Od wczoraj walczę z dziwnym tematem.

Nowo dodany klient wireduarda działa (ma dostęp do zdalnej sieci) do póki nie stworzę / nie dodam kolejnego klienta.
Dodanie klienta to u mnie dodanie nowych kluczy publicznych i sharedkey-e w sekcji peerów i dodanie nowych końcówek (kolejnych adresów w tunelu) oraz konfiguracja zamych klientów.

Do wczoraj myślałem, że aplikacja kliencka dla Windows ma bug-a, który powoduje, że dodanie nowego klienta (na tym samym komputerze) powoduje, że wszystkie poprzednie klienty przestają działać. Dostęo do sieci udaje się zrealizować (pakiety lecą) wyłącznie z poziomu ostatnio dodanego klienta.

Nic bardziej mylnego. To nie błąd aplikacji...

Dodałem jednego klienta (jeden router na OpenWRT) który łączył sie z WG na MT z innego łącza od innego ISP i wszystko było super hiper.

Aż skonfigurowałęm nowego klienta na innym OpenWRT, nowe klicze, nowy adres, nowy klient. Nowy klient działą super.
W czym problem? Poprzedni przestał działać... Nosz kurde mol...

Odłączam router z drugim klientem, podłączam router z pierwszym klientem - już nie działa. Kaplica. Łączę się zestawia, handshake jest, pakiety lecą a ruchu w żadnym kierunku nie ma.

O co kurna chodzi? Teraz działa mi wyłącznie ostatni router z ostatnim klientem.

Powtarza się historia jak z walką z wieloma klientami skonfigurowanymi na jednej aplikacji Wireguarda dla Windows -> https://trzepak.pl/viewtopic.php?t=70467

O co kaman?

Witam

Będę się podłączał routerem na OpenWRT pod ONT-ka od Taurona.

Żeby dostać się do sieci dostawcy, muszę uruchomić interfejs VLAN 111 podpiąć ów interfejs pod interfejs WAN a następnie dodać interfejs w postaci klienta PPPoE, którego następnie podłączę pod wcześniej stworzony interfejs VLAN111.

Z punktu widzenia routera prawdziwym WAN-em będzie ów kient PPPoE.

Ale, do brzegu.

Którą z paczek zainstalować, celem realizacji wspomnianego VLAN-a 111 ?

Wireguard na MT w roli "serwera" (sieć nadrzędna) - adresacja lokalna: 192.168.56.0/24 IP tunelu: 192.168.253.1

Wireguard na OpenWRT w roli "klienta" (sieć podrzędna) - adresacja lokalna: 192.168.129.0/24 IP tunelu: 192.168.253.6

Tunel zestawia się, cały rych sieci 192.168.129.0/24 kierowany jest przez tunel na główny router MT 192.168.56.1.
(czyli allowed IP na Wireguardzie na OpenWRT ustawione na 0.0.0.0/0)

Komunikacja leci pięknie.

Z poziomu OpenWRT mogę pingować wszędzie. Pakiety pięknie idą i na 192.168.253.6, 192.168.253.1 i na wszystko co stoi za tunelem, czyli na router 192.168.56.1 czy na dowolne inne maszyny 192.168.56.0/24 Cudo. Zero problemów.

Problem jest w drugą stronę.

Z żadnej maszyny w sieci 192.168.56.0/24, ani nawet z panelu MT (192.168.56.1) na którym stoi Wireguard, nie mogę zapingować, na Router OpenWrt (czyli na 192.168.129.1) ani na żadną inną maszynę w sieci 192.168.129.0/24.

Dziwne, bo w IP -> Routes ustawiłem właściwą trasę routingu:

Innymi słowy wszystko co idzie w kierunku 192.168.129.0/24 ma być kierowane na tunel wireguarda na końcówkę 192.168.253.6. Podobną metodę stosowałem dla l2tp over IPsec, i tam problemów nie było.

Tutaj sytuacja wygląda następująco:

- przed załączeniem bezpośredniej trasy na końcówkę 192.168.253.6:

- po załączeniu bezpośredniej trasy na końcówkę 192.168.253.6:

Widać, że MT próbuje pchać pakiety właściwą trasą, ale odpowiedzi od Routera OpenWRT nie wracają.

Komputer będący w LANie tego OpenWRT-ka też nie odpowiada:

Firefall MT wydaje się być ustawiony prawidłowo.

Tymczasem urządzenia zza tunelu nie chcą odpowiadać na pingi, a problem jest wybitnie jednokierunkowy.

Jakieś pomysły ?

Witam.

