The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Для включения в состав ядра Linux предложен VPN WireGuard, opennews (ok), 06-Окт-18, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


72. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от KonstantinB (ok), 07-Окт-18, 11:54 
sysctl net.ipv4.ip_forward=1
Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

74. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от Ilya Indigo (ok), 07-Окт-18, 12:23 
Это у меня прописано и на сервере и на клиенте.
Ответить | Правка | Наверх | Cообщить модератору

81. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от KonstantinB (ok), 07-Окт-18, 16:17 
На клиенте не надо.
Вроде выглядит правильно (за исключением уже упомянутого 0/0 на клиенте).
А UDP точно по дороге не режется?
Ответить | Правка | Наверх | Cообщить модератору

82. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от Ilya Indigo (ok), 07-Окт-18, 16:27 
> А UDP точно по дороге не режется?

Если я могу зайти по ssh на 192.168.13.1 (с клиента на сервер) и наоборот, то предполагаю что не режется, хотя не знаю как это проверить.

Мне кажется что-то с iptables не в порядке и проброс интернета на vpn-сервер не происходит.

Ответить | Правка | Наверх | Cообщить модератору

86. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от KonstantinB (??), 07-Окт-18, 18:11 
А wg что выдает? Туннель-то установлен?

Если нет, то попробуйте настроить безо всяких wg-quick и прочих systemd, ручками - прямо как на официальном сайте в демонстрационном видеоролике, пока туннель сам по себе не заработает. А уж дальше можно разбираться с форвардингом, в настройке iptables для wireguard нет ничего особенного.

А, еще проверьте таблицы маршрутизации, у меня как-то раз networkmanager выпердривался и лез куда его не просили.

Ответить | Правка | Наверх | Cообщить модератору

89. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от Ilya Indigo (ok), 07-Окт-18, 18:36 
> А wg что выдает? Туннель-то установлен?

sudo wg
interface: wg0
  public key:
  private key: (hidden)
  listening port: 54589
  fwmark: 0xca6c

peer:
  endpoint: 178.219.173.13:51820
  allowed ips: 0.0.0.0/0
  latest handshake: 33 seconds ago
  transfer: 6.15 KiB received, 43.07 KiB sent
  persistent keepalive: every 25 seconds

Конечно установлен, иначе бы сеть 192.168.13.0/24 не пинговалась, а так я по ssh захожу по ней.

> Если нет, то попробуйте настроить безо всяких wg-quick и прочих systemd, ручками - прямо как на официальном сайте

Без Quick/systemd настраивать не пробовал, но не думаю что это что-либо изменит, но всё же попробую.

На оффсайте абсолютно идиотская конфигурация, где 2 пира и так находящиеся уже в одной сети, накидывают, зачем-то, ещё и vpn сверху.
Если бы у меня на всех машинах был бы выделенный реальник, то мне бы и vpn не нужен был.
В любом случае я не смогу повторить эту конфигурацию, так как у меня машины не могут без vpn видеть друг друга в обе стороны.

NetworkManager у меня удалён, сетью рулит systemd-networkd.
Совсем без systemd тоже не получится.

Вот таблицы маршрутизации читать и проверять я не умею, к сожалению. :-(

Ответить | Правка | Наверх | Cообщить модератору

90. "Для включения в состав ядра Linux предложен VPN WireGuard"  +1 +/–
Сообщение от Я русского поймал (?), 07-Окт-18, 20:50 
В последних релизах wg-quick стал творить странное и прописывать в тэйбл 0xca6c роутинг, загляни туда ip r s table all
У меня все прекрасно с инетом через WG-сервер, никаких проблем нет, к сожалению я сейчас без своего ноута и в другой стране, не могу тебе показать конфиги с клиента и роутинг, если подождешь неделю, пока я вернусь, то все свои конфиги дам
Ответить | Правка | Наверх | Cообщить модератору

119. "Для включения в состав ядра Linux предложен VPN WireGuard"  –1 +/–
Сообщение от Ilya Indigo (ok), 08-Окт-18, 18:37 
Благодарю Вас за желание мне помочь! :-)
Вроде разобрался, проблема была в firewalld и последнем правиле,
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
отбрасывающим все пакеты, и вместо iptables -A нужно было мне прописывать iptables -I.

Хотя странно что, судя по гуглению, кроме меня об него никто не спотыкался.

