WireGuard 5G în sucursală: lăsați sucursala să sune hubul

A îndrepta o sucursală spre un hub este jumătatea ușoară a acestui proiect atunci când sucursala stă în spatele unei adrese mobile care se schimbă, iar hubul are un nume stabil. Atunci hubul învață sucursala din traficul autentificat, nu dintr-o înregistrare pe care trebuie să o țineți la zi. Contractul este simplu: sucursala inițiază întotdeauna.

Configurați-l deliberat, apoi verificați partea pe care oamenii presupun că funcționează. Ambele etape durează minute, iar la a doua aceste proiecte eșuează de obicei.

Care parte deține punctul final stabil

Configurația sucursalei numește punctul final și cheia publică a hubului. Configurația hubului numește cheia publică a sucursalei și prefixele sale interne permise și poate să nu aibă deloc punct final, pentru că identitatea vine din cheie și nu din adresa sursă a ultimului pachet. Această asimetrie este întregul mecanism și elimină o întreagă clasă de probleme de descoperire din partea hubului.

Când sucursala trimite un pachet autentificat, hubul înregistrează sursa din care a venit și folosește acea mapare pentru răspunsuri. Renumerotarea legăturii mobile nu mai costă atunci nimic în afară de următoarea strângere de mână, iar fiecare componentă de care nu mai aveți nevoie este una care nu poate ceda în timpul unei comutări. Merită testată această proprietate în timpul unei modificări planificate, nu în timpul unui incident. Faceți-o în timp ce cineva poate privi ambele capete simultan.

Dați sucursalei o configurație care supraviețuiește renumerotării

Țineți punctul final și keepalive pe sucursală și țineți intrarea de partener din hub fără o adresă codificată fix. Keepalive ține maparea tradusă deschisă suficient de mult pentru ca hubul să trimită trafic nesolicitat după o perioadă inactivă.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Douăzeci și cinci de secunde este exemplul citat frecvent pentru a menține vie o mapare NAT, nu o cerință pentru fiecare partener. Stabiliți-l după timpul limită de mapare pe care îl observați efectiv și țineți minte că generează trafic pe o legătură cu limită de date cât timp interfața este activă.

Pe hub, prefixele permise ale partenerului sucursalei trebuie să acopere tot ce va trimite sucursala. Un prefix lipsă se comportă ca o defecțiune de rutare la capătul îndepărtat și nu produce niciun avertisment pe niciuna dintre părți, de aceea merită revizuit înainte de primul pachet real. Comparați prefixele permise ale hubului cu adresele de interfață ale sucursalei înainte de prima conexiune.

Verificați maparea și comutarea

Confirmați că strângerea de mână se finalizează, că hubul listează punctul final actual al sucursalei și că adresele interne ale sucursalei sunt accesibile prin tunel. Aceasta este linia de bază și ar trebui înregistrată înainte ca cineva să atingă legătura mobilă. Două linii de ieșire sunt suficiente. Păstrați-le în tichet împreună cu marca de timp.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Apoi testați defecțiunea pentru care există proiectul. Scoateți WAN-ul principal și confirmați că ruta de bază a sucursalei către hub iese acum prin interfața mobilă. Un tunel nu poate repara o cale fizică ruptă, așa că o rută exterioară care încă indică o legătură de urcare moartă produce un timp limită al strângerii de mână care arată exact ca o problemă a hubului.

Dacă calea exterioară este legată explicit sau rutată prin politică, comutarea trebuie să o includă. Acel decalaj dintre un proiect care se citește corect și unul care supraviețuiește unei căderi este de obicei singurul lucru care lipsește.

Ce nu rezolvă acest proiect

Nimic aici nu admite o conexiune de intrare către sucursală. Dacă ceva din sediul central trebuie să sune locația mobilă, direcția tunelului este greșită pentru acea cerință, iar DNS-ul dinamic actualizează doar un nume. Traducerea furnizorului, politica de intrare și reîmprospătarea punctului final de către client rămân toate în cale, iar o înregistrare modificată nu poate deschide NAT de nivel de operator.

Țineți prefixul sucursalei distinct de orice altă locație și limitați ce va redirecționa poarta sa. Punctul final stabil al hubului simplifică descoperirea și nu face nimic pentru proiectarea rutării, planificarea adreselor sau întrebarea care rute de aplicație supraviețuiesc unei comutări.

Scrieți patru lucruri în runbook: cine inițiază, ce prefixe sunt permise, cât durează keepalive și ce se întâmplă când cade legătura principală. Acele rânduri sunt exact ce are nevoie cu adevărat un operator viitor la trei dimineața.