101 Odpowiedź przez gonzales (edytowany przez gonzales 2023-04-15 20:27:21)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

OK. A możesz rzucić okiem na te forwardingi w firewall na każdym z routerów?

I czy to przekierowanie portu 50255 w R1 jest właściwie zapisane?
R1 firewall

config redirect
    option target 'DNAT'
    list proto 'udp'
    option src 'wan'
    option src_dport '50255'
    option dest_port '50255'
    option name 'wireguard_wg1'
    option dest_ip '192.168.1.120'

102 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,927

Odp: Przepychanie/most przez VPN

Wiregaurd jest prosty jak drut. Jeżeli nie pomyliłeś kluczy to po prostu musi działać. Jedyny forwarding jaki potrzebujesz żeby pingować drugą stronę tunelu (wireguarda, nie lanu!) to 50255/udp na R1. Jak by R2 był podłączony przez wan (a nie jest) to byś potrzebował  otwarcia portów na wanie (ale nie potrzebujesz bo na lanie wszystko jest otwarte).
Sprawdź czy działa forwarding działa, sprawdź czy wiregaurd nasłuchuje na tym porcie, sprawdź czy nie pomyliłeś kluczy (odwrotnie np. podałeś). Po prostu musi działać.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

103 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

jak już zrobisz ten tunel WG0 i będzie działać to ja osobiście poprawiłbym następujące rzeczy:

1. nie chcesz podać adresu na WAN-ie bo to jedyny Twój publiczny IP i jednocześnie otwierasz go na świat. Teraz to lepiej go nie podawaj, ale jak coś się zdarzy to nie miej pretensji, że nikt Ci nie zwrócił uwagi smile

gonzales napisał/a:

1. R1 firewall

config zone
    option name 'wan'
    list network 'wan'
    list network 'wan6'
    option output 'ACCEPT'
    option masq '1'
    option mtu_fix '1'
    option input 'REJECT'
    option forward 'REJECT'

2. skoro masz 2  urządzenia w jednej sieci LAN ( R1 i R2 ) to moim zdaniem tworzenie interfejsów "guest" z tymi samymi adresami na różnych hostach może generować problemy. Adres 172.16.0.1 jest na R1 i R2

gonzales napisał/a:

R2 network - sewrwer wg1 - LAN1

config interface 'guest'
    option proto 'static'
    option ipaddr '172.16.??.1' ## ?? - np. liczba z przedziału 1-255 lub całkowicie inny adres z puli prywatnych
    option netmask '255.255.255.0'
    option device 'br-guest'

3. Skoro R3 nie jest serwerem to...

gonzales napisał/a:

R3 network - klient wg1 - serwer DHCP LAN 2

config interface 'guest'
    option device 'br-guest'
    option proto 'static'
    option ipaddr '172.16.0.100'
    option netmask '255.255.255.0'
    option gateway '172.16.0.1' # rozumiem że on jest przypięty do tunelu WG1 10.10.0.1 z adresem 172.16.0.1 i niby się zgadza ale.... gdy coś/ktoś z LAN1 będzie chciał wejść do tego tunelu GRE to gdzie pójdzie? do R1, który też ma taki sam adres czy losowo sobie wybierze między R1 i R2 wink?

config interface 'gretap'
    option proto 'gretap'
    option peeraddr '10.10.0.1'
    option ipaddr '10.10.0.2'
    option tunlink 'wg1'
    option mtu '1560'

R3 firewall 

config zone
    option name 'wan'  # co prawda na WAN nie masz publicznego IP ale nie zaszkodzi przywrócić domyślny konfig, tym bardziej że TY wychodzisz WAN-em do serwera, a nie że ktoś wchodzi (inicjuje połączenie) do R3.
    list network 'wan'
    list network 'wan6'
    option output 'ACCEPT'
    option masq '1'
    option mtu_fix '1'
    option input 'REJECT'
    option forward 'REJECT'

config rule  # w sumie to czemu ma służyć ta reguła ? Przecież do tego routera nikt się nie dobija po publicznym IP bo go tu nie masz. Dużo niepotrzebnego szumu smile
    option src 'wan'
    option target 'ACCEPT'
    option proto 'udp'
    option dest 'wg'
    option name 'wireguard1'
    option src_port '50255'
    option dest_port '50255'

