+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Wireguard сайт к сайту с OSPF

Wireguard сайт к сайту с OSPF, RouterOS

rahuljj

Guest

08.01.2022 08:58:00

Привет! Я перерыл большинство форумов на эту тему, но так и не нашёл решения, поэтому решил спросить здесь. Хочу использовать WireGuard site-to-site вместе с OSPF. Успешно создал пиры WireGuard на всех удалённых сайтах и подключил их к центральному, весь трафик отлично идёт по статическим маршрутам. Теперь хочу убрать статические маршруты и перейти на OSPF. Поддерживает ли OSPF WireGuard на ROS7? Спасибо!

blurrybird

Guest

27.02.2022 05:58:00

Когда я использую wg и разрешаю 0.0.0.0/0, маршруты ядра wg начинают создавать хаос. Вдруг весь трафик идет через туннель wg (вместо того чтобы только сайт-сайт трафик). И когда на этом фоне настраиваю BGP, возникают петли маршрутизации. Как вы с этим справляетесь?

JoshDi

Guest

27.02.2022 20:32:00

Для WG нужно указать подсети, которые находятся на двух соединениях site-to-site, и сети, к которым вы хотите иметь доступ через WG, в поле allowed-networks. Запись 0.0.0.0/0 говорит WG разрешить все сети и сделать соединение WG вашим основным шлюзом по умолчанию (0.0.0.0/0). Использовать Allowed Networks 0.0.0.0/0 стоит только если вы хотите, чтобы весь трафик проходил через интерфейс WG, а, похоже, вы этого не хотите.

tonci

Guest

15.08.2022 22:34:00

Мой клиент имеет мульти s2s full mesh топологию (см. вложение), и мне наконец удалось внедрить WireGuard (VPN-соединения) и OSPF. Я всё ещё не уверен, можно ли было решить это с помощью одного WG-интерфейса на каждый роутер или нет, потому что опыта с WG у меня пока мало, но каждый раз, когда я добавлял пир с той же разрешённой сетью на тот же WG-интерфейс, вся установка ломалась. Поэтому, как только я создал WG-интерфейс для каждого VPN-соединения, всё заработало сразу… роутеры mt1, … mt4 находятся в полной mesh-сети (по 3 WG-интерфейса на каждый). Вот такая топология в GNS3:

Роутеры mt5 и mt6 играют роль «интернета» (10.9.0.0/16), поэтому между роутерами нет широковещательного трафика OSPF, а mt6 выполняет NAT для WG VPN-соединений с роутеров mt7 и mt8. Тип OSPF — «nbma». Всё работает достаточно стабильно, OSPF быстро и точно пересчитывает маршруты…

aoakeley

Guest

18.08.2022 02:04:00

Я не вижу этого (что WG становится маршрутом по умолчанию при использовании 0.0.0.0/0). У меня много сетей WireGuard, все они используют OSPF между множеством площадок. Я никогда не замечал такого изменения маршрутизации. Просто 0.0.0.0/0 у меня разрешает весь трафик проходить через ссылку WG, если я так настрою маршрутизацию. У меня сотни туннелей WireGuard, и я никогда не видел, чтобы 0.0.0.0/0 в конфигурации WireGuard создавало маршрут по умолчанию. Теперь я переживаю, что если это действительно начнет происходить, как вы говорите, у меня будет куча сломанных сетей. Вот простой пример одной из моих конфигураций:

/interface wireguard
add listen-port=13238 mtu=1420 name=wireguard-core

/interface wireguard peers
add allowed-address=0.0.0.0/0 endpoint-address=119.1.1.1 endpoint-port=13238 interface=wireguard-core persistent-keepalive=30s public-key="6l7XP/CXXXXXXXXXXXXXXXXXXXXGB2jh0="

/routing ospf instance
add disabled=no name=default-v2 router-id=10.255.255.11

/routing ospf area
add disabled=no instance=default-v2 name=backbone-v2

/routing ospf interface-template
add area=backbone-v2 disabled=no interfaces=bridge-local
add area=backbone-v2 cost=5 disabled=no interfaces=wireguard-core type=ptp
add area=backbone-v2 disabled=no interfaces=ether2

aoakeley Guest	#6 0 18.08.2022 02:05:00 Да, именно так я это делаю. Один интерфейс для каждого подключения. Все на разных портах.

blindlight Guest	#7 0 06.09.2022 15:31:00 С OSPF v2 и типом сети PTP нужно добавить 224.0.0.0/24 в разрешённые адреса на обоих пирах. Не забудь добавить WireGuard в шаблон интерфейса OSPF.

aoakeley Guest	#8 0 06.09.2022 23:58:00 Почему бы просто не использовать 0.0.0.0/0? Тогда можно будет направлять по WireGuard всё, что угодно. Andrew

sirbryan

Guest

12.11.2022 21:05:00

Я проектирую систему с одной точкой агрегации для нескольких удалённых маршрутизаторов. Между маршрутизаторами работает OSPF, а затем BGP по loopback-интерфейсам к Route Reflectors. OSPF-сессии рекламируют инфраструктурную сеть, чтобы все маршрутизаторы знали, как добраться друг до друга и до RR, а BGP объявляет подсети клиентов, подключённых за каждым маршрутизатором. Сегодня я настроил первые резервные каналы между маршрутизаторами. WG/VPN-ссылка автоматически включается, когда основной канал удалённого маршрутизатора выходит из строя. Изначально я настроил OSPF по WG-ссылке как «ptp» и разрешил 224.0.0.0/24 на интерфейсе WG агрегирующего маршрутизатора (у «клиентского» маршрутизатора стоит 0.0.0.0/0). Потом я понял, что не смогу назначить 224.0.0.0/24 никакому будущему маршрутизатору без создания нового экземпляра WG. Поэтому, если хочется использовать один WG-инстанс с множеством пиров, нужно установить WG-интерфейсы на всех маршрутизаторах в режим «nbma» и создать статические соседи (%) для каждого WG-пира с коротким интервалом опроса. OSPF-сессии сразу же поднялись, и я смог убрать подсеть 224.0.0.0/24 из списка разрешённых IP. Единственный подвох — не забывать добавлять все подсети, которые удалённый маршрутизатор будет объявлять через OSPF/BGP, в список разрешённых IP.

jadawin Guest	#10 0 20.06.2023 17:01:00 Спасибо. Вот чего мне не хватало в моей настройке.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры