1 Temat przez toko_k

  • toko_k
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2012-06-20
  • Posty: 80

Temat: Wireguard - brak dostępu z OpenWRT do innych peerów

Uszanowanie,
już skończyły mi się pomysły jak to naprawić... Ale na początek trochę danych wstępnych smile
Oto moja sieć (z grubsza):
https://i.ibb.co/SybNySt/Zrzut-ekranu-2022-01-9-o-20-08-56.png
Moim celem jest połączenie sieci LAN1 oraz LAN2 (site-to-site) tak aby urządzenia wewnątrz tych sieci się wzajemnie widziały (chociażby przez ping). Dodatkowo chcę mieć dostęp z telefonu i laptopa do tych sieci nie znajdując się w obrębie żadnej z nich.
W sieci LAN1 rolę routera pełni RB433 od Mikrotika, serwer Wireguard jest postawiony na OrangePi Zero (Arch Linux). W mikrotiku zrobiłem routing statyczny i wszystko bangla. Tzn. mam dostęp z laptopa/telefonu do wszystkich urządzeń w LAN1, a urządzenia z LAN1 mają dostęp do laptopa/telefonu.
Następnie zająłem się zestawieniem tunelu LAN1 z LAN2 zgodnie z poradnikiem z tej strony. Niestety działa on tylko w jedną stronę. Tzn. mam dostęp z LAN1 do wszystkich urządzeń w LAN2, a także z laptopa/telefonu do wszystkich urządzeń w LAN2. W odwrotną stronę to nie działa. Z routera z OpenWRT (LAN2) nie jestem w stanie pingować żadnego adresu, tj. 192.168.10.*, ani 10.0.0.* (poza 10.0.0.2). O co chodzi? Pewnie to jakiś banalny błąd lol
Proszę o przejrzenie konfiguracji:

/etc/config/network
config interface 'loopback'
    option device 'lo'
    option proto 'static'
    option ipaddr '127.0.0.1'
    option netmask '255.0.0.0'

config globals 'globals'
    option packet_steering '1'
    option ula_prefix 'fdcc:e9bb:41e7::/48'

config device
    option name 'br-lan'
    option type 'bridge'
    list ports 'lan1'
    list ports 'lan2'
    list ports 'lan3'
    list ports 'lan4'
    option ipv6 '0'

config interface 'lan'
    option device 'br-lan'
    option proto 'static'
    option netmask '255.255.255.0'
    option ip6assign '60'
    option ipaddr '192.168.20.1'

config interface 'wan'
    option device 'wan'
    option proto 'dhcp'
    option delegate '0'

config device
    option name 'wan'
    option ipv6 '0'

config interface 'wg0'
    option proto 'wireguard'
    option private_key 'msdkjfhshgjfsgkgksdfhgkdjfhgkdhgdkghf='
    option listen_port '42069'
    list addresses '10.0.0.2/24'
    option peerdns '0'
    option delegate '0'

config wireguard_wg0
    option description 'OrangePi Zero'
    option public_key 'TJwJ9TxOtg/h/Kk2TgtmuTUILSfyYSWT0goJzsAAKxk='
    option endpoint_host 'sdjfhsdfh.duckdns.org'
    option endpoint_port '51871'
    option persistent_keepalive '25'
    option preshared_key 'FdhjskfsakdjghlYw='
    list allowed_ips '192.168.10.0/24'
    option route_allowed_ips '1'

config wireguard_wg0
    option description 'iPhone'
    option public_key 'yAWj0baq15LzEZpz1RCUjWz8QVfOSt3tPgeT0x+eeyU='
    option preshared_key 'GkdjsfhksdjhFEs='
    list allowed_ips '10.0.0.3/32'
    option persistent_keepalive '25'
    option route_allowed_ips '1'

config wireguard_wg0
    option description 'MacBook Air'
    option public_key 'EoU1gGpzTZ5tO+SfMd377VA5xnhqjuJWHn1m/cHheGk='
    option preshared_key 'iDljsdhflsjdhgldjgDiLp1w='
    list allowed_ips '10.0.0.4/32'
    option persistent_keepalive '25'
    option route_allowed_ips '1'
/etc/config/firewall
config defaults
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option synflood_protect '1'

config zone
    option name 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'
    list network 'lan'

config zone
    option name 'wan'
    option input 'REJECT'
    option output 'ACCEPT'
    option masq '1'
    option mtu_fix '1'
    list network 'wan'
    option forward 'REJECT'

