WireGuard 5G şube: şube merkezi kendisi arasın

Bir şubeyi merkeze yönlendirmek, şube değişen bir hücresel adresin arkasındayken ve merkezin kararlı bir adı varsa bu tasarımın kolay yarısıdır. O zaman merkez şubeyi güncel tutmanız gereken bir kayıttan değil, kimliği doğrulanmış trafikten öğrenir. Sözleşme basittir: her zaman şube başlatır.

Bunu bilerek yapılandırın ve ardından insanların çalıştığını varsaydığı kısmı doğrulayın. Her iki adım da dakikalar alır ve bu tasarımlar genellikle ikincisinde başarısız olur.

Hangi taraf kararlı uç noktayı tutar

Şube yapılandırması merkezin uç noktasını ve genel anahtarını belirtir. Merkez yapılandırması şubenin genel anahtarını ve izin verilen iç öneklerini belirtir ve hiç uç nokta taşımayabilir, çünkü kimlik son paketin kaynak adresinden değil anahtardan gelir. Bu asimetri tüm mekanizmadır ve merkez tarafından bir bütün keşif sorunu sınıfını kaldırır.

Şube kimliği doğrulanmış bir paket gönderdiğinde merkez paketin geldiği kaynağı kaydeder ve yanıtlar için bu eşlemeyi kullanır. Hücresel bağlantıyı yeniden numaralandırmak o zaman bir sonraki el sıkışmadan başka hiçbir şeye mal olmaz ve artık ihtiyaç duymadığınız her bileşen geçiş sırasında arızalanamayan bir bileşendir. Bu özellik planlı bir değişiklik sırasında test edilmeye değer, bir olay sırasında değil. Bunu birileri iki ucu aynı anda izleyebilirken yapın.

Şubeye yeniden numaralandırmaya dayanan bir yapılandırma verin

Uç noktayı ve keepalive'ı şubede tutun, merkezdeki eş girdisini sabit kodlanmış bir adresten uzak tutun. Keepalive çevrilmiş eşlemeyi merkezin boşta kalma döneminden sonra istenmeyen trafik gönderebilmesi için yeterince uzun açık tutar.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Yirmi beş saniye, NAT eşlemesini canlı tutmak için sık sık anılan örnektir, her eş için bir zorunluluk değildir. Gerçekten gözlemlediğiniz eşleme zaman aşımına göre ayarlayın ve arayüz açık olduğu sürece veri limitli bir bağlantıda trafik ürettiğini unutmayın.

Merkezde şube eşinin izin verilen önekleri şubenin göndereceği her şeyi kapsamalıdır. Eksik bir önek uzak uçta yönlendirme arızası gibi davranır ve iki tarafta da hiçbir uyarı üretmez, bu yüzden ilk gerçek paketten önce gözden geçirmeye değer. İlk bağlantıdan önce merkezin izin verilen öneklerini şubenin arayüz adresleriyle karşılaştırın.

Eşlemeyi ve yük devretmeyi doğrulayın

El sıkışmanın tamamlandığını, merkezin şubenin mevcut uç noktasını listelediğini ve şubenin iç adreslerine tünel üzerinden ulaşılabildiğini doğrulayın. Bu temel çizgidir ve biri hücresel bağlantıya dokunmadan önce kaydedilmelidir. İki satır çıktı yeterlidir. Zaman damgasıyla birlikte kayıtta saklayın.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Ardından bu tasarımın var olma nedenini test edin. Birincil WAN'ı çekin ve şubenin merkeze giden temel rotasının artık hücresel arayüzden çıktığını doğrulayın. Bir tünel kopmuş fiziksel yolu onaramaz, bu nedenle hâlâ ölü bir üst bağlantıya işaret eden dış rota, tam olarak merkez sorunu gibi görünen bir el sıkışma zaman aşımı üretir.

Dış yol açıkça bağlanmış veya politikayla yönlendirilmişse yük devretme onu içermelidir. Doğru okunan bir tasarım ile kesintiyi atlatan tasarım arasındaki bu boşluk genellikle eksik olan tek şeydir.

Bu tasarım neyi çözmez

Burada hiçbir şey şubeye gelen bağlantıya izin vermez. Merkez ofiste bir şeyin hücresel sahaya erişmesi gerekiyorsa bu gereksinim için tünel yönü yanlıştır ve dinamik DNS yalnızca bir adı günceller. Sağlayıcı çevirisi, gelen politika ve istemcinin uç nokta yenilemesi hepsi yolda kalır ve değişen bir kayıt operatör düzeyinde NAT açamaz.

Şubenin önekini diğer her sahadan ayrı tutun ve ağ geçidinin neyi ileteceğini sınırlayın. Kararlı merkez uç noktası keşfi basitleştirir ve yönlendirme tasarımı, adres planlaması veya hangi uygulama rotalarının yük devretmeyi atlattığı sorusu için hiçbir şey yapmaz.

Runbook'a dört şey yazın: kim başlatır, hangi öneklere izin verilir, keepalive ne kadar sürer ve birincil bağlantı düştüğünde ne olur. Gelecekteki bir operatörün gece üçte gerçekten ihtiyaç duyduğu satırlar bunlardır.