Udało mi się finalnie zestawić działające połączenie do zdalnej sieci LAN przez Wireguarda.

Teraz wszystko, cały ruch sieciowy, włącznie ze stronami WWW leci przez Wireguarda.

A chciałbym np. strony WWW otwierać bezpośrednio przez mojego dostawcę ISP, którego mam na WANie, czyli z pominięciem Wireguarda.

Natomiast chciałbym też, żeby ruch sieciowy w adresacji 192.168.56.0/24 leciał rzeczywiście na Wireguarda (bo hosty o tej adresacji znajdują się po drugiej stronie tunelu).

Chciałbym też dostawać się po nazwie domenowej (a nie po numerach IP) do maszyn za tunelem. Otóż po drugiej stronie tunelu znajduje się zarówno lokalny serwer WWW jak i serwer DNS, który kieruje m. in. na ten lokalny serwer WWW po nazwach domenowych rozwiązywanych przez lokalny serwer DNS.

Z jednej strony chciałbym być niezależny od serwera DNS po drugiej stronie tunelu (jak padnie tamta sieć w dalszym ciągu chciałbym mieć dostęp do stron internetowych przez mój WAN). W dodatku do wszystkich publicznych stron WWW chciałbym mieć dostęp bezpośrednio przez mój WAN (o czym wspomniałem). I zastanawiam się jak to rozwiązać na routerze z OpenWRT.

Kwestia odpowiednich wpisów w konfigu Wireguarda?

Czy może jakieś wpisy bezpośrednio w firewallu routera?

Chętnie popatrzyłbym na jakiś gotowy przykład.

Cześć

Co zrobić, by serwer DHCP dla sieci LAN przydzielał klientom sieci LAN inny niż domyślny adres serwera DNS?

Domyślnie jest tak, że jeśli router na adresie LAN zgłasza się pod adresem 192.168.129.1, to jednocześnie takiż sam adres DNS będzie rozgłaszał swoim klientom DHCP.

A ja chciałbym, by jako adres DNS rozgłaszał adres 192.168.56.1. Jest to adres serwera DNS znajdujący się po drugiej stronie Tunelu WireGuarda. Ten adres DNS ubsługuje wiele statycznych wpisów DNS znajdujących się w zdalnej sieci LAN (na drugim końcu tunelu).

Ustawienie go w tym miejscu niczego nie zmienia.

Klienty routera dalej otrzymują DNS 192.168.129.1.

Jak opisałem w sąsiednim poście, skonfigurowałem Wireguard clienta na swoim OpenWRT, niestety nie mogę dobić się na drugi koniec tunelu:

Interfejs jest:

wg0       Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          inet addr:192.168.253.2  P-t-P:192.168.253.2  Mask:255.255.255.0
          UP POINTOPOINT RUNNING NOARP  MTU:1420  Metric:1
          RX packets:20 errors:0 dropped:0 overruns:0 frame:0
          TX packets:197 errors:160 dropped:8 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2960 (2.8 KiB)  TX bytes:28036 (27.3 KiB)

Niemniej pingować na swój koniec (początek) mogę:

root@OpenWrt:~# ping 192.168.253.2
PING 192.168.253.2 (192.168.253.2): 56 data bytes
64 bytes from 192.168.253.2: seq=0 ttl=64 time=0.464 ms
64 bytes from 192.168.253.2: seq=1 ttl=64 time=0.319 ms
64 bytes from 192.168.253.2: seq=2 ttl=64 time=0.346 ms
64 bytes from 192.168.253.2: seq=3 ttl=64 time=0.333 ms
^C
--- 192.168.253.2 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.319/0.365/0.464 ms

Ale na drugi koniec niestety już nie:

root@OpenWrt:~# ping 192.168.253.1
PING 192.168.253.1 (192.168.253.1): 56 data bytes
ping: sendto: Required key not available
root@OpenWrt:~#

Ktoś coś podpowie? Naprowadzi jak zdiagnozować?

Witam.

Po nieudanych próbach z koniguracją klienta wireguard (stworzył się interface wireguarda, ale później go usunąłem) nie mogę pingować na żadną stronę www w necie.

Na adres nadrzędnego routera (router dostawcy wpięty do WAN OpenWrt-ka) pingować modę i są odpowiedzi.
Ale jak zapinguję do wp.pl to już nie wracają.

Może obowiązuje jakaś reguła, która cały ruch kierować miała na wireguarda (ale tego interfejsu już nie ma).

Jak to sprawdzić ? Jak skutecznie zdjagnozowac brak odpowiedzi na pingi na netu ?