+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

wireguard 'дальнобойщик' не может использовать мой DNS

wireguard 'дальнобойщик' не может использовать мой DNS, RouterOS

Mystique

Guest

12.05.2023 11:01:00

У меня есть рабочий роутер с RouterOS hex s (новый для меня), я стер настройки и обновил до версии 7.9. Пробежался по стандартной конфигурации и настроил базовые вещи: LAN DHCP, WAN masquerade, NTP клиент/сервер, кэширование DNS и очереди с cake. Затем настроил WireGuard по документации с пиром — всё работает, кроме того, что через пира WireGuard не получается использовать RouterOS dnscache. Если указать другой внешний DNS-сервер, всё резолвится, и полный туннель WireGuard работает.

У меня стоит allow-remote-requests=yes для DNS. Эталонный интерфейс eth1 — WAN, eth[2-5] — бридж и LAN, WireGuard на 192.0.2.254/28, пир — 192.0.2.241 (я не встречал никакой фильтрации bogon или RFC, которая могла бы блокировать range test-net-1). Клиенты из LAN пингуют 192.0.2.254 и вроде бы резолвят через него.

Пробую drill www.google.com @192.0.2.254 — и тут я встал, не понимаю, как дальше. Пир WireGuard действительно подключается (192.0.2.241), с LAN его пингуется. В CLI не нашёл команд для отображения статуса подключения WG-пира, но в GUI видно, что он подключён и трафик идёт.

Спасибо заранее, что уделили время этому вопросу. Буду рад любым советам и вопросам.

Mystique Guest	#2 0 21.06.2023 16:51:00 Нашёл это сегодня... https://markeclaudio.github.io/mikrotik-wireguard-config-generator/ Спасибо, Claudio

anav Guest	#3 0 21.06.2023 17:15:00 Как я уже говорил, эти инструменты не особо полезны. Намного важнее уметь правильно настраивать Mikrotik RoS, а WireGuard не так уж сложно понять. https://forum.mikrotik.com/viewtopic.php?t=182340

dbjungle

Guest

09.07.2023 11:26:00

Добавление моего интерфейса WireGuard в список LAN решило проблему с доступом к DNS, однако просто правило файрвола в цепочке input для подсети WireGuard не работает. Моя подсеть сервера WireGuard — 192.168.222.0/24, у клиента для DNS адрес 192.168.222.1 (IP интерфейса роутера WireGuard), а вот правило фильтра файрвола у меня такое:
/ip firewall filter add action=accept chain=input comment="vpn server" src-address-list=192.168.222.0/24

Разве это не должно работать и без добавления интерфейса WireGuard в список LAN, ведь правило файрвола принимает трафик из подсети исходников без ограничений по портам или адресу назначения?

Кроме того, что в плане безопасности предпочтительнее? Сейчас у меня есть только правило defconf, которое сбрасывает весь трафик, не идущий из списка LAN.

anav

Guest

09.07.2023 15:07:00

Тебе нужно будет выложить свою конфигурацию, чтобы я мог дать точный комментарий. /export file=anynameyouwish (без серийного номера роутера, публичного WAN-IP, ключей и прочего).

Что касается вопросов... Я бы поступил иначе. Я бы дал MT Wireguard серверу IP-адрес 192.168.222.1/24, роуд-ворриору — 192.168.222.2/32, следующему роуд-ворриору — 192.168.222.3/32 и так далее. Потом попробовал с твоим правилом — должно заработать. Вариантов много, но если хочешь, чтобы интерфейс wg не был в списке LAN (я не понимаю, почему это так удобно!), тогда добавь:
chain=input action=accept in-interface=wg
(это позволит всем пользователям Wireguard иметь возможность настраивать роутер или получать DNS)

ИЛИ
chain=input action=accept in-interface=wg src-address=XXXXX
(если хочешь сузить круг, кто по Wireguardу может получить доступ к роутеру для настройки).

Добавь также:
chain=input action=accept in-interface=wg dst-port=53 protocol=udp
(разрешить остальным только DNS по udp)

chain=input action=accept in-interface=wg dst-port=53 protocol=tcp
(разрешить остальным только DNS по tcp).

dbjungle Guest	#6 0 10.07.2023 04:35:00 Разрешение DNS с интерфейса wireguard сработало отлично. Я всё ещё не могу получить доступ к Winbox через туннель с правилом src-address, но могу заняться этим позже. Я не против добавить интерфейс wireguard в список LAN. Просто мне было интересно, почему не работало по-другому и какой способ предпочтительнее. Спасибо за помощь!

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры