WireGuard 5G филијала: нека филијала сама позове чвориште

Када филијала позове чвориште, чвориште никада не мора да открије променљиву мобилну адресу. Конфигуришите, проверите, па погледајте шта овим није решено.

Усмерити филијалу на чвориште лака је половина овог дизајна када филијала стоји иза променљиве мобилне адресе, а чвориште држи стабилно име. Тада чвориште учи филијалу из аутентификованог саобраћаја, уместо из записа који морате да одржавате ажурним. Уговор је једноставан: филијала увек почиње.

Конфигуришите то намерно, па проверите део за који људи претпостављају да ради. Оба корака трају неколико минута, а на другом ови дизајни обично падају.

Која страна држи стабилну завршну тачку

Конфигурација филијале именује завршну тачку чворишта и његов јавни кључ. Конфигурација чворишта именује јавни кључ филијале и њене дозвољене унутрашње префиксе, а може уопште да не садржи завршну тачку, јер идентитет долази из кључа, а не из изворне адресе последњег пакета. Та асиметрија је цео механизам и уклања целу класу проблема са откривањем на страни чворишта.

Када филијала пошаље аутентификовани пакет, чвориште бележи извор са ког је стигао и користи то мапирање за одговоре. Поновно нумерисање мобилне везе тада не кошта ништа осим следећег руковања, а свака компонента која вам више не треба је она која не може да падне током преласка. Ту особину вреди тестирати током планиране промене, а не током инцидента. Урадите то док неко може истовремено да гледа оба краја.

Дајте филијали конфигурацију која преживљава поновно нумерисање

Држите завршну тачку и keepalive на филијали, а унос партнера на чворишту држите без тврдо кодиране адресе. Keepalive држи преведено мапирање отвореним довољно дуго да чвориште после периода мировања пошаље нежељени саобраћај.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Двадесет пет секунди је често цитиран пример за одржавање NAT мапирања живим, а не захтев за сваког партнера. Поставите га према временском ограничењу мапирања које стварно видите и запамтите да ствара саобраћај на вези са ограничењем података док је интерфејс укључен.

На чворишту дозвољени префикси партнера филијале морају да покрију све што ће филијала послати. Префикс који недостаје понаша се као грешка у усмеравању на удаљеном крају и не производи никакво упозорење ни на једној страни, због чега га вреди прегледати пре првог стварног пакета. Упоредите дозвољене префиксе чворишта са адресама интерфејса филијале пре прве везе.

Проверите мапирање и пребацивање

Потврдите да се руковање завршава, да чвориште наводи тренутну завршну тачку филијале и да су унутрашње адресе филијале доступне кроз тунел. То је основна линија и треба је забележити пре него што ико додирне мобилну везу. Два реда излаза су довољна. Држите их у картици заједно са временском ознаком.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Затим тестирајте квар због ког овај дизајн постоји. Извуците примарни WAN и потврдите да основна рута филијале ка чворишту сада излази кроз мобилни интерфејс. Тунел не може да поправи сломљен физички пут, па спољна рута која још показује на мртву узлазну везу производи истек времена руковања који изгледа тачно као проблем чворишта.

Ако је спољни пут изричито везан или усмерен политиком, пребацивање мора да га укључи. Тај јаз између дизајна који се исправно чита и оног који преживљава испад обично је једина ствар која недостаје.

Шта овај дизајн не решава

Ништа овде не допушта долазну везу ка филијали. Ако нешто у седишту мора да позове мобилну локацију, смер тунела је погрешан за тај захтев, а динамички DNS само ажурира име. Превод провајдера, долазна политика и освежавање завршне тачке од стране клијента сви остају на путу, а промењен запис не може да отвори NAT оператерског нивоа.

Држите префикс филијале одвојен од сваке друге локације и ограничите шта ће њен приступник прослеђивати. Стабилна завршна тачка чворишта поједностављује откривање и не чини ништа за дизајн усмеравања, планирање адреса или питање које руте апликација преживљавају пребацивање.

Упишите четири ствари у приручник: ко почиње, који су префикси дозвољени, колико траје keepalive и шта се дешава када примарна веза падне. Ти редови су оно што будућем оператеру заиста треба у три сата ујутру.

Повезани чланци