2. Fórumok
  3. LOGOUT reakciók
  4. WireGuard VPN a mindennapokra
Keresés

Új hozzászólás Aktív témák

  • #27 stopperos senior tag yodee_ #26
    Új Válasz #27
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    stopperos

    senior tag

    válasz yodee_ #26 üzenetére

    Nem értem rá a témával foglalkozni a munkahelyi dolgaim miatt. Most viszont én is megszenvedtem egy site-to-site vpn-nel. A tűzfal résszel minden rendben volt, de valamiért nem mentek át a csomagok a wireguard alagútján.
    Kiindulás ez volt:
    Nálam mikrotik hAP ac2 (RouterOS 7.5):
    * wan: 192.168.0.2/27
    * lan: 10.40.7.1/27
    * wg: 172.16.222.150/24
    AllowedIps = 172.16.222.0/24

    Máshol archer C20i (openwrt-22.03):
    * wan: 192.168.1.150/24
    * lan: 10.3.40.1/27
    * wg: 172.16.222.120/24
    AllowedIps = 172.16.222.0/24

    Felhőben virtualbox (Ubuntu 22.04.1):
    * wg: 172.16.222.1/24
    # A klienseknek megfelelően az AllowedIps.
    AllowedIps = 172.16.222.150/32
    AllowedIps = 172.16.222.120/32

    Amit meg akartam oldani, hogy a 10.40.7.0/27 hálózatból el tudjam érni a 192.168.1.0/24 és 10.3.40.0/27 hálózatban lévő gépeket. A 172.16.222.0/24 hálózaton ment a ping minden irányba. A mikrotik-en felvettem az AllowedIps közé az a másik hálózat IP tartományát és ugyanezt visszafele is az archer-en. Valamint a route-okat az egyik hálózatból a másik wg interfész címére.
    * mikrotik: AllowedIps = 172.16.222.0/24,192.168.1.0/24,10.3.40.0/27
    * archer: AllowedIps = 172.16.222.0/24,10.40.7.0/27
    A route szabályokat nem írom ki.

    Ekkor még nem ment a ping. A traceroute pedig azt írta, hogy az első hop (172.16.222.1) még sikeres, viszont utána timeout.
    ...
    Itt kellett visszaemlékezni az általam leírt sorokra: "...és csak olyan csomag fog a hálózati csatolón megjelenni az alagút túloldalán, amelynél a forrás IP és a titkosítási kulcs is megfelelő. Ezt hívják kriptokulcs alapú forgalom irányításnak."

    Tehát hiányzott még egy-egy módosítás a virtualbox gépen:
    AllowedIps = 172.16.222.150/32,10.40.7.0/27
    AllowedIps = 172.16.222.120/32,10.3.40.0/27,192.168.1.0/24

    Ezek után működött a ping a 10.40.7.0/27 hálózatból a 192.168.1.0/24 és 10.3.40.0/27 hálózatba. Valamint az archer-ről a 10.40.7.0/27-ba is ment a ping.
    Összegezve:
    Meg kell azt nézni, hogy a wireguard alagútba bejutó csomagok átjutnak-e és az AllowedIps hiány miatt nem dobódnak-e el. A traceroute segíteni fog.

  • #22 stopperos senior tag yodee_ #20
    Új Válasz #22
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    stopperos

    senior tag

    válasz yodee_ #20 üzenetére

    Még mindig tűzfal gondod van, milyen szabályok vannak benn?

  • #12 stopperos senior tag yodee_ #11
    Új Válasz #12
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    stopperos

    senior tag

    válasz yodee_ #11 üzenetére

    Szia,
    A hálózatok összekapcsolása résszel még csak kísérletezek, mert eddig még ilyen kérés nem futott be, hogy meg kellett volna oldanom. Így nem fogok tudni rá válaszolni teljesen. Viszont van pár gondolatom:
    1) A 0.0.0.0/0 azt jelenti, hogy egy route jön létre minden forgalomra, ami az openwrt eszközre érkezik és a wireguard interfész felé küldi. Én azt próbálnám meg első körben, hogy csak a wireguard hálózatot veszem fel ide. "AllowedIps" Ez segítené a tesztelést.
    1.1) Majd egy az openwrt routerre csatlakoztatott eszközről megpróbálnám pingelni a mikrotik szerver wg ip címét. Ha sikerül akkor az openwrt-n rendben van a routing, ha nem akkor a tűzfalnál kell a forwarding-ot (továbbítást) és masquerade (álcázás) szabályokat létrehozni a zónák között.
    1.2) A leírásban az álcázós részt megtaláltam, de a továbbítást nem. Menj rá a lan=>wan sorban a szerkesztésre és az alján a forwarding engedélyezett hálózatoknál a wan mellé vedd fel a vpn hálózatod.
    2) Ha 0.0.0.0/0 -van akkor tudod-e pingelni a mikrotik wg IP címét akár kliensről akár az openwrt-ről. Valamint a WAN port IP címét és a google 8.8.8.8-asát kellene megnézni ugyanígy.

Új hozzászólás Aktív témák