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

104 Odpowiedź przez gonzales (edytowany przez gonzales 2023-04-16 20:13:17)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

Dobra, poddałem się i zacząłem od zera zarówno po stronie klienta jak i serwera.
Żeby nie utrudniać sobie życia wróciłem do klasycznej koncepcji czyli routery są brzegami sieci
(R2 jest na łączu LTE - tethering usb),

Obecny schemat poniżej:
https://ibb.co/h9qvskm

wireguard się łączy i pinguje ale mimo wpisania adresacji sieci LAN 1 i LAN2 naprzemiennie w allowedips, sieci LAN się nie pingują.
Źle coś wpisałem czy firewall wymaga dopisania dodatkowych stref i przekierowań?

Chcę mieć dostęp z LAN1 do LAN2 i na odwrót.

Zostałe zrobione firstbooty więc konfiguracja firewall'a domyślna plus zmiany zgodnie z tutorialem.

R1 firewall

config defaults
    option syn_flood '1'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'

config zone
    option name 'lan'
    list network 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'

config zone
    option name 'wan'
    list network 'wan'
    list network 'wan6'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'
    option mtu_fix '1'

config forwarding
    option src 'lan'
    option dest 'wan'

config rule
    option name 'Allow-DHCP-Renew'
    option src 'wan'
    option proto 'udp'
    option dest_port '68'
    option target 'ACCEPT'
    option family 'ipv4'

config rule
    option name 'Allow-Ping'
    option src 'wan'
    option proto 'icmp'
    option icmp_type 'echo-request'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-IGMP'
    option src 'wan'
    option proto 'igmp'
    option family 'ipv4'
    option target 'ACCEPT'

config rule
    option name 'Allow-DHCPv6'
    option src 'wan'
    option proto 'udp'
    option dest_port '546'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-MLD'
    option src 'wan'
    option proto 'icmp'
    option src_ip 'fe80::/10'
    list icmp_type '130/0'
    list icmp_type '131/0'
    list icmp_type '132/0'
    list icmp_type '143/0'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Input'
    option src 'wan'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    list icmp_type 'router-solicitation'
    list icmp_type 'neighbour-solicitation'
    list icmp_type 'router-advertisement'
    list icmp_type 'neighbour-advertisement'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-ICMPv6-Forward'
    option src 'wan'
    option dest '*'
    option proto 'icmp'
    list icmp_type 'echo-request'
    list icmp_type 'echo-reply'
    list icmp_type 'destination-unreachable'
    list icmp_type 'packet-too-big'
    list icmp_type 'time-exceeded'
    list icmp_type 'bad-header'
    list icmp_type 'unknown-header-type'
    option limit '1000/sec'
    option family 'ipv6'
    option target 'ACCEPT'

config rule
    option name 'Allow-IPSec-ESP'
    option src 'wan'
    option dest 'lan'
    option proto 'esp'
    option target 'ACCEPT'

config rule
    option name 'Allow-ISAKMP'
    option src 'wan'
    option dest 'lan'
    option dest_port '500'
    option proto 'udp'
    option target 'ACCEPT'

config rule
    option src 'wan'
    option target 'ACCEPT'
    option proto 'udp'
    option dest_port '55055'
    option name 'wireguard'

config zone
    option name 'wg'
    option input 'ACCEPT'
    option forward 'ACCEPT'
    option output 'ACCEPT'
    option masq '1'
    option network 'wg0'

config forwarding
    option src 'wg'
    option dest 'wan'

config forwarding
    option src 'wan'
    option dest 'wg'

config forwarding
    option src 'wg'
    option dest 'lan'

config forwarding
    option src 'lan'
    option dest 'wg'

