Mikrotik.moscow [тема: Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети]

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети

Wed, 07 Jul 2021 21:03:00 -0400

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети RouterOS в форуме RouterOS.
Отлично, работает! Спасибо, mducharme!!
07.07.2021 21:03:00, AnAnAs.

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети

Wed, 07 Jul 2021 19:48:00 -0400

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети RouterOS в форуме RouterOS.
Очень хорошо, я попробую сегодня вечером. Это странно, потому что я делаю точно такую же настройку на сервере WireGuard, установленном на Ubuntu. Там у меня получилось настроить обмен данными между клиентами.
07.07.2021 19:48:00, AnAnAs.

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети

Wed, 07 Jul 2021 16:38:00 -0400

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети RouterOS в форуме RouterOS.
Это потому, что Wireguard использует allowed-addresses, чтобы определить, какому пиру отправлять пакет. Если адрес, который вы пингете, находится в диапазоне allowed-addresses пира 1, пакет отправится пирy 1. Если он в allowed-addresses пира 2 — отправится пирy 2. В вашем случае вы некорректно продублировали allowed-addresses для обоих пиров, так что они совпадают. В итоге маршрутизатор не знает, какому пиру отправлять пакет, и ваш пинг, скорее всего, уходит не тому пиру или просто отбрасывается, потому что подходит под нескольких пиров.

По сути вы назначили весь /24 и пиру 1, и пиру 2 одновременно. Маловероятно, что вашему клиенту-роадворри требуется 253 IP-адреса — скорее всего, ему вполне хватит одного. Поэтому стоит уменьшить размер allowed-addresses, настроенный на MikroTik, до /32 для каждого пира (менять маску подсети под IP-адресом не нужно, только allowed-addresses).
07.07.2021 16:38:00, mducharme.

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети

Wed, 07 Jul 2021 15:48:00 -0400

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети RouterOS в форуме RouterOS.
Привет, да, у меня такие же проблемы, решения не могу найти. Один клиент работает нормально, но как только появляется второй Peer, первый перестаёт работать. Почему?
07.07.2021 15:48:00, AnAnAs.

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети

Sat, 13 Mar 2021 20:36:00 -0500

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети RouterOS в форуме RouterOS.
Используйте это для подключения двух сетей (клиенты Wireguard и локальная сеть). Стандартный порт сервера Wireguard — 51820.

/ip firewall nat add chain=dstnat dst-port=<интернет порт> action=dst-nat protocol=udp to-addresses= to-ports=51820
13.03.2021 20:36:00, daddyfix.

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети

Sat, 23 Jan 2021 01:43:00 -0500

Wireguard — не удаётся получить доступ к компьютерам в другой локальной сети RouterOS в форуме RouterOS.
Топология: Fios Router → ПК / устройства (192.168.1.X)
Fios Router → 4011 Router 7.1beta3 (192.168.1.X - WAN порт 1) → Ноутбук (192.168.88.X - LAN порт 2) / 4011 (192.168.88.1 - LAN)
*Fios Router подключён к порту 1 (WAN) на 4011, в то время как ноутбук подключён к порту 2 (LAN) на 4011. Fios Router раздаёт DHCP в подсети 192.168.1.X, а 4011 — в подсети 192.168.88.X.

Wireguard: VPN-провайдер — Mullvad. Использовал следующую конфигурацию, которую они предоставили, немного отредактировал (спасибо redskilldough за оригинальный пост по настройке):
[Interface]
PrivateKey = aaaabbbb
Address = 10.1.1.1/32, aaaa:bbbb:cccc::1:23ab/128
DNS = 1.1.1.1

[Peer]
PublicKey = zzzzyyyy
AllowedIPs = 0.0.0.0/0, ::0/0
Endpoint = 2.2.2.2:3333

Я сделал следующие шаги для настройки Wireguard на 4011:
Wireguard → New Interface. Оставил настройки по умолчанию и добавил private key (aaaabbbb) из файла конфигурации → Apply → OK
Wireguard → Peers → Добавил public key (zzzzyyyy), endpoint: 2222, порт endpoint: 3333, allowed address (allowedips): 0.0.0.0/0 → Apply → OK
*В конфиге указано 0.0.0.0/0 для Allowed Address, думаю, это значит, что все клиенты могут использовать VPN?

IP → Address → New Address → Адрес=10.1.1.1/32 (с интерфейса), Интерфейс=wireguard → Apply → OK
*В данный момент у меня в списке адресов wireguard (10.1.1.1), ether1 (адрес=192.168.1.85/24, сеть=192.168.1.0) и bridge (адрес=192.168.88.1/24, сеть=192.168.88.0).

IP → Firewall → NAT вкладка → Add → Chain=scrnat, Out. Interface=wireguard, action=masquerade → Apply → OK
*Я понимаю, что masquerade позволяет всему трафику клиентов проходить через VPN.

Terminal → /routing table add name=mullvad
*Точно не уверен, как это работает, кажется, это нововведение в ROS 7?

IP → Firewall → Mangle → Chain=prerouting, Source Address=192.168.88.X (ноутбук), Action=mark routing, New Routing Mark=mullvad
Это просто помечает весь трафик, идущий с ноутбука, как трафик «mullvad», и следующий шаг маршрутизирует этот трафик через VPN?

Terminal:
/ip route add dst-address=0.0.0.0/0 gateway=wireguard1@main routing-table=mullvad
Моё понимание этого маршрута — что весь трафик пойдёт через wireguard. Также отключил fasttrack, так как он только замедляет всё до черепашьей скорости.

Проблема: весь трафик маршрутизируется через wireguard для указанного IP (ноутбук), но при этом ноутбук не может получить доступ к ПК в WAN. Без настройки wireguard всё работает отлично, что логично, учитывая маршруты. Пробовал добавлять маршруты по-разному — безуспешно, буду признателен за помощь!

EDIT: Похоже, если настроить новый mangle, я могу получить доступ к другой LAN:
IP → Firewall → Mangle → chain=prerouting, src address: 192.168.88.X (ноутбук), dst address: 192.168.1.0/24, action=mark routing, new routing mark=main
— это правильное решение?
23.01.2021 01:43:00, letsroute.