config forwarding
    option src 'lan'
    option dest 'wan'

config rule
    option name 'Allow-DHCP-Renew'
    option src 'wan'
    option proto 'udp'
    option dest_port '68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Allow-Ping'
    option src 'wan'
    option proto 'icmp'
    option icmp_type 'echo-request'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-IGMP'
    option src 'wan'
    option proto 'igmp'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-DHCPv6'
    option src 'wan'
    option proto 'udp'
    option src_ip 'fc00::/6'
    option dest_ip 'fc00::/6'
    option dest_port '546'
    option family 'ipv6'
    option target 'ACCEPT'
    option enabled '0'

config rule
    option name 'Allow-MLD'
    option src 'wan'
    option proto 'icmp'
    option src_ip 'fe80::/10'
    list icmp_type '130/0'
    list icmp_type '131/0'
    list icmp_type '132/0'
    list icmp_type '143/0'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Input'
    option src 'wan'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    list icmp_type 'router-solicitation'
    list icmp_type 'neighbour-solicitation'
    list icmp_type 'router-advertisement'
    list icmp_type 'neighbour-advertisement'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'
    option enabled '0'

config rule
    option name 'Allow-ICMPv6-Forward'
    option src 'wan'
    option dest '*'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'
    option enabled '0'

config rule
    option name 'Allow-IPSec-ESP'
    option src 'wan'
    option dest 'lan'
    option proto 'esp'
    option target 'ACCEPT'

config rule
    option name 'Allow-ISAKMP'
    option src 'wan'
    option dest 'lan'
    option dest_port '500'
    option proto 'udp'
    option target 'ACCEPT'

config rule
    option name 'Support-UDP-Traceroute'
    option src 'wan'
    option dest_port '33434:33689'
    option proto 'udp'
    option family 'ipv4'
    option target 'REJECT'
    option enabled '0'

config include
    option path '/etc/firewall.user'

config rule
    option name 'Allow-SSH'
    list proto 'tcp'
    option src 'wan'
    option target 'ACCEPT'
    option dest_port '2137'

config rule
    option src 'wan'
    option target 'ACCEPT'
    option proto 'udp'
    option dest_port '42069'
    option name 'wireguard'

config zone
    option name 'wg'
    option input 'ACCEPT'
    option forward 'ACCEPT'
    option output 'ACCEPT'
    option network 'wg0'
    option masq '1'

config forwarding
    option src 'wg'
    option dest 'wan'

config forwarding
    option src 'wan'
    option dest 'wg'

config forwarding
    option src 'wg'
    option dest 'lan'

config forwarding
    option src 'lan'
    option dest 'wg'

Wynik ip route:

default via 78.88.220.1 dev wan  src y.y.y.y
10.0.0.0/24 dev wg0 scope link  src 10.0.0.2
10.0.0.3 dev wg0 scope link
10.0.0.4 dev wg0 scope link
78.88.220.0/23 dev wan scope link  src y.y.y.y
x.x.x.x via 78.88.220.1 dev wan
192.168.10.0/24 dev wg0 scope link
192.168.20.0/24 dev br-lan scope link  src 192.168.20.1

2 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

@gonzales już umie smile Jego pytaj

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

3 Odpowiedź przez gonzales (edytowany przez gonzales 2022-01-09 21:25:41)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

Wywołano mnie do tablicy, więc jestem big_smile
Tutaj masz wątek o moich zmaganiach z podobną konfiguracją chociaż moje wpisy mogą być mylące czasami poprze brak sprecyzowania w opisywaniu problemu. Ale ponieważ Ty już wiesz co chcesz osiągnąć może Ci to pomoże.

https://eko.one.pl/forum/viewtopic.php?id=20933

Jeżeli dobrze odrobiłem lekcję musisz na routerze z openwrt dodać routing do sieci VPN.
Ten link precyzyjnie to opisuje:

https://openwrt.org/docs/guide-user/ser … it_gateway

4 Odpowiedź przez toko_k

  • toko_k
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2012-06-20
  • Posty: 80

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

Prześledziłem ten wątek wcześniej. U mnie sytuacja jest inna smile Bo router OpenWRT robi jednocześnie za peera WG i bramę do internetu. Sytuacja, która jest opisana przez ciebie jest podobna do tej u mnie w LAN1 (z tym że u mnie to działało od razu). Bardziej mnie zastanawia dlaczego nie mogę pingować (ani nie mam żadnego dostępu) BEZPOŚREDNIO z OpenWRT, innych adresów, które wg. tablicy routingu w routerze OpenWRT powinienem móc pingować. Wydaje mi się, że to kwestia jakiegoś wpisu w firewallu, ale nie potrafię tego dostrzec sad Jeszcze raz proszę o przejrzenie moich plików konfiguracyjnych.

