Зависит от пропускной способности вашего провайдера. Если у вас 1 гигабит, HEX для такого не подходит — он слабоват, лучше оставаться на USG. Если вы можете перенаправлять порты и задавать ручные маршруты на USG, то всё должно работать! Я могу дать вам конфигурацию для использования HEX в качестве роутера, но не как базовый коммутатор. Ваш IP-адрес на HEX для Wireguard на Fritz указан в настройках неправильно — он должен быть 192.168.178.X, а не 0. Предположим, что это 2.
Что касается source NAT, кажется, вы хотите применять source NAT ко всему трафику, идущему через туннель к WORK или FRITZ, назначая этому трафику IP-адрес HEX на соответствующем интерфейсе Wireguard. Это нормально, так как упрощает возврат трафика на этих устройствах без создания дополнительных маршрутов. Но сделано это неправильно.
model = RB760iGS
/interface list
add name=WAN
add name=LAN
add name=MANAGE
/routing table
add fib name=thr_WG
/interface bridge port
add bridge=bridge1 interface=ether1 disabled=yes
add bridge=bridge1 interface=ether3 disabled=yes
add bridge=bridge1 interface=ether4 disabled=yes
add bridge=bridge1 interface=sfp1 disabled=yes
/ip neighbor discovery-settings
set discover-interface-list=MANAGE
/interface list member
add interface=ether2 list=WAN
add interface=bridge1 list=LAN
add interface=ether5 list=LAN
add interface=WG-PRV-SERVER list=LAN
add interface=ether2 list=MANAGE comment="чтобы можно было получить доступ к настройкам из подсети USG"
add interface=ether5 list=MANAGE comment="чтобы получить доступ к настройкам через ether5"
add interface=WG-PRV-SERVER list=MANAGE comment="чтобы получить доступ к настройкам через Wireguard"
/interface wireguard peers
add allowed-address=192.168.5.2/32 comment="MacMini" interface=WG-PRV-SERVER public-key="xxxxxxxxx"
add allowed-address=192.168.5.3/32 comment="DS Phone" interface=WG-PRV-SERVER public-key="xxxxxxxx"
add allowed-address=192.168.5.4/32 comment="MacBook" interface=WG-PRV-SERVER public-key="xxxxxxxx"
add allowed-address=192.168.111.0/24 comment=WG-COMP endpoint-address=11.11.11.11 endpoint-port=13231 interface=WG-COMP persistent-keepalive=25s public-key="xxxxxxxxxxx"
add allowed-address=0.0.0.0/0 client-dns=192.168.178.1 comment="WG PL Fritz!Box" endpoint-address=homffff.ddns.net endpoint-port=55014 interface=WG-PL-FritzBox persistent-keepalive=25s preshared-key="xxxxxxxx" private-key="xxxxxxxxx=" public-key="r/eX/xxxxxxxxxxxxx"
/ip address
add address=192.168.2.5/24 interface=ether2 network=192.168.2.0 comment="WAN PORT"
add address=192.168.5.1/24 interface=WG-PRV-SERVER network=192.168.5.0
add address=192.168.113.60/24 interface=WG-COMP network=192.168.113.0
add address=192.168.178.2/24 interface=WG-PL-FritzBox network=192.168.178.0
add address=192.168.88.1/24 interface=bridge1 network=192.168.88.0 comment="неиспользуемая LAN на HEX"
add address=192.168.55.1/24 interface=ether5 network=192.168.55.0 comment="локальный доступ вне моста к роутеру"
/ip dns
set servers=192.168.2.1
/ip firewall address-list
add address=192.168.5.0/24 list=Authorized comment="удалённый приватный доступ wg"
add address=192.168.2.X list=Authorized comment="админский ПК в USG LAN"
add address=192.168.55.0/24 list=Authorized comment="локальный доступ вне моста"
/ip firewall filter
{стандартные правила для безопасности}
add action=accept chain=input connection-state=established,related,untracked
add action=drop chain=input connection-state=invalid
add action=accept chain=input protocol=icmp {правила для админа}
add action=accept chain=input dst-port=13232 protocol=udp comment="приватный серверный handshake"
add action=accept chain=input comment="админский доступ" in-interface-list=MANAGE src-address=Authorized
add action=accept chain=input dst-port=53 protocol=udp in-interface-list=LAN
add action=accept chain=input dst-port=53 protocol=tcp in-interface-list=LAN
add action=drop chain=input comment="отбросить всё остальное" {убедитесь, что это правило последнее}
+++++++++++++++++++++++++++++++++++++++++++
{стандартные правила для безопасности}
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward connection-state=established,related,untracked
add action=drop chain=forward connection-state=invalid
{правила для админа}
add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward src-address=192.168.2.115 out-interface=WG-PL-FritzBox
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether2
add action=masquerade chain=srcnat out-interface=WG-COMP
add action=masquerade chain=srcnat out-interface=WG-PL-FritzBox
/ip route
add dst-address=0.0.0.0/0 gateway=192.168.2.1 routing-table=main
add dst-address=0.0.0.0/0 gateway=192.168.178.1 routing-table=thr_WG
/routing rule
add action=lookup-only-in-table src-address=192.168.2.115 table=thr_WG
ЧЕГО НЕ ХВАТАЕТ (пока не ясно из ваших требований):
- учтен ли весь трафик из USG LAN, который должен идти через корпоративный Wireguard сервер?
- есть ли трафик, идущий из Wireguard компании в USG LAN?
- есть ли трафик, идущий из Wireguard Fritzbox в USG LAN?
- есть ли трафик, идущий из приватного Wireguard в USG LAN? (я уже предположил, что хотя бы для HEX с этой целью)
- есть ли трафик, идущий из приватного Wireguard в сторону либо компании, либо Fritzbox Wireguard?
