkobling gir tidsavbrudd for håndtrykk som ser nøyaktig ut som et hubproblem.

Er den ytre veien uttrykkelig bundet eller rutet etter policy, må failover omfatte den. Gapet mellom en konstruksjon som leses riktig og en som overlever et utfall er vanligvis det eneste som mangler.

Hva denne konstruksjonen ikke løser

Ingenting her tillater en innkommende forbindelse til filialen. Hvis noe på hovedkontoret må ringe mobilstedet, er tunnelretningen feil for det kravet, og dynamisk DNS oppdaterer bare et navn. Oversettelsen hos leverandøren, innkommende policy og klientens oppdatering av endepunktet står alle i veien, og en endret oppføring kan ikke åpne carrier-grade NAT.

Hold filialens prefiks atskilt fra alle andre steder, og begrens hva gatewayen vil sende videre. Det faste endepunktet på huben forenkler oppdagelse og gjør ingenting for rutedesign, adresseplanlegging eller spørsmålet om hvilke applikasjonsruter som overlever en failover.

Skriv fire ting i runbooken: hvem som innleder, hvilke prefikser som er tillatt, hvor lang keepalive er, og hva som skjer når den primære linjen faller. De linjene er det en framtidig operatør virkelig trenger klokken tre om natten.