5 Odpowiedź przez mar_w (edytowany przez mar_w 2022-01-10 04:39:57)

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

a gdzie wyczytałeś że klient WG musi słuchać na porcie 42096, jak jakiś serwer?
Moim zdaniem masz 2 serwery bo jak piszesz:

toko_k napisał/a:

...W sieci LAN1 rolę routera pełni RB433 od Mikrotika, serwer Wireguard jest postawiony na OrangePi Zero (Arch Linux).
...
Następnie zająłem się zestawieniem tunelu LAN1 z LAN2 zgodnie z poradnikiem z tej strony.

w drugim zacytowanym zdaniu kłamiesz, bo poradnik nic nie mówi w konfiguracji peera o "listen_port" i firewallu

toko_k napisał/a:

...Bo router OpenWRT robi jednocześnie za peera WG i bramę do internetu.

Idąc dalej...
Od kiedy na kliencie wpisuje się klucze innych klientów oraz prawdziwego serwera ?
A może klienta Openwrt robiłeś tak jak serwer, generowałeś dla innych klucze itd ale te iPhony i MacBooki mają już klucze z prawdziwego serwera OrangePi i nie chcą się połączyć?

Pochwała: ładny schemat sieci!

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

6 Odpowiedź przez gonzales (edytowany przez gonzales 2022-01-09 23:41:02)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

toko_k napisał/a:

Bo router OpenWRT robi jednocześnie za peera WG i bramę do internetu. Sytuacja, która jest opisana przez ciebie jest podobna do tej u mnie w LAN1 (z tym że u mnie to działało od razu).

U mnie jest dokładnie tak samo. Akurat w wątku podlinkowanym powyżej zajmowałem się WG po stronie serwera ale po stronie klienta mam tak jak Ty. Czyli router będący klientem WG jest bramą dla całej sieci zdalnej.
A co do braku możliwości pingowania to z początków swoich zmagań z wireguard coś mi się kojarzy, że trzeba było dodać po obydwu stronach odpowiednie wpisy w allowed ip w konfiguracji interfejsu wg0. Ale pewny nie jestem bo robiłem to dawno.

7 Odpowiedź przez toko_k

  • toko_k
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2012-06-20
  • Posty: 80

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

mar_w napisał/a:

a gdzie wyczytałeś że klient WG musi słuchać na porcie 42096, jak jakiś serwer?
Moim zdaniem masz 2 serwery bo jak piszesz:

Tak to prawda. Mam dwa "serwery". Jeden na OrangePi wewnątrz LAN1, który działa na porcie 51871. Drugi na routerze OpenWRT, który działa na porcie 42069.
Dlaczego "serwery" w cudzysłowie? Przedstawiona sieć nie ma działać na zasadzie klient-serwer tylko p2p. Mam dwa urządzenia, które mają publiczne adresy IP i one są w tej sieci peerami, ale dzięki nim peery bez publiczego ip mogą się dołączyć do VPN. Np. chcę aby połączenie z Macbooka do urządzenia w LAN2 nie szło przez OrangePi tylko bezpośrednio uderzało w OpenWRT poprzez ustawiony AllowedIP w Macbooku (czyli bezpośrednio do Openwrt).

mar_w napisał/a:

w drugim zacytowanym zdaniu kłamiesz, bo poradnik nic nie mówi w konfiguracji peera o "listen_port" i firewallu

Stworzyłem konfigurację i strefy według poradnika z eko.one.pl.

