WireGuard 5G degë: lëreni degën të telefonojë vetë qendrën

Drejtimi i një dege drejt një qendre është gjysma e lehtë e këtij dizajni kur dega qëndron pas një adrese celulare që ndryshon dhe qendra ka një emër të qëndrueshëm. Atëherë qendra e mëson degën nga trafiku i autentikuar, në vend të një regjistri që duhet ta mbani të përditësuar. Kontrata është e thjeshtë: dega nis gjithmonë.

Konfiguroni atë me qëllim dhe më pas verifikoni pjesën që njerëzit supozojnë se funksionon. Të dy hapat marrin minuta, dhe është në të dytin që këto dizajne zakonisht dështojnë.

Cila anë mban pikën e fundit të qëndrueshme

Konfigurimi i degës emërton pikën e fundit dhe çelësin publik të qendrës. Konfigurimi i qendrës emërton çelësin publik të degës dhe prefikset e saj të brendshme të lejuara, dhe mund të mos mbajë fare pikë të fundit, sepse identiteti vjen nga çelësi dhe jo nga adresa burimore e paketës së fundit. Kjo asimetri është i gjithë mekanizmi, dhe heq një klasë të tërë problemesh zbulimi nga ana e qendrës.

Kur dega dërgon një paketë të autentikuar, qendra regjistron burimin nga i cili erdhi dhe përdor atë hartëzim për përgjigjet. Rinumerimi i lidhjes celulare atëherë nuk kushton asgjë përveç shtrëngimit të duarve të radhës, dhe çdo komponent që nuk ju nevojitet më është një që nuk mund të dështojë gjatë një kalimi. Kjo veti meriton të testohet gjatë një ndryshimi të planifikuar dhe jo gjatë një incidenti. Bëjeni ndërsa dikush mund të shikojë të dy skajet njëkohësisht.

Jepini degës një konfigurim që i reziston rinumerimit

Mbajeni pikën e fundit dhe keepalive në degë, dhe mbajeni zërin e partnerit në qendër pa një adresë të koduar fort. Keepalive e mban hartëzimin e përkthyer hapur mjaft gjatë që qendra të mund të dërgojë trafik të pakërkuar pas një periudhe pasiviteti.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Njëzet e pesë sekonda është shembulli që citohet shpesh për të mbajtur gjallë një hartëzim NAT, jo një kërkesë për çdo partner. Vendoseni sipas afatit të hartëzimit që vëzhgoni vërtet, dhe mbani mend se gjeneron trafik në një lidhje me limit të dhënash sa kohë ndërfaqja është e ndezur.

Në qendër, prefikset e lejuara të partnerit të degës duhet të mbulojnë gjithçka që dega do të dërgojë. Një prefiks që mungon sillet si një dështim rrugëtimi në skajin e largët dhe nuk prodhon asnjë paralajmërim në asnjërën anë, prandaj ia vlen ta rishikoni para paketës së parë reale. Krahasoni prefikset e lejuara të qendrës me adresat e ndërfaqes së degës para lidhjes së parë.

Verifikoni hartëzimin dhe kalimin

Konfirmoni që shtrëngimi i duarve përfundon, që qendra liston pikën e fundit aktuale të degës dhe që adresat e brendshme të degës arrihen përmes tunelit. Kjo është linja bazë, dhe duhet regjistruar para se dikush të prekë lidhjen celulare. Dy rreshta daljeje mjaftojnë. Mbajini në biletë bashkë me vulën e kohës.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Më pas testoni dështimin për të cilin ekziston dizajni. Hiqni WAN-in kryesor dhe konfirmoni që rruga bazë e degës drejt qendrës tani del përmes ndërfaqes celulare. Një tunel nuk mund të riparojë një shteg fizik të thyer, ndaj një rrugë e jashtme që ende tregon drejt një lidhjeje të vdekur prodhon një afat të skaduar të shtrëngimit të duarve që duket saktësisht si problem i qendrës.

Nëse shtegu i jashtëm është i lidhur në mënyrë eksplicite ose i rrugëtuar me politikë, kalimi duhet ta përfshijë atë. Ai hendek midis një dizajni që lexohet saktë dhe një që i reziston një ndërprerjeje është zakonisht e vetmja gjë që mungon.

Çfarë nuk zgjidh ky dizajn

Asgjë këtu nuk lejon një lidhje hyrëse drejt degës. Nëse diçka në selinë qendrore duhet të telefonojë vendndodhjen celulare, drejtimi i tunelit është i gabuar për atë kërkesë, dhe DNS dinamik përditëson vetëm një emër. Përkthimi i ofruesit, politika e hyrjes dhe rifreskimi i pikës së fundit nga klienti mbeten të gjitha në rrugë, dhe një regjistër i ndryshuar nuk mund të hapë NAT të nivelit të operatorit.

Mbajeni prefiksin e degës të dallueshëm nga çdo vend tjetër, dhe kufizoni çfarë do të përcjellë porta e saj. Pika e fundit e qëndrueshme e qendrës thjeshton zbulimin dhe nuk bën asgjë për dizajnin e rrugëtimit, planifikimin e adresave ose pyetjen se cilat rrugë aplikacionesh i rezistojnë një kalimi.

Shkruani katër gjëra në runbook: kush nis, cilat prefikse lejohen, sa zgjat keepalive dhe çfarë ndodh kur lidhja kryesore bie. Ato rreshta janë pikërisht ajo që një operator i ardhshëm ka nevojë vërtet në orën tre të mëngjesit.