WireGuard 5G podružnica: pustite da podružnica pozove čvorište

Usmeriti podružnicu na čvorište laka je polovina ovog dizajna kada podružnica stoji iza promenljive mobilne adrese, a čvorište drži stabilno ime. Tada čvorište uči podružnicu iz autentifikovanog saobraćaja, umesto iz zapisa koji morate da održavate ažurnim. Ugovor je jednostavan: podružnica uvek počinje.

Konfigurišite to namerno, pa proverite deo za koji ljudi pretpostavljaju da radi. Oba koraka traju nekoliko minuta, a na drugom ovi dizajni obično padaju.

Koja strana drži stabilnu završnu tačku

Konfiguracija podružnice imenuje završnu tačku čvorišta i njegov javni ključ. Konfiguracija čvorišta imenuje javni ključ podružnice i njene dozvoljene unutrašnje prefikse, a može uopšte da ne sadrži završnu tačku, jer identitet dolazi iz ključa, a ne iz izvorne adrese poslednjeg paketa. Ta asimetrija je ceo mehanizam i uklanja celu klasu problema sa otkrivanjem na strani čvorišta.

Kada podružnica pošalje autentifikovani paket, čvorište beleži izvor sa kog je stigao i koristi to mapiranje za odgovore. Ponovno numerisanje mobilne veze tada ne košta ništa osim sledećeg rukovanja, a svaka komponenta koja vam više ne treba je ona koja ne može da padne tokom prelaska. Tu osobinu vredi testirati tokom planirane promene, a ne tokom incidenta. Uradite to dok neko može istovremeno da gleda oba kraja.

Dajte podružnici konfiguraciju koja preživljava ponovno numerisanje

Držite završnu tačku i keepalive na podružnici, a unos partnera na čvorištu držite bez tvrdo kodirane adrese. Keepalive drži prevedeno mapiranje otvorenim dovoljno dugo da čvorište posle perioda mirovanja pošalje neželjeni saobraćaj.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Dvadeset pet sekundi je često citiran primer za održavanje NAT mapiranja živim, a ne zahtev za svakog partnera. Postavite ga prema vremenskom ograničenju mapiranja koje stvarno vidite i zapamtite da stvara saobraćaj na vezi sa ograničenjem podataka dok je interfejs uključen.

Na čvorištu dozvoljeni prefiksi partnera podružnice moraju da pokriju sve što će podružnica poslati. Prefiks koji nedostaje ponaša se kao greška u usmeravanju na udaljenom kraju i ne proizvodi nikakvo upozorenje ni na jednoj strani, zbog čega ga vredi pregledati pre prvog stvarnog paketa. Uporedite dozvoljene prefikse čvorišta sa adresama interfejsa podružnice pre prve veze.

Proverite mapiranje i prebacivanje

Potvrdite da se rukovanje završava, da čvorište navodi trenutnu završnu tačku podružnice i da su unutrašnje adrese podružnice dostupne kroz tunel. To je osnovna linija i treba je zabeležiti pre nego što iko dodirne mobilnu vezu. Dva reda izlaza su dovoljna. Držite ih u kartici zajedno sa vremenskom oznakom.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Zatim testirajte kvar zbog kog ovaj dizajn postoji. Izvucite primarni WAN i potvrdite da osnovna ruta podružnice ka čvorištu sada izlazi kroz mobilni interfejs. Tunel ne može da popravi slomljen fizički put, pa spoljna ruta koja još pokazuje na mrtvu uzlaznu vezu proizvodi istek vremena rukovanja koji izgleda tačno kao problem čvorišta.

Ako je spoljni put izričito vezan ili usmeren politikom, prebacivanje mora da ga uključi. Taj jaz između dizajna koji se ispravno čita i onog koji preživljava ispad obično je jedina stvar koja nedostaje.

Šta ovaj dizajn ne rešava

Ništa ovde ne dopušta dolaznu vezu ka podružnici. Ako nešto u sedištu mora da pozove mobilnu lokaciju, smer tunela je pogrešan za taj zahtev, a dinamički DNS samo ažurira ime. Prevod provajdera, dolazna politika i osvežavanje završne tačke od strane klijenta svi ostaju na putu, a promenjen zapis ne može da otvori NAT operatorskog nivoa.

Držite prefiks podružnice odvojen od svake druge lokacije i ograničite šta će njen pristupnik prosleđivati. Stabilna završna tačka čvorišta pojednostavljuje otkrivanje i ne čini ništa za dizajn usmeravanja, planiranje adresa ili pitanje koje rute aplikacija preživljavaju prebacivanje.

Upišite četiri stvari u priručnik: ko počinje, koji su prefiksi dozvoljeni, koliko traje keepalive i šta se dešava kada primarna veza padne. Ti redovi su ono što budućem operateru zaista treba u tri sata ujutru.