• Zarejestrowany: 2012-12-18
  • Posty: 317

Temat: jak debugowac /etc/config/network ?

Hej

Bawie sie wlasnie drugim tunelem wireguard (docelowo policy routing vpn)

mam juz jeden wg0 i statyczne trasy dla niego, m.in :

config route 'behindvpn'
    option interface 'wg0'
    option target '10.1.1.0/24'
    option gateway '172.16.1.2'

identyczna konfiguracja dla wg1 w zaden sposob nie chce "wskoczyc" do tablicy routingu :

config route 'testa'
        option interface 'wg1'
        option target '172.31.83.0/24'
        option gateway '10.50.0.1'

Gdy dodam recznie :
ip route add 172.31.83.0/24 dev wg1
wszystko poprawnie laduje w route table

Czy jest jakis sposob, zeby to debugowac ?
logread nie pokazuje niczego o routingu...
tak wiem, moge to zrobic skryptami np w /etc/hotplug.d/iface/ ale wolalbym "czystsze" rozwiazanie tylko w pliku konfiguracyjnym

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: jak debugowac /etc/config/network ?

A czemu tak robisz? Dodaj je do konfiga wireguard to utworzy trasy przez wireguard na tej adresacji.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez miguelos (edytowany przez miguelos 2022-03-15 14:01:23)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: jak debugowac /etc/config/network ?

Cezary napisał/a:

A czemu tak robisz? Dodaj je do konfiga wireguard to utworzy trasy przez wireguard na tej adresacji.

masz na mysli :
list allowed_ips '172.31.83.0/24'
?
To nie dodaje tras, tylko "zezwala" jaki ruch moze wpadac do interfejsu

A robie tak dlatego, ze chce policy routing, tzn - tylko jeden host w moim LAN ma miec default trase przez wg1
wg0 to zwykly site-to-site VPN gdzie mam dostep tylko do LANow.

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: jak debugowac /etc/config/network ?

Oczywiście że dodaje. Sprawdź sobie co będzie jak dodasz.

A do w/w masz aplikację właśnie.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez miguelos

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: jak debugowac /etc/config/network ?

nie, nie dodaje

wg0, ktory uzywam od 3 lat mam :

        list allowed_ips '172.16.1.2'
        list allowed_ips '10.1.1.0/24'
        list allowed_ips '192.168.0.0/24'

usunalem trasy z /etc/config/network
i nic w rutingu mi sie nie pojawia

poza interfejsem 172.16.1.0, ktorego koncowke oczywisicie mam skonfigurowana na  wg0

kwestia wersji to tez nie jest, bo z jednej strony jest 18.06, a testy robie obecnie na 21.02

co do aplikacji masz na mysli apke do policy rutingu ?
to wszystko da(lo) sie ladnie zrobic na /etc/config/network, bo mialem dzialajaca konfiguracje, ale tylko na jednym wireguardzie wg0

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: jak debugowac /etc/config/network ?

Dodaje:

# grep 192.168.11. wg0.conf
...
AllowedIPs = 192.168.10.3/32, 192.168.11.0/24

# ip r
...
192.168.10.0/24 dev wg0 proto kernel scope link src 192.168.10.1
192.168.11.0/24 dev wg0 scope link

Aplikacja vpn-policy-routing

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez miguelos (edytowany przez miguelos 2022-03-15 15:28:24)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: jak debugowac /etc/config/network ?

konfig ktory podales jest z klienta chyba, nie openwrt

na openwrt :

bez

# ip route show
default via xxxx dev wan  src xxxx
xxxx via xxxx dev wan
xxxx/22 dev wan scope link  src xxxx
172.16.1.0/28 dev wg0 scope link  src 172.16.1.1
192.168.1.0/24 dev br-lan scope link  src 192.168.1.1

z

# ip route show
default via xxxx dev wan  src xxxx
10.1.1.0/24 via 172.16.1.2 dev wg0
xxxx via xxxx dev wan
xxxx/22 dev wan scope link  src xxxx
172.16.1.0/28 dev wg0 scope link  src 172.16.1.1
192.168.1.0/24 dev br-lan scope link  src 192.168.1.1
192.168.11.0/24 via 172.16.1.11 dev wg0

wireguard :

config interface 'wg0'
    option proto 'wireguard'
    option private_key 'xxxx'
    list addresses '172.16.1.1/28'
    option listen_port '51820'

config wireguard_wg0
    option public_key 'xxxx'
    list allowed_ips '172.16.1.2'
    list allowed_ips '10.1.1.0/24'
    list allowed_ips '192.168.0.0/24'
    option persistent_keepalive '25'

sekcje ktore dodaja rutingi do sieci za tunelem wireguarda

config route 'behindvpn'
        option interface 'wg0'
        option target '10.1.1.0/24'
        option gateway '172.16.1.2'

config route 'behindvpn2'
        option interface 'wg0'
        option target '192.168.11.0/24'
        option gateway '172.16.1.11'

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: jak debugowac /etc/config/network ?

Z konfiga peera, tak.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez miguelos (edytowany przez miguelos 2022-03-15 16:06:34)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: jak debugowac /etc/config/network ?

no to sie rozwiazalo

sekcja wg1 miala adres hosta :

list addresses '10.50.0.3/32'

czyli jakiekolwiek trasy na 10.50.0.1 po drugiej stronie nie mialy sensu...

10 Odpowiedź przez miguelos (edytowany przez miguelos 2022-03-16 09:46:40)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: jak debugowac /etc/config/network ?

kolejny update
okazuje sie, ze sprawa moze byc jeszcze prostsza, tzn routing na interfejs, a nie IP.
Wtedy system nie sprawdza czy adres sie zgadza (jak post wyzej), po prostu wrzuca w tunel wg

czyli 

config route 'behindvpn3'
        option interface 'wg1'
        option target '192.168.11.0/24'

powyzsze ma sens, jak robimy interfejsy z maskami /32


A ponizsza metoda z docelowym IP ma sens, gdy za tym jednym interfejsem jest wiecej sieci. Takie rozwiazanie a'la DMVPN

config route 'behindchvpn'
        option interface 'wg0'
        option target '10.1.1.0/24'
        option gateway '172.16.1.2'

config route 'behindvpn3'
        option interface 'wg0'
        option target '192.168.11.0/24'
        option gateway '172.16.1.2'