WireGuard 5G chi nhánh: để chi nhánh tự gọi trung tâm

Trỏ một chi nhánh về trung tâm là nửa dễ của thiết kế này khi chi nhánh nằm sau một địa chỉ di động thay đổi và trung tâm có tên ổn định. Khi đó trung tâm học chi nhánh từ lưu lượng đã xác thực, thay vì từ một bản ghi mà bạn phải giữ cập nhật. Giao kèo rất đơn giản: chi nhánh luôn khởi tạo.

Hãy cấu hình có chủ đích, rồi xác minh phần mà mọi người cho là hoạt động. Cả hai bước chỉ mất vài phút, và chính ở bước thứ hai những thiết kế kiểu này thường thất bại.

Bên nào giữ điểm cuối ổn định

Cấu hình của chi nhánh nêu điểm cuối và khóa công khai của trung tâm. Cấu hình của trung tâm nêu khóa công khai của chi nhánh và các tiền tố nội bộ được phép, và có thể không có điểm cuối nào cả, vì danh tính đến từ khóa chứ không từ địa chỉ nguồn của gói cuối cùng. Sự bất đối xứng đó chính là toàn bộ cơ chế, và nó loại bỏ cả một lớp vấn đề khám phá ở phía trung tâm.

Khi chi nhánh gửi một gói đã xác thực, trung tâm ghi lại nguồn mà gói đến từ đó và dùng ánh xạ đó cho các phản hồi. Việc đánh số lại đường truyền di động khi đó không tốn gì ngoài lần bắt tay tiếp theo, và mọi thành phần bạn không còn cần là thứ không thể hỏng trong lúc chuyển đổi. Tính chất đó đáng để thử trong một thay đổi có kế hoạch chứ không phải trong một sự cố. Hãy làm việc đó khi có người quan sát được cả hai đầu cùng lúc.

Cho chi nhánh một cấu hình chịu được việc đánh số lại

Giữ điểm cuối và keepalive ở phía chi nhánh, và giữ mục đồng cấp trên trung tâm không có địa chỉ mã hóa cứng. keepalive giữ ánh xạ đã dịch mở đủ lâu để trung tâm có thể gửi lưu lượng không được yêu cầu sau một thời gian nhàn rỗi.

[Peer]
PublicKey = HUB_PUBLIC_KEY_BASE64
Endpoint = hub.example.net:51820
AllowedIPs = 10.60.0.0/24, 10.60.10.0/24
PersistentKeepalive = 25

Hai mươi lăm giây là ví dụ thường được trích dẫn để giữ một ánh xạ NAT sống, không phải yêu cầu cho mọi đồng cấp. Hãy đặt theo thời gian chờ ánh xạ mà bạn thực sự quan sát, và nhớ rằng nó tạo lưu lượng trên một đường truyền có hạn mức dữ liệu chừng nào giao diện còn bật.

Trên trung tâm, các tiền tố được phép của đồng cấp chi nhánh phải bao phủ mọi thứ chi nhánh sẽ gửi. Một tiền tố thiếu hành xử như một lỗi định tuyến ở đầu xa và không tạo cảnh báo ở bên nào, vì vậy đáng để xem lại trước gói thật đầu tiên. So sánh các tiền tố được phép của trung tâm với địa chỉ giao diện của chi nhánh trước kết nối đầu tiên.

Xác minh ánh xạ và việc chuyển đổi

Xác nhận rằng quá trình bắt tay hoàn tất, rằng trung tâm liệt kê điểm cuối hiện tại của chi nhánh và rằng các địa chỉ nội bộ của chi nhánh truy cập được qua đường hầm. Đó là đường cơ sở, và nên được ghi lại trước khi ai đó chạm vào đường truyền di động. Hai dòng kết quả là đủ. Hãy lưu chúng trong phiếu cùng dấu thời gian.

wg show wg0
wg show wg0 latest-handshakes
ip route show default
ping -c 3 10.60.10.1

Sau đó hãy thử lỗi mà thiết kế này tồn tại vì nó. Rút WAN chính ra và xác nhận rằng tuyến cơ bản của chi nhánh về trung tâm giờ đi qua giao diện di động. Đường hầm không thể sửa một đường vật lý đã đứt, nên một tuyến ngoài vẫn trỏ tới một đường lên đã chết sẽ tạo ra thời gian chờ bắt tay trông giống hệt một sự cố của trung tâm.

Nếu tuyến ngoài được gắn ràng buộc rõ ràng hoặc được định tuyến theo chính sách, việc chuyển đổi phải bao gồm nó. Khoảng cách giữa một thiết kế đọc đúng và một thiết kế sống sót qua sự cố thường là thứ duy nhất còn thiếu.

Điều thiết kế này không giải quyết

Ở đây không có gì cho phép một kết nối vào chi nhánh. Nếu điều gì đó ở trụ sở phải gọi tới địa điểm di động, hướng của đường hầm là sai cho yêu cầu đó, và DNS động chỉ cập nhật một cái tên. Việc dịch của nhà cung cấp, chính sách vào và việc máy khách làm mới điểm cuối đều nằm trên đường, và một bản ghi đã thay đổi không thể mở NAT cấp nhà mạng.

Giữ tiền tố của chi nhánh tách biệt với mọi địa điểm khác, và giới hạn những gì cổng của nó sẽ chuyển tiếp. Điểm cuối ổn định của trung tâm đơn giản hóa việc khám phá và không làm gì cho thiết kế định tuyến, quy hoạch địa chỉ hay câu hỏi tuyến ứng dụng nào sống sót qua một lần chuyển đổi.

Hãy viết bốn điều vào runbook: ai khởi tạo, những tiền tố nào được phép, keepalive dài bao lâu và điều gì xảy ra khi đường chính sập. Chính những dòng đó là thứ một người vận hành tương lai thực sự cần lúc ba giờ sáng.