1 Temat przez xury (edytowany przez xury 2021-02-05 03:32:10)

  • xury
  • xury
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-05-18
  • Posty: 503

Temat: Wireguard - LAN do LANu - jeszcze kilka pytań po udanym zestawieniu.

Udało mi się zestawić tunel, który łączy dwie sieci LAN za pomocą Wireguard. I mimo, że wydaje mi się, że działa ok to mam kilka pytań:
Czy na routerze "kliencie" też należy ustawiać firewall?
Rozumiem, że portu nie trzeba otwierać, ale resztę ustawiamy tak samo jak na "serwerze"?
Ja ustawiłem, ale nie wiem czy potrzebnie.  Tunel działa wszystkie hosty się widzą na obu stronach LAN, tak jak właśnie chciałem.
Nie wiem tylko czy potrzebne to było na "kliencie" czy też wireguard robi to jakoś samemu?
Nic nie napisałeś o tym Cezary w poradniku.
BTW. Czy Wireguard podobnie do OpenVPN wymaga innej adresacji łączonych LANów? Myślę, że tak, bo skąd by potem było wiadomo o który host chodzi gdyby po obu stronach tunelu były hosty o takim samym IP?
I jeszcze jedno. Czy podobnie jak w OpenVPNie można wystawić na publicznym adresie  serwera usługę z kliienta? Np. kamery na publicznym porcie, które są na kliencie za NATem.

Acha dla tych co podobnie jak ja wstawiali przecinki lub średniki pomiędzy wpisami IP w allowedIPs. Nie róbcie tego!!
Straciłem wiele godzin na dochodzeniu przyczyny nie działania tunelu pomimo tego, że wszystko wskazywało na to, że działa. Wpisy oddzielamy jedynie spacją.

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,053

Odp: Wireguard - LAN do LANu - jeszcze kilka pytań po udanym zestawieniu.

Bo to zależy co chcesz zrobić. Jeżeli końcówka jest samodzielnym komputerem to oczywiście nic nie robisz. Jeżeli końcówka jest routerem a za nim sieć do której chcesz mieć dostęp to wg traktujesz jak każdy inny wan - robisz maskarade, firewall, ew zezwolenia na routing.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez imkebe

  • imkebe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2018-09-28
  • Posty: 46

Odp: Wireguard - LAN do LANu - jeszcze kilka pytań po udanym zestawieniu.

xury napisał/a:

Czy na routerze "kliencie" też należy ustawiać firewall?

A czy po wstaniu z rana należy myć zęby?

xury napisał/a:

Rozumiem, że portu nie trzeba otwierać, ale resztę ustawiamy tak samo jak na "serwerze"?

Na kliencie i serwerze musi być tak skonfigurowany fw aby mógł zezwolić na ruch w obrębie sieci np. przekazywanie LAN-LAN

xury napisał/a:

Ja ustawiłem, ale nie wiem czy potrzebnie.  Tunel działa wszystkie hosty się widzą na obu stronach LAN, tak jak właśnie chciałem.

No i prawidłowo!

xury napisał/a:

Nie wiem tylko czy potrzebne to było na "kliencie" czy też wireguard robi to jakoś samemu?

Samemu to może tylko dodać Ci regułki dla routingu z AllowedIP.

xury napisał/a:

Czy Wireguard podobnie do OpenVPN wymaga innej adresacji łączonych LANów?

OpenVPN nie wymaga innej adresacji. Wszystko zależy do architektry sieci. Ale... OpenVPN może działać na L2 (TAP) i L3 (TUN).
Wireguard jest protokołem L3 więc nie wspiera takich rzeczy jak ARP, DHCP, Multicast... Po prostu to nie przejdzie przez tunel.
Jak chcesz mieć jeden LAN to musisz zrobić np. GRE in Wireguard. Poszukaj tackiego hasła - ja tutaj włąśnie z takim tematem byłem kilkma miesiecy temu i napisałem jak to ogarnąć. Ale nie jest to bez wad i ja sam miałęm z tym później kłopoy (routing, pętle itp). Jak nie masz większej wiedzy na temat sieci to przygotuj się na problemy i testowanie. Jak chcesz coś szybko i tanio to odpuść i poczytaj enkapsulacji (GRE, IPIP, etc.).

xury napisał/a:

I jeszcze jedno. Czy podobnie jak w OpenVPNie można wystawić na publicznym adresie  serwera usługę z kliienta? Np. kamery na publicznym porcie, które są na kliencie za NATem.

Tak. To nie ma nic do Wireguarda, jak przez tunel pójdzie do koncówki i reguły maskarady/forwardu itp pozwalają to możesz udostępnić na swoim porcie WAN w Polsce, końcówkę w RPA.... Tylko czy to będzie wydajne to inna sprawa.
BTW. Poczytaj o MTU i impakcie na tunele.

4 Odpowiedź przez xury

  • xury
  • xury
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-05-18
  • Posty: 503

Odp: Wireguard - LAN do LANu - jeszcze kilka pytań po udanym zestawieniu.

Dzięki Ci dobry człowieku.
W zasadzie wyjaśniłeś mi wszystkie rzeczy, których się domyślałem, ale nie byłem pewien.
Coraz bardziej mi się podoba ten Wireguard. Jego prostota jest dla mnie trudnością, po przejściach z OpenVPN, ale coraz lepiej go rozumiem.
Odnośnie adresacji sieci  tunelu TUN to właśnie o to mi chodzi. A konkretnie to chodzi mi o to czy jeśli połączę sieci LAN to LAN o tej samej adresacji (np. obie strony mają sieć 192.168.1.1/24) i porobię forwardingi i okaże się, że po obu stronach są hosty o tym samym adresie (np. 192.168.1.12) to pewnie nie będę się mógł dostać do zdublowanych. Ewentualnie dostęp będzie losowy.
Sieć którą tworzę ma puszczać do tunelu tylko ruch do podsieci wskazanych w allowedIPs. Reszta ruchu ma normalnie wychodzić przez WAN. W sytuacji kiedy na obu końcach jest ta sama numeracji,to zapewne będą kłopoty.
Mam do przerobienia połączenie sześciu lokalnych podsieci z routingiem pomiędzy nimi. Wireguard pięknie to ułatwia za pomocą allowedIPs wystarczy tylko dodać podsieć w konfigu peer'a i już jest do niej routing. Piękna sprawa.Np.  łączę się z jednym routerem peerem, a on udostępnia mi sam sieci z innych peerów.

5 Odpowiedź przez imkebe

  • imkebe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2018-09-28
  • Posty: 46

Odp: Wireguard - LAN do LANu - jeszcze kilka pytań po udanym zestawieniu.

xury napisał/a:

okaże się, że po obu stronach są hosty o tym samym adresie (np. 192.168.1.12) to pewnie nie będę się mógł dostać do zdublowanych. Ewentualnie dostęp będzie losowy.

Nie rób tego! Nie doprowadzaj do sytuacji gdzie masz konflikty.
Masz trzy modele do zastosowania w swojej sieci (niektóre są jednak bez sensu).

A. Oddzielne sieci z routingiem. Ja tak mam. Jeden centralny router przez którego terminują wszystkie inne.
Routery po WG są spięte w ramach własnej adresacji np. 192.168.50.0/29 (R1 192.168.50.1, R2 192.168.50.2, R3...)
Lokalnie masz wtedy np. 192.168.2.0/24 dla LAN na R1 i dla niego podajesz w Allowed wszystkie inne (192.168.50.0/29, 192.168.3.0/24, 192.168.4.0/24, ...). R2 masz np. LAN na 192.168.3.0/24 i w allowed IPs podajesz sieci z pozostałych R1...R6 (np. 192.168.2.0/24, 192.168.4.0/24, ...). I tak dla każdego Rx podpiętego do tego VPN. Jak masz na R1 jakieś dodatkowe sieci - np. VLANy 192.168.99.0/24 to jak chcesz mieć do nich dostęp z pozostałych Rx to musisz oddać taki adres do AllowedIPs w pozostałych.

B. Jedna sieć na poziomie L3 z separowanymi zakresami DHCP. (bez sensu)
Robisz jedną dużą sieć np. 192.168.0.0/16 i ustawiasz to globalnie tak samo dla każdego routera z tą różnicą, że bramy są ustawione lokalnie np. R1. 192.168.0.1/16 R2. 192.168.0.2/16, etc...
Teraz dla każdego routera z osobna musisz ustawić inne zakresy adresów aby nie było konfliktów np. R1 - 192.168.0.10-192.168.0.253, R2 - 192.168.1.1 - 192.168.1.253, etc.. W Wireguard musisz tylko sprytnie wpisać routing... w krótym możę się okazać, że zrobi się pętle bo wysyłasz ruch przez tunel który i tak leci spowrotem lokalnie... Takie coś ogólnie możę działać na OpenVPN z L2.

C. Robisz to co w A. ale rozpinasz sieć opartą o GRE tak aby działała jak w B. W tym wypadku wireguard tylko tuneluje ruch miedzy routerami bez wiedzy o rozpiętym LAN. To jak pisałem w poprzednim poscie bedize działać ale też trochę reguł trzeba zrobić aby nie było problemów. Jak zerwie tunele to klienci zależni od odległego DHCP nie bedą mieć adresów. Chyba, ze postawiśz DHCP w failover itp. ale to juz sie robi imho dla Ciebie skórka za wyprawkę.

Pozdr.

6 Odpowiedź przez xury

  • xury
  • xury
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-05-18
  • Posty: 503

Odp: Wireguard - LAN do LANu - jeszcze kilka pytań po udanym zestawieniu.

Tak też zrobiłem. Sieć A jak u Ciebie. Wszystko śmiga jak chciałem, czyli dostęp do każdej sieci LAN z każdej innej LAN plus dostęp z końcówek na windowsach  skądkolwiek do pracy zdalnej.
Na końcówkach dałem nazwy do HOSTS, bo niektórzy mają jakąś blokadę psychiczną przy wpisywaniu IP smile