   # uci set network.wg0=interface
    # uci set network.wg0.proto="wireguard"
    # uci set network.wg0.private_key="$(cat /root/privkey)"
    # uci set network.wg0.listen_port="55055"
    # uci add_list network.wg0.addresses="10.9.0.1/24"
    # uci commit network
    # /etc/init.d/network restart
 # uci add firewall rule
    # uci set firewall.@rule[-1].src="wan"
    # uci set firewall.@rule[-1].target="ACCEPT"
    # uci set firewall.@rule[-1].proto="udp"
    # uci set firewall.@rule[-1].dest_port="55055"
    # uci set firewall.@rule[-1].name="wireguard"
    # uci add firewall zone
    # uci set firewall.@zone[-1].name='wg'
    # uci set firewall.@zone[-1].input='ACCEPT'
    # uci set firewall.@zone[-1].forward='ACCEPT'
    # uci set firewall.@zone[-1].output='ACCEPT'
    # uci set firewall.@zone[-1].masq='1'
    # uci set firewall.@zone[-1].network='wg0'
    # uci add firewall forwarding
    # uci set firewall.@forwarding[-1].src='wg'
    # uci set firewall.@forwarding[-1].dest='wan'
    # uci add firewall forwarding
    # uci set firewall.@forwarding[-1].src='wan'
    # uci set firewall.@forwarding[-1].dest='wg'
    # uci add firewall forwarding
    # uci set firewall.@forwarding[-1].src='wg'
    # uci set firewall.@forwarding[-1].dest='lan'
    # uci add firewall forwarding
    # uci set firewall.@forwarding[-1].src='lan'
    # uci set firewall.@forwarding[-1].dest='wg'
    # uci commit firewall
    # /etc/init.d/firewall restart
mar_w napisał/a:

Od kiedy na kliencie wpisuje się klucze innych klientów oraz prawdziwego serwera ?
A może klienta Openwrt robiłeś tak jak serwer, generowałeś dla innych klucze itd ale te iPhony i MacBooki mają już klucze z prawdziwego serwera OrangePi i nie chcą się połączyć?

nie rozumiem?

Dla jasności poniżej wstawiam konfigurację innych peerów:
OrangePi:

[Interface]
ListenPort = 51871
PrivateKey = usdghjkfkdjsfghkjdfhgkhdgjf=
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE


[Peer]
PublicKey = yAWj0baq15LzEZpz1RCUjWz8QVfOSt3tPgeT0x+eeyU=
PresharedKey = 2oKFflgkhlkjfdgshksdfghI6aQ=
AllowedIPs = 10.0.0.3/32
PersistentKeepalive = 25

[Peer]
PublicKey = e2XDPulHtAwr6B4TUVetlOsOMDjhZr/5HYrpXa28lDI=
PresharedKey = FlFlkasdfghasdfghsdfhjgsdfCUKmlYw=
AllowedIPs = 192.168.20.0/24
Endpoint = sdhjksdfhjksf.duckdns.org:42069
PersistentKeepalive = 25

[Peer]
PublicKey = EoU1gGpzTZ5tO+SfMd377VA5xnhqjuJWHn1m/cHheGk=
PresharedKey = CPvasfhjkasdfhjkasdfezTGUw=
AllowedIPs = 10.0.0.4/32
PersistentKeepalive = 25

Macbook Air:

[Interface]
PrivateKey = MMYsdghkjdfkjhsdgY=
Address = 10.0.0.4/24

[Peer]
PublicKey = TJwJ9TxOtg/h/Kk2TgtmuTUILSfyYSWT0goJzsAAKxk=
PresharedKey = CPvasdfasdfasdfezTGUw=
AllowedIPs = 192.168.10.0/24
Endpoint = pasdfaslsk.duckdns.org:51871
PersistentKeepalive = 25

[Peer]
PublicKey = e2XDPulHtAwr6B4TUVetlOsOMDjhZr/5HYrpXa28lDI=
PresharedKey = iDYRDafsdgdfsdfgfgdDiLp1w=
AllowedIPs = 192.168.20.0/24
Endpoint =jkfdghkdjf.duckdns.org:42069
PersistentKeepalive = 25

mar_w napisał/a:

Pochwała: ładny schemat sieci!

Dziękuję smile

8 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

Patrząc na rysunek ja widzę wyraźnie zaznaczony tylko jeden Serwer Wireguard.
Po drugiej stronie jest tylko Router Openwrt.
Nie było słowa ani na obrazku, ani w opisie pod obrazkiem, że to też jest serwer, a więc z dedukcji musi być klientem. Nawet w #4 napisałeś że robi za peera WG.

Oczywiście konfiguracja jest z poradnika, ale... z rozdziału Serwer!
Przyjmując tok myślenia, że Router Openwrt jest klientem to konfiguracja nie odpowiada założeniom.
Tylko Ty wiedziałeś podświadomie, że są 2 serwery.

Z firewalla Openwrt wygląda że jest OK bo wszystko otworzyłeś i forwardujesz co się da i skąd się da.

A może MacBook łączy się najpierw z OrangePi bo jego ma na pierwszym miejscu w konfigu i już nie łączy się bezposrednio z Openwrt bo tunel może być tylko jeden w jednym uruchomieniu.
A do Openwrt wychodzi tylko dlatego że tamten jest spięty z serwerem na OrangePi.

