Проблема с Wireguard — подключено, но трафика нет

Пока ты не определишься с WireGuard, прогресса не будет. Кто у тебя в роутере — peer SERVER для рукопожатия, а кто CLIENT? Ты ограничиваешь WireGuard одним эффективным пользователем (/30) — ЗАЧЕМ??? Это снижает твои возможности как администратора на обоих роутерах: ты не сможешь подключаться к ним с разных устройств — ноутбука, смартфона, планшета и так далее. Или админ отвечает только за удалённый роутер? Тогда хотя бы посмотри на /29, там порядка 6 хостов. Убедись, что в настройках обнаружения интернета стоит NONE, иначе могут возникнуть проблемы.

Будем исходить из того, что домашний роутер — главный.

Главный роутер  
/interface wireguard add listen-port=15677 mtu=1420 name=WG-Home  
/interface wireguard peers add allowed-address=10.20.30.2/29,172.16.46.0/24 interface=WG-Home public-key="KEY" comment="remote router"  
/ip address add address=172.16.45.1/24 comment=defconf interface=bridge network=172.16.45.0  
/ip address add address=10.20.30.1/29 interface=WG-Home network=10.20.30.0  
/ip firewall filter add action=accept chain=input comment=WireGuard dst-port=15677 protocol=udp  
/ip firewall filter add action=accept chain=forward comment="relay traffic from admin" in-interface=WG-Home out-interface=WG-Home  

Примечание: это позволит тебе как администратору подключаться peer-to-peer к домашнему роутеру, а уже оттуда — к удалённому роутеру для любых нужд!

По остальным правилам файрвола серьёзных проблем не вижу, кроме путаницы с порядком правил. Убери беспорядок: держи правила входящего трафика вместе, правила маршрутизации — вместе. Ошибки и неверный порядок станет видно гораздо яснее. Например, у тебя куча правил в цепочке forward идут раньше стандартных правил fasttrack и accept established related — так лучше не делать.

Последний момент:  
обязательно поправь список интерфейсов:  
/interface list member add comment=defconf interface=ether1 list=WAN  
/interface list member add comment=defconf interface=bridge list=LAN  
/interface list member add interface=WG-Home list=LAN  

Удалённый роутер  
/interface wireguard add listen-port=13231 mtu=1420 name=WG-Perstorp private-key="KEY"  
/interface wireguard peers add allowed-address=10.20.30.0/29,172.16.45.0/24 endpoint-address=xxxx.sn.mynetname.net endpoint-port=15677 interface=WG-Perstorp name=Home persistent-keepalive=35s public-key="KEY"  
/ip address add address=172.16.46.1/24 comment=defconf interface=bridge network=172.16.46.0  
/ip address add address=10.20.30.2/29 interface=WG-Perstorp network=10.20.30.0  

(правило input chain с портом 13231 можно уже убрать).

++++++++++++++++++++++++++++++++++++++++++++++++++++++++

Как только настроим WireGuard, тебе нужно будет привести безопасность в порядок, чтобы она действительно работала, а не была широко открыта внутри сети.

Пожалуйста, выложите последние версии каждого устройства. Внимание: если вы не внесли рекомендованные изменения, я не буду отвечать дальше. Если вы не ответите на заданные вопросы, я также не буду дальше отвечать.

Как и просили, пожалуйста, выложите последние конфигурации обоих устройств.

Все ещё не работает, кто-нибудь может помочь?

Perstorp Client Peer для рукопожатия.  
Держи сетевой адрес и подсеть в wireguard согласованными, так что измени это:  
/ip address add address=10.20.30.2/30 interface=WG-Perstorp network=10.20.30.0  
НА:  
/ip address add address=10.20.30.2/29 interface=WG-Perstorp network=10.20.30.0  

Правила фаервола нужно доработать, но сначала скажи, ЗАЧЕМ у тебя это правило…  
/ip firewall filter add action=accept chain=input dst-port=13231 protocol=udp ???  

Держи цепочки вместе — так гораздо легче читать и находить ошибки. Правило ретрансляции строго для Server Peer (то есть другого роутера — подумай логично, все пиры подключаются к серверу для пиринговых соединений). На сервере мы хотим в правилах фаервола позволить трафику выходить из туннеля и входить в другой туннель (исходящий трафик, только для Server Peer, так как у него несколько туннелей)… и правила должны идти в таком порядке:  

/ip firewall filter add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
/ip firewall filter add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid  
/ip firewall filter add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp  
/ip firewall filter add action=drop chain=input comment=“defconf: drop all not coming from LAN” in-interface-list=!LAN  

++++++++++++++++  

/ip firewall filter add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related hw-offload=yes  
/ip firewall filter add action=accept chain=forward comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
/ip firewall filter add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid  
/ip firewall filter add action=accept chain=forward comment=“internet traffic” in-interface-list=LAN out-interface-list=WAN  
/ip firewall filter add action=accept chain=forward comment=“Remote users to local LAN” dst-address=172.16.46.0/24 in-interface=WG-Perstorp src-address=172.16.45.0/24  
/ip firewall filter add action=accept chain=forward comment=“Local users into wireguard” dst-address=172.16.45.0/24 out-interface=WG-Perstorp src-address=172.16.46.0/24  
/ip firewall filter add action=accept chain=forward comment=“port forwarding” connection-nat-state=dstnat  
/ip firewall filter add action=drop chain=forward comment=“Drop all else”  

/ip firewall nat add action=masquerade chain=srcnat comment=“defconf: masquerade” ipsec-policy=out,none out-interface-list=WAN  

Не думаю, что тут что-то мешало локальному трафику выходить… проверю другой роутер.

Привет, я совсем запутался. Следовал твоим рекомендациям, но так и не получил трафика между серверами 172.16.45.200 ↔ 172.16.46.200 ни одним из способов. Если пытаюсь сделать ping с домашнего роутера на Perstorp 172.16.46.1 — ответ есть, но ping на 172.16.46.200 — таймаут, и правило «Drop all else» на Perstorp блокирует трафик.

«forward: in:WG-Perstorp out:bridge, connection-state:new proto ICMP (type 8, code 0), 10.20.30.1->172.16.46.200, len 56»

То же самое в обратную сторону:

«forward: in:WG-Home out:bridge, connection-state:new proto ICMP (type 8, code 0), 10.20.30.2->172.16.45.200, len 56»

Если отключить правило «Drop all else», ответ появляется.

Последние конфигурации Perstorp_041224.txt (7.92 КБ) Home_041224.txt (9.08 КБ)