R2 firewall

config defaults
    option syn_flood    1
    option input        ACCEPT
    option output        ACCEPT
    option forward        REJECT
# Uncomment this line to disable ipv6 rules
#    option disable_ipv6    1

config zone
    option name        lan
    list   network        'lan'
    option input        ACCEPT
    option output        ACCEPT
    option forward        ACCEPT

config zone
    option name        wan
    list   network        'wan'
    list   network        'wan6'
    option input        REJECT
    option output        ACCEPT
    option forward        REJECT
    option masq        1
    option mtu_fix        1

config forwarding
    option src        lan
    option dest        wan

# We need to accept udp packets on port 68,
# see https://dev.openwrt.org/ticket/4108
config rule
    option name        Allow-DHCP-Renew
    option src        wan
    option proto        udp
    option dest_port    68
    option target        ACCEPT
    option family        ipv4

# Allow IPv4 ping
config rule
    option name        Allow-Ping
    option src        wan
    option proto        icmp
    option icmp_type    echo-request
    option family        ipv4
    option target        ACCEPT

config rule
    option name        Allow-IGMP
    option src        wan
    option proto        igmp
    option family        ipv4
    option target        ACCEPT

# Allow DHCPv6 replies
# see https://github.com/openwrt/openwrt/issues/5066
config rule
    option name        Allow-DHCPv6
    option src        wan
    option proto        udp
    option dest_port    546
    option family        ipv6
    option target        ACCEPT

config rule
    option name        Allow-MLD
    option src        wan
    option proto        icmp
    option src_ip        fe80::/10
    list icmp_type        '130/0'
    list icmp_type        '131/0'
    list icmp_type        '132/0'
    list icmp_type        '143/0'
    option family        ipv6
    option target        ACCEPT

# Allow essential incoming IPv6 ICMP traffic
config rule
    option name        Allow-ICMPv6-Input
    option src        wan
    option proto    icmp
    list icmp_type        echo-request
    list icmp_type        echo-reply
    list icmp_type        destination-unreachable
    list icmp_type        packet-too-big
    list icmp_type        time-exceeded
    list icmp_type        bad-header
    list icmp_type        unknown-header-type
    list icmp_type        router-solicitation
    list icmp_type        neighbour-solicitation
    list icmp_type        router-advertisement
    list icmp_type        neighbour-advertisement
    option limit        1000/sec
    option family        ipv6
    option target        ACCEPT

# Allow essential forwarded IPv6 ICMP traffic
config rule
    option name        Allow-ICMPv6-Forward
    option src        wan
    option dest        *
    option proto        icmp
    list icmp_type        echo-request
    list icmp_type        echo-reply
    list icmp_type        destination-unreachable
    list icmp_type        packet-too-big
    list icmp_type        time-exceeded
    list icmp_type        bad-header
    list icmp_type        unknown-header-type
    option limit        1000/sec
    option family        ipv6
    option target        ACCEPT

config rule
    option name        Allow-IPSec-ESP
    option src        wan
    option dest        lan
    option proto        esp
    option target        ACCEPT

config rule
    option name        Allow-ISAKMP
    option src        wan
    option dest        lan
    option dest_port    500
    option proto        udp
    option target        ACCEPT
root@OpenWrt:~# wg
interface: wg0
  public key: X************************************=
  private key: (hidden)
  listening port: 55055

peer: s******************************************=
  endpoint: xx.xx.xx.xx:18104
  allowed ips: 10.9.0.9/32, 192.168.8.0/24
  latest handshake: 2 minutes, 18 seconds ago
  transfer: 1.30 MiB received, 165.86 KiB sent
  persistent keepalive: every 25 seconds

R2

root@OpenWrt:~# wg
interface: wg0
  public key: s*********************************=
  private key: (hidden)
  listening port: 54041

peer: X**************************************=
  endpoint: yy.yy.yy.yy:55055
  allowed ips: 10.9.0.1/32, 192.168.1.0/24
  latest handshake: 38 seconds ago
  transfer: 166.22 KiB received, 1.30 MiB sent
  persistent keepalive