Wg mnie chciałeś zrobić sieć Wireguard a'la Mesh big_smile

PS. Swoją drogą ciekawa koncepcja z dwoma serwerami.

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

9 Odpowiedź przez toko_k

  • toko_k
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2012-06-20
  • Posty: 80

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

Faktycznie nie ująłem tego w pierwszym poście.

A może MacBook łączy się najpierw z OrangePi bo jego ma na pierwszym miejscu w konfigu i już nie łączy się bezposrednio z Openwrt bo tunel może być tylko jeden w jednym uruchomieniu.

Ale ja z macbooka oraz z sieci LAN1 mam dostęp do wszystkich urządzeń w LAN2, ale z LAN2 nie mam dostępu do niczego w LAN1 ani do macbooka. Tak jakby to działało tylko w jednym kierunku.

10 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

toko_k napisał/a:

...Dlaczego "serwery" w cudzysłowie? Przedstawiona sieć nie ma działać na zasadzie klient-serwer tylko p2p. Mam dwa urządzenia, które mają publiczne adresy IP i one są w tej sieci peerami, ale dzięki nim peery bez publiczego ip mogą się dołączyć do VPN.

A teraz jednak wszystkie są peerami....
To czemu z poradnika wziąłeś konfig z serwera zamiast z "Klienty (peery)".

Chociaż pewnie to nie ma znaczenia ale dopytam o jedną rzecz. W tych wszystkich konfigach definiujesz adresy dla wszystkich "peerów" wink w tunelu.... (10.0.0.2, 10.0.0.3)

A gdzie jawnie zdefiniowałeś adres dla OrangePi? Czy on sobie wybiera losowo?  A może wcale nie ma adresu?

toko_k napisał/a:

Dla jasności poniżej wstawiam konfigurację innych peerów:
OrangePi:

[Interface]
ListenPort = 51871
PrivateKey = usdghjkfkdjsfghkjdfhgkhdgjf=
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = yAWj0baq15LzEZpz1RCUjWz8QVfOSt3tPgeT0x+eeyU=
PresharedKey = 2oKFflgkhlkjfdgshksdfghI6aQ=
AllowedIPs = 10.0.0.3/32
PersistentKeepalive = 25
....
Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

11 Odpowiedź przez toko_k

  • toko_k
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2012-06-20
  • Posty: 80

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

mar_w napisał/a:

A teraz jednak wszystkie są peerami....

Używając wireguard trzeba odrzucić pojęcie klient i serwer, ponieważ jest to VPN typu p2p. Można go skonfigurować tak jak typowy VPN, czyli żeby działał na zasadzie klient-serwer (tzw. roadwarrior). Zauważ, że w konfiguracji klientów dane serwera wstawiasz w sekcji [peer], tak samo jak w serwerze dane klientów. Różnica jest taka, że w zależności od pełnionej funkcji wrzucasz dodatkowo endpoint lub nie.

mar_w napisał/a:

Chociaż pewnie to nie ma znaczenia ale dopytam o jedną rzecz. W tych wszystkich konfigach definiujesz adresy dla wszystkich "peerów" wink w tunelu.... (10.0.0.2, 10.0.0.3)

A gdzie jawnie zdefiniowałeś adres dla OrangePi? Czy on sobie wybiera losowo?  A może wcale nie ma adresu?

Konfiguracja w interfejsu wg w OrangePi, była tworzona przy pomocy polecenia "ip", a dodawanie peerów za pomocą polecenia "wg"
Tutaj możesz sobie zobaczyć jak to wygląda w systemie gdzie nie ma "uci".

Udało mi się osiągnąć, to co chciałem. Nie wiedzieć czemu, ale we wszystkich peerach do AllowedIP musiałem też dodać adres IP interfejsu wireguard, którego dotyczyła konfiguracja. Tzn. np.:
W OrangePi, konfiguracja peera OpenWRT:

AllowedIP = 10.0.0.2/32, 192.168.20.0/24

W OpenWRT, konfiguracja peera OrangePi:

AllowedIP = 10.0.0.1/32, 192.168.10.0/24

W Macbooku, konfiguracja peera OpenWRT:

AllowedIP = 10.0.0.2/32, 192.168.20.0/24

W OpenWRT, konfiguracja peera Macbook:

AllowedIP = 10.0.0.4/32

Itd...
Teraz wszystkie urządzenia widzą siebie wzajemnie. Mam dostęp do wszystkiego zewsząd. Dziękuję za chęć pomocy smile
Miłego i do następnego! smile

12 Odpowiedź przez gonzales

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

gonzales napisał/a:

A co do braku możliwości pingowania to z początków swoich zmagań z wireguard coś mi się kojarzy, że trzeba było dodać po obydwu stronach odpowiednie wpisy w allowed ip w konfiguracji interfejsu wg0. Ale pewny nie jestem bo robiłem to dawno.

