WireGuard 5G podružnica: naj podružnica sama kliče zvezdišče

Ko podružnica kliče zvezdišče, temu ni treba nikoli odkriti spreminjajočega se mobilnega naslova. Konfigurirajte, preverite in nato poglejte, česa to ne reši.

Usmeriti podružnico na zvezdišče je lahka polovica te zasnove, ko podružnica stoji za spreminjajočim se mobilnim naslovom in ima zvezdišče stabilno ime. Tedaj se zvezdišče podružnice nauči iz overjenega prometa, ne pa iz zapisa, ki ga morate vzdrževati ažurnega. Pogodba je preprosta: podružnica vedno začne.

Konfigurirajte to namerno in nato preverite del, za katerega ljudje domnevajo, da deluje. Oba koraka trajata minute in prav pri drugem te zasnove običajno odpovejo.

Katera stran drži stabilno končno točko

Konfiguracija podružnice navaja končno točko zvezdišča in njegov javni ključ. Konfiguracija zvezdišča navaja javni ključ podružnice in njene dovoljene notranje predpone, in morda nima nobene končne točke, ker identiteta prihaja iz ključa in ne iz izvornega naslova zadnjega paketa. Ta asimetrija je ves mehanizem in odstrani cel razred težav z odkrivanjem na strani zvezdišča.

Ko podružnica pošlje overjen paket, zvezdišče zabeleži vir, od koder je prišel, in to preslikavo uporabi za odgovore. Preštevilčenje mobilne povezave potem ne stane ničesar razen naslednjega rokovanja, in vsaka komponenta, ki je ne potrebujete več, je tista, ki med prehodom ne more odpovedati. To lastnost je vredno preizkusiti med načrtovano spremembo in ne med incidentom. Naredite to, medtem ko lahko nekdo opazuje oba konca hkrati.

Dajte podružnici konfiguracijo, ki preživi preštevilčenje

Držite končno točko in keepalive na podružnici, vnos partnerja v zvezdišču pa držite brez trdo zakodiranega naslova. Keepalive drži prevedeno preslikavo odprto dovolj dolgo, da lahko zvezdišče po obdobju mirovanja pošlje nezahtevan promet.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Petindvajset sekund je pogosto naveden primer za ohranjanje preslikave NAT pri življenju, ne pa zahteva za vsakega partnerja. Nastavite ga po časovni omejitvi preslikave, ki jo resnično opazujete, in ne pozabite, da ustvarja promet na povezavi z omejitvijo podatkov, dokler je vmesnik aktiven.

V zvezdišču morajo dovoljene predpone partnerja podružnice pokriti vse, kar bo podružnica poslala. Manjkajoča predpona se obnaša kot napaka usmerjanja na oddaljenem koncu in ne ustvari nobenega opozorila na nobeni strani, zato jo je vredno pregledati pred prvim resničnim paketom. Pred prvo povezavo primerjajte dovoljene predpone zvezdišča z naslovi vmesnikov podružnice.

Preverite preslikavo in preklop

Potrdite, da se rokovanje dokonča, da zvezdišče navaja trenutno končno točko podružnice in da so notranji naslovi podružnice dosegljivi skozi tunel. To je izhodišče in zabeležiti bi ga bilo treba preden se kdo dotakne mobilne povezave. Dve vrstici izhoda sta dovolj. Shranite ju v zahtevek s časovnim žigom.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Nato preizkusite okvaro, zaradi katere ta zasnova obstaja. Izvlecite primarni WAN in potrdite, da osnovna pot podružnice proti zvezdišču zdaj izhaja skozi mobilni vmesnik. Tunel ne more popraviti pretrgane fizične poti, zato zunanja pot, ki še vedno kaže na mrtvo vzponsko povezavo, povzroči časovno prekoračitev rokovanja, ki je videti natanko kot težava zvezdišča.

Če je zunanja pot izrecno vezana ali usmerjena s politiko, jo mora preklop vključevati. Ta vrzel med zasnovo, ki se pravilno bere, in tisto, ki preživi izpad, je običajno edina stvar, ki manjka.

Česa ta zasnova ne reši

Nič tukaj ne dopušča vhodne povezave do podružnice. Če mora kaj na sedežu poklicati mobilno lokacijo, je smer tunela za to zahtevo napačna, dinamični DNS pa posodobi le ime. Prevajanje ponudnika, vhodna politika in osveževanje končne točke s strani odjemalca vse ostajajo na poti, spremenjen zapis pa ne more odpreti NAT na ravni operaterja.

Držite predpono podružnice ločeno od vsake druge lokacije in omejite, kaj bo njen prehod posredoval. Stabilna končna točka zvezdišča poenostavi odkrivanje in ne naredi ničesar za zasnovo usmerjanja, načrtovanje naslovov ali vprašanje, katere poti aplikacij preživijo preklop.

V runbook zapišite štiri stvari: kdo začne, katere predpone so dovoljene, kako dolg je keepalive in kaj se zgodi, ko primarna povezava pade. Prav te vrstice bodoči operater ob treh zjutraj resnično potrebuje.

Sorodni članki