Full-mesh VPN между нодами кластера. Конфигурация в infra/ansible/playbooks/wireguard/.

Описание

WireGuard создаёт приватную сеть 10.99.0.0/24 между всеми нодами. Топология — full-mesh: каждая нода связана со всеми остальными.

Архитектура

• Сеть: 10.99.0.0/24 (настраивается в .env)
• Интерфейс: wg0
• Порт: 51820/udp
• Туннели: n × (n-1) / 2 для n нод

Команды

WireGuard Client VPN

Для доступа к внутренним сервисам (Ingress, Grafana и т.д.) с рабочей машины:

1. make wireguard-client-setup — создаёт клиента на первом master
2. make wireguard-client-config — генерирует .conf в infra/wireguard-clients/<client_name>.conf
3. Импортируйте конфиг в WireGuard на своей машине

Базовый порядок

1
2
3
4

cd infra
make wireguard
make wireguard-status
make wireguard-test

Lifecycle и эксплуатация

• Источник настроек: .env (WIREGUARD_*, NODE_X_WIREGUARD_IP, client-переменные).
• При добавлении ноды нужно перегенерировать full-mesh (make wireguard) на весь кластер.
• Конфиги клиентов хранятся в infra/wireguard-clients/; ротацию ключей проводить при смене доступа.
• Проверки после изменений: make wireguard-status и make wireguard-test.

Проверка

1
2
3
4
5
6

make wireguard-status
make wireguard-test

# Вручную (примеры IP):
ping 10.99.0.11   # master1
ping 10.99.0.21   # worker1

Связанные страницы

• Ansible — управление нодами
• Kubernetes — кластер
• Internal DNS — DNS-контур внутренней сети
• Ingress — внутренние сервисы доступны через VPN whitelist
• infra/README.md