Czyli jednak dobrze mi się kojarzyło big_smile

13 Odpowiedź przez MrB

  • MrB
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2019-02-27
  • Posty: 84

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

Zmień klucze bo sam je skompromitowałeś.

14 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Wireguard - brak dostępu z OpenWRT do innych peerów

toko_k napisał/a:
mar_w napisał/a:

A teraz jednak wszystkie są peerami....

Używając wireguard trzeba odrzucić pojęcie klient i serwer, ponieważ jest to VPN typu p2p. Można go skonfigurować tak jak typowy VPN, czyli żeby działał na zasadzie klient-serwer (tzw. roadwarrior). Zauważ, że w konfiguracji klientów dane serwera wstawiasz w sekcji [peer], tak samo jak w serwerze dane klientów. Różnica jest taka, że w zależności od pełnionej funkcji wrzucasz dodatkowo endpoint lub nie.

Z tym nazewnictwem "peer" dla serwera i "peer" dla klienta oraz konfiguracją (chociażby maski) to jest temat dyskusyjny.
To, że dane serwera wrzucasz na kliencie do sekcji [peer] to chyba tylko dla tego, że jest to jedna para połączeń (jak sam nazwa na interfejsie wskazuje: POINTOPOINT)
Ale już pingowanie wzajemne peera_klienta1 z peerem_klientem2 podłączonych do tego samego serwera powoduje ustanowienie dwóch hopów:
1. peer_klient1 -> peer_serwer
2. peer_serwer -> peer_klient2

klient1 z klientem2 tworzy połączenie "p2p via peer" lub jak wolisz "pointopoint via point"

A co do maski to teoria mówi że taki zapis /32 oznacza pojedynczy host a nie sieć. Raz się daje maskę /24 a raz /32. I nadal peer_serwer jest niby taki sam jak peer_klient tzn. równorzędny bo tak mówi teoria ?
Skoro wszystko jest "peerem" i równorzędne względem siebie, to wyłącz peer_serwer i niech peer_klienci nadal się pingują skoro są p2p.

toko_k napisał/a:

Konfiguracja w interfejsu wg w OrangePi, była tworzona przy pomocy polecenia "ip", a dodawanie peerów za pomocą polecenia "wg"
Tutaj możesz sobie zobaczyć jak to wygląda w systemie gdzie nie ma "uci".

A tu Ci mogę doradzić że w systemie gdzie nie ma uci można to zrobić bez poleceń "ip" oraz "wg":
https://wiki.archlinux.org/title/WireGu … ja_serwera
i jak widzisz jest już adres nadany na interfejsie smile o który wcześniej pytałem, bo nigdzie nie widnieje w Twoich konfigach.

toko_k napisał/a:

Udało mi się osiągnąć, to co chciałem. Nie wiedzieć czemu, ale we wszystkich peerach do AllowedIP musiałem też dodać adres IP interfejsu wireguard, którego dotyczyła konfiguracja. Tzn. np.:
...
W OpenWRT, konfiguracja peera OrangePi:

AllowedIP = 10.0.0.1/32, 192.168.10.0/24

...
...
Teraz wszystkie urządzenia widzą siebie wzajemnie. Mam dostęp do wszystkiego zewsząd. Dziękuję za chęć pomocy smile
Miłego i do następnego! smile

Po pierwsze, tak się chyba nie konfiguruje Openwrt...
Jesteś pewny że przecinek między adresami nie spowoduje "złej" konfiguracji ?
Jak nie dodam w konfiguracji peera_klienta adresu WG peera_serwera, to oczywiście nie zapinguję interfejs WG serwera, ale gdy dodam adresy sieci LAN za  serwerem oraz innym klientem2 to do obu i z obu sieci LAN lecą pingi.
U Ciebie też leciały do sieci LAN2 tylko, że w jedną stronę.
Co jak co, ale adresy sieci LAN to miałeś wpisane.
Też się cieszę, że udało Ci się  osiągnąć cel smile

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *