http://mikrotik.moscow Новое в теме Wireguard UDP на 127.0.0.1 — в чем его смысл? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 01:36:53 -0400 Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Правильно. Я имел в виду, что если пакет с адресом 127.x.x.x в качестве источника или назначения пришёл из LAN, WAN и так далее, то он может пройти через файрвол, если есть правила с src/src-address=127.0.0.0/8. Хотя на самом деле всё может быть не так просто. Я легко могу проверить поддельный источник (просто srcnat на другом роутере) и вижу эти пакеты в prerouting, но по какой-то причине они не продолжают путь в input, так что, возможно, есть какой-то встроенный фильтр.
20.04.2022 17:40:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413946 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413946 Wed, 20 Apr 2022 17:40:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Да, но поддельный трафик приходит с LAN или WAN, с реального или виртуального интерфейса, а не с loopback/CPU…
20.04.2022 17:02:00, rextended.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413945 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413945 Wed, 20 Apr 2022 17:02:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Если бы MikroTik не скрывал loopback-интерфейс без веской причины (мы же знаем, что он там есть!), мы могли бы просто принимать весь трафик, приходящий оттуда. Принимать трафик с 127.0.0.0/8 — это не одно и то же, потому что это позволяет проходить даже поддельным пакетам из сети. С этим, вероятно, особо не поработать, ведь они пойдут только в одном направлении без ответов, но всё равно это не идеально.
20.04.2022 16:50:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413944 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413944 Wed, 20 Apr 2022 16:50:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Даже тогда это не обязательно. Только при использовании capsman на ЛОКАЛЬНОМ устройстве (capsman и WiFi AP на одном устройстве), и даже в этом случае я сомневаюсь, что это действительно необходимо. Если capsman находится на другом контроллере, то это совершенно не нужно.
20.04.2022 13:16:00, holvoetn.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413943 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413943 Wed, 20 Apr 2022 13:16:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Если внутри Wireguard использует UDP 13231 и локальный трафик loopback, значит на это есть причина. Блокировка внутреннего loopback-трафика процессора (который никогда не выходит за пределы маршрутизатора) может ухудшить работу сервиса. Но только MikroTik знает, почему Wireguard использует локальный loopback. Слепое блокирование сервиса, который используется внутри RouterOS, может негативно сказаться, и CAPsMAN — один из таких примеров.
20.04.2022 12:49:00, rextended.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413942 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413942 Wed, 20 Apr 2022 12:49:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Похоже, ты засел крепко, как когти в шерсть!! 127 не допускается ни в одну из моих входных цепочек, и я этому безмерно рад. Единственный случай, когда это нужно — для capsman.
20.04.2022 12:41:00, anav.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413941 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413941 Wed, 20 Apr 2022 12:41:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Противоположное… 127.0.0.1 должно быть разрешено… например, снова: ping 127.0.0.1 создает эхо-запрос, который проходит из цепочки output в цепочку input, а затем приходит эхо-ответ.

Эхо-запрос: CPU → RAW/Output → Filter/Output → «loopback» → RAW/prerouting → Filter/Input → CPU  
Эхо-ответ (тот же путь): CPU → RAW/Output → Filter/Output → «loopback» → RAW/prerouting → Filter/Input → CPU

Схема не совсем именно такая и неполная, но приведена просто в качестве примера.
20.04.2022 12:29:00, rextended.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413940 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413940 Wed, 20 Apr 2022 12:29:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Думаю, я добавил это, чтобы предотвратить его появление в логах через правило "drop all". Всё ещё учусь, ребята, спасибо за информацию. Вывод такой: 127.0.0.1 не обязательно разрешать во входящих подключениях.
20.04.2022 12:29:00, erlinden.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413939 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413939 Wed, 20 Apr 2022 12:29:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Полагаю, это просто стандартный копипаст откуда-то, потому что из вопроса, вероятно, пользователь не понимает, что такое localhost / 127.0.0.1. Интерфейс Loopback необходим для тестирования и нормальной работы некоторых сервисов. Правило «drop all» в конце входящей цепочки ломает внутренний loopback, если 127.0.0.1 не разрешён раньше. Например, самопинг: ping 127.0.0.1 — он работает даже если на устройстве нет никаких IP и конфигурация полностью пустая.
20.04.2022 12:23:00, rextended.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413938 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413938 Wed, 20 Apr 2022 12:23:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Зачем вообще нужен такой элемент в списке??? Какова была его цель??
20.04.2022 12:18:00, anav.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413937 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413937 Wed, 20 Apr 2022 12:18:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Убери 127.0.0.1, и ты не увидишь никаких логов о... «localhost» — внутреннем локальном трафике процессора.
20.04.2022 12:11:00, rextended.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413936 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413936 Wed, 20 Apr 2022 12:11:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
/ip/firewall/address-list  
allowed_to_router  10.0.0.0/24  
allowed_to_router  192.168.60.0/24  
allowed_to_router  192.168.50.0/24  
allowed_to_router  192.168.99.0/24  
allowed_to_router  127.0.0.1
20.04.2022 12:06:00, erlinden.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413935 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413935 Wed, 20 Apr 2022 12:06:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Внутри у тебя allowed_to_router с подсетью 127.0.0.0/8?
20.04.2022 12:02:00, rextended.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413934 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413934 Wed, 20 Apr 2022 12:02:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Извиняюсь, если использую эту ветку не по назначению, но, возможно, смогу добавить немного информации. Запускаю Wireguard на своём RB4011. При просмотре логов вижу (как и у TS): input: in:(unknown 1) out:(unknown 0), proto UDP, 127.0.0.1:13231->127.0.0.1:0, len 176 Это логируется правилом фаервола (где allowed_to_router — список моих внутренних IP-адресов): /ip/firewall/filter
add action=accept chain=input comment="Allow access to addresslist" src-address-list=allowed_to_router Как я узнал от anav, в конце цепочек input и forward добавил правило drop all (именно поэтому появилось вышеупомянутое правило). Почему это логируется и что это означает?
20.04.2022 05:17:00, erlinden.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413933 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413933 Wed, 20 Apr 2022 05:17:00 -0400 RouterOS Wireguard UDP на 127.0.0.1 — в чем его смысл? RouterOS в форуме RouterOS.
Какова цель этого?: вход: in:(неизвестно 1) выход: out:(неизвестно 0), протокол UDP, 127.0.0.1:13231->127.0.0.1:0, длина 176
06.01.2022 17:37:00, martynasg.]]> http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413932 http://mikrotik.moscow/forum/forum57/87145-wireguard-udp-na-127.0.0.1-_-v-chem-ego-smysl/message413932 Thu, 06 Jan 2022 17:37:00 -0500 RouterOS