Ответить | Правка | Наверх | Cообщить модератору

91. "Для включения в состав ядра Linux предложен VPN WireGuard"  +2 +/–
Сообщение от ABATAPA (ok), 07-Окт-18, 20:55 
На сервере сделайте так:

/etc/wireguard/wg0.conf:

Interface]
PrivateKey = xxxxxxxxxxxxxx
ListenPort = PortNo
Table = off
PostUp =  /etc/wireguard/wg_firewall.sh %i start
PostDown = /etc/wireguard/wg_firewall.sh %i stop

/etc/wireguard/wg_firewall.sh:

#!/bin/bash
exec >> /tmp/wg_firewall.sh.log 2>&1
set -x
if [ $# -ne 2 ]; then
        echo "No interface given. Usage: $0 <int> [start|stop]" >&2
        exit 1
fi

case "$2" in
    start)

        iptables -t nat -I POSTROUTING -s 192.168.13.0/24 ! -d 192.168.13.0/24 -j MASQUERADE
        iptables -I FORWARD -i  $1 -o eth0 -j ACCEPT
        iptables -I FORWARD -o  $1 -i eth0 -j ACCEPT
        iptables -I FORWARD -i $1 -o $1 -j ACCEPT
        ;;
    stop)
        iptables -t nat -D POSTROUTING -s 192.168.13.0/24 ! -d 192.168.13.0/24 -j MASQUERADE
        iptables -D FORWARD -i  $1 -o eth0 -j ACCEPT
        iptables -D FORWARD -o  $1 -i eth0 -j ACCEPT
        iptables -D FORWARD -i $1 -o $1 -j ACCEPT
        ;;
esac


Названия интерфейсов поправьте, если нужно.
Разумеетсся, нужно включить forwarding (у Вас включен).

На клиенте заворачиваете или всё через ip route replace default, или выборочно через ipset + iptables + ip rule.

Ответить | Правка | К родителю #89 | Наверх | Cообщить модератору

113. "Для включения в состав ядра Linux предложен VPN WireGuard"  –1 +/–
Сообщение от Ilya Indigo (ok), 08-Окт-18, 17:10 
Большая благодарность!
Заработало! :-)

> sudo cat /tmp/wg_firewall.sh.log

+ '[' 3 -ne 3 ']'
+ case "$3" in
+ iptables -t nat -I POSTROUTING -s 192.168.13.0/24 '!' -d 192.168.13.0/24 -j MASQUERADE
+ iptables -I FORWARD -i wg0server -o enp0s10 -j ACCEPT
+ iptables -I FORWARD -o wg0server -i enp0s10 -j ACCEPT
+ iptables -I FORWARD -i wg0server -o wg0server -j ACCEPT

> sudo iptables-save | grep FORWARD

-A FORWARD -i wg0server -o wg0server -j ACCEPT
-A FORWARD -i enp0s10 -o wg0server -j ACCEPT
-A FORWARD -i wg0server -o enp0s10 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -j FORWARD_direct
-A FORWARD -j FORWARD_IN_ZONES_SOURCE
-A FORWARD -j FORWARD_IN_ZONES
-A FORWARD -j FORWARD_OUT_ZONES_SOURCE
-A FORWARD -j FORWARD_OUT_ZONES
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A FORWARD_IN_ZONES -g FWDI_public
-A FORWARD_OUT_ZONES -g FWDO_public

Дело было в маршрутизации, как я и думал.

Теперь нужно разобраться кто виноват firewalld со своим
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
и нужно удалить где-то эту строку, или всё же прописать строки из вашего скрипта в PostUp и PostDown ?

Ответить | Правка | Наверх | Cообщить модератору

117. "Для включения в состав ядра Linux предложен VPN WireGuard"  –2 +/–
Сообщение от Ilya Indigo (ok), 08-Окт-18, 18:22 
А чем отличаются Ваши правила
iptables -t nat -I POSTROUTING -s 192.168.13.0/24 ! -d 192.168.13.0/24 -j MASQUERADE
iptables -I FORWARD -i wg0server -o enp10s0 -j ACCEPT
iptables -I FORWARD -o wg0server -i enp10s0 -j ACCEPT
iptables -I FORWARD -i wg0server -o wg0server -j ACCEPT

От правил из предложенного для WireGuard конфига, в которых -A заменены на -I
iptables -I FORWARD -i wg0server -j ACCEPT
iptables -I FORWARD -o wg0server -j ACCEPT
iptables -t nat -I POSTROUTING -o enp10s0 -j MASQUERADE

И какие лучше применять, если они оба работают?

Ответить | Правка | К родителю #91 | Наверх | Cообщить модератору

118. "Для включения в состав ядра Linux предложен VPN WireGuard"  –1 +/–
Сообщение от Andrey Mitrofanov (?), 08-Окт-18, 18:24 
> И какие лучше применять, если они оба работают?

Лучше применять те, которые понимаешь!

Ответить | Правка | Наверх | Cообщить модератору

93. "Для включения в состав ядра Linux предложен VPN WireGuard"  +/–
Сообщение от Аноним (93), 07-Окт-18, 22:59 
>> А UDP точно по дороге не режется?
> Если я могу зайти по ssh на 192.168.13.1 (с клиента на сервер) и наоборот, то предполагаю что не режется, хотя не знаю как это проверить.

ssh работает поверх TCP. Используй iperf или netcat.

Ответить | Правка | К родителю #82 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру