WireGuard 5G filial: filial markazni o'zi chaqirsin

Filialni markazga yo'naltirish bu loyihaning oson yarmi, agar filial o'zgaruvchan mobil manzil ortida turgan bo'lsa va markazning barqaror nomi bo'lsa. Shunda markaz filialni siz yangilab turishingiz kerak bo'lgan yozuvdan emas, autentifikatsiya qilingan trafikdan o'rganadi. Shartnoma oddiy: har doim filial boshlaydi.

Buni ataylab sozlang, so'ng odamlar ishlaydi deb o'ylaydigan qismini tekshiring. Ikkala qadam ham daqiqalar oladi va bunday loyihalar odatda ikkinchisida muvaffaqiyatsizlikka uchraydi.

Barqaror oxirgi nuqtani qaysi tomon ushlab turadi

Filial konfiguratsiyasi markazning oxirgi nuqtasi va uning ochiq kalitini ko'rsatadi. Markaz konfiguratsiyasi filialning ochiq kaliti va uning ruxsat etilgan ichki prefikslarini ko'rsatadi va umuman oxirgi nuqtaga ega bo'lmasligi mumkin, chunki shaxs kalitdan keladi, oxirgi paketning manba manzilidan emas. Aynan shu assimetriya butun mexanizm bo'lib, u markaz tomonidan aniqlash muammolarining butun sinfini olib tashlaydi.

Filial autentifikatsiya qilingan paket yuborganda, markaz u kelgan manbani qayd etadi va javoblar uchun shu xaritadan foydalanadi. Shunda mobil liniyani qayta raqamlash keyingi qo'l siqishdan boshqa hech narsaga turmaydi va endi kerak bo'lmagan har bir komponent almashtirish paytida ishdan chiqa olmaydigan komponentdir. Bu xususiyat rejalashtirilgan o'zgartirish paytida sinab ko'rishga arziydi, hodisa paytida emas. Buni kimdir ikkala uchini bir vaqtda kuzata olganda qiling.

Filialga qayta raqamlashga chidamli konfiguratsiya bering

Oxirgi nuqta va keepalive filialda tursin, markazdagi sherik yozuvi esa qattiq kodlangan manzildan xoli bo'lsin. keepalive tarjima qilingan xaritani markaz bo'sh turgan davrdan keyin so'ralmagan trafik yubora olishi uchun yetarlicha uzoq ochiq tutadi.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Yigirma besh soniya NAT xaritasini tirik saqlash uchun tez-tez keltiriladigan misol, har bir sherik uchun talab emas. Uni siz haqiqatan kuzatadigan xarita muddatiga qarab belgilang va interfeys yoniq turganda u ma'lumot cheklangan liniyada trafik hosil qilishini unutmang.

Markazda filial sherigining ruxsat etilgan prefikslari filial yuboradigan barcha narsani qamrab olishi kerak. Yetishmayotgan prefiks uzoq uchida marshrutlash nosozligidek ishlaydi va hech bir tomonda ogohlantirish chiqarmaydi, shuning uchun birinchi haqiqiy paketdan oldin uni ko'rib chiqishga arziydi. Birinchi ulanishdan oldin markazning ruxsat etilgan prefikslarini filial interfeys manzillari bilan solishtiring.

Xaritani va uzilishdagi o'tishni tekshiring

Qo'l siqish tugashini, markaz filialning joriy oxirgi nuqtasini sanab o'tishini va tunnel orqali filialning ichki manzillariga yetib borish mumkinligini tasdiqlang. Bu asosiy chiziq va kimdir mobil liniyaga tegishdan oldin u qayd etilishi kerak. Ikki satr chiqish yetarli. Ularni vaqt tamg'asi bilan biletda saqlang.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

So'ng bu loyiha mavjud bo'lgan nosozlikni sinab ko'ring. Asosiy WANni uzib oling va filialning markazga boradigan asosiy yo'nalishi endi mobil interfeys orqali chiqishini tasdiqlang. Tunnel buzilgan jismoniy yo'lni tuzata olmaydi, shuning uchun o'lik yuqori liniyaga hali ham ishora qiluvchi tashqi yo'nalish qo'l siqish muddati tugashini keltirib chiqaradi va u xuddi markaz muammosiga o'xshaydi.

Agar tashqi yo'l aniq bog'langan yoki siyosat bilan marshrutlangan bo'lsa, uzilishdagi o'tish uni ham qamrab olishi kerak. To'g'ri o'qiladigan loyiha bilan uzilishni yengadigan loyiha o'rtasidagi bu bo'shliq odatda yagona yetishmayotgan narsadir.

Bu loyiha nimani hal qilmaydi

Bu yerda hech narsa filialga kiruvchi ulanishga ruxsat bermaydi. Agar bosh ofisda biror narsa mobil saytga qo'ng'iroq qilishi kerak bo'lsa, bu talab uchun tunnel yo'nalishi noto'g'ri va dinamik DNS faqat nomni yangilaydi. Provayder tarjimasi, kiruvchi siyosat va mijozning oxirgi nuqtani yangilashi barchasi yo'lda qoladi va o'zgargan yozuv operator darajasidagi NATni ocha olmaydi.

Filial prefiksini har bir boshqa saytdan alohida saqlang va uning shlyuzi nimani uzatishini cheklang. Barqaror markaz oxirgi nuqtasi aniqlashni soddalashtiradi va marshrutlash loyihasi, manzil rejalashtirish yoki qaysi amaliyot yo'llari uzilishdan omon qoladi degan savol uchun hech narsa qilmaydi.

Runbookka to'rt narsa yozing: kim boshlaydi, qaysi prefikslarga ruxsat berilgan, keepalive qancha davom etadi va asosiy liniya uzilganda nima bo'ladi. Aynan shu satrlar kelajakdagi operatorga tunda soat uchda haqiqatan kerak bo'ladi.