ليش نقلنا أنفاق المواقع من L2TP/IPsec إلى WireGuard

المشكلة: نفق ينقطع مثل الساعة

سيرفر المراقبة مالتنا يحتاج طريق دائم لداخل شبكة الكور عند مزوّد إنترنت، حتى يسوي بنق للأجهزة ويقرا عدّادات الراوترات ويستقبل السجلات. النسخة الأولى كانت L2TP فوق IPsec، لأن راوتر الكور يدعمها جاهز وهي أول شي يفكر بيه أغلب الناس. اشتغلت، بس الرسوم البيانية كانت بيها فراغات. من رتّبنا السجلات جنب بعض طلع النمط دقيق: النفق ينزل كل 6 دقائق و19 ثانية، يرجع، وينزل مرة ثانية.

انقطاع كل كم دقيقة يبين شي بسيط، بس لنظام مراقبة هو سم. كل انقطاع يطلّع تنبيهات كاذبة «الجهاز طافي»، يقطع الجلسات الطويلة، ويخلي أرقام التوفّر بلا معنى. والأخطر إن الناس تبطّل تصدّق التنبيهات.

ليش L2TP/IPsec كان هش هنا

L2TP/IPsec هو بروتوكولين فوق بعض: IPsec يسوي التشفير وتبادل المفاتيح، وL2TP يشيل جلسة PPP جوّاه. كل طبقة إلها مؤقّتاتها: عمر IKE، عمر IPsec SA، فترات hello مال L2TP، وkeepalive مال PPP. إذا الطرفين اختلفوا على أي واحد منها، طرف يقطع أو يجدّد المفاتيح والطرف الثاني بعده يحسب كلشي تمام. الفترة الثابتة كانت تأشّر مباشرة على عدم تطابق بالمؤقّتات وتجديد المفاتيح بين الطرفين.

چان نگدر نلاحق كل مؤقّت بالطرفين، بس هذا يصلّح هالزوج بس ويخلّي نفس الهشاشة بالموقع الجاي. فقررنا نغيّر الأداة نفسها.

شنو يغيّر WireGuard

WireGuard بروتوكول واحد صغير فوق UDP. كل طرف عنده زوج مفاتيح، والطرف الثاني يتعرّف بمفتاحه العام وبالعناوين المسموح تعبر من خلاله. ماكو طبقة جلسات منفصلة، ماكو تفاوض على خوارزميات، وتجديد المفاتيح يصير بالخلفية بدون ما ينزل النفق.

• بورت UDP واحد ينفتح بالجدار الناري، بدل IKE وNAT-T وL2TP.
• إعدادات كم سطر بكل طرف، سهلة المراجعة.
• إذا تغيّر العنوان العام لأحد الطرفين، النفق يتبع أول حزمة صحيحة توصل.

شلون سوّينا النقل

1. سوّينا واجهة WireGuard على راوتر الكور وعلى سيرفر المراقبة، بنطاق صغير مخصص للربط بين النقطتين.
2. بطرف الراوتر سمحنا بس بالمفتاح العام مال سيرفر المراقبة وبعنوان النفق بس.
3. ضبطنا persistent keepalive على 25 ثانية بطرف السيرفر حتى حالة الـNAT والجدار ما تنتهي أبداً.
4. حوّلنا مسارات نطاقات الإدارة الداخلية تمر من واجهة WireGuard بدل النفق القديم.
5. فتحنا بورت UDP الواحد بجدار الراوتر، ومحصور بعنوان سيرفر المراقبة بس.
6. تأكدنا إن كل جهاز مراقَب يوصله البنق قبل ما نلمس النفق القديم.

النتيجة

من النقل لهسه النفق ما انقطع ولا مرة. التنبيهات الكاذبة اختفت من أول ليلة، ورسوم التوفّر صارت خطوط مستقيمة وين لازم تكون مستقيمة، والتأخير عبر النفق نزل شوية لأن الحمل الإضافي على كل حزمة أقل. والأهم إن الفريق رجع يثق بالتنبيه: إذا وصل، يعني اكو مشكلة فعلاً.

خلّي الطريق القديم كخطة رجوع

ما مسحنا إعدادات L2TP/IPsec. عطّلناها بالطرفين وكتبنا ملاحظة بسجل التغييرات. إذا صار شي غريب بالأسابيع الأولى، الرجوع يكون تفعيل وإرجاع المسارات خلال دقيقة، مو إعادة بناء من الذاكرة. بعد ما يثبت الوضع فترة كافية، نقرر نشيله.

الخلاصة

إذا نفق ينقطع بفترة ثابتة، دوّر على مؤقّتات وتجديد مفاتيح مو متطابقة قبل ما تلوم المزوّد. ولربط ثابت بين موقعين أو بين سيرفر وراوتر، WireGuard أبسط وأثبت: بورت واحد، كم سطر إعدادات، وkeepalive كل 25 ثانية. وعطّل القديم، لا تمسحه، لحد ما الجديد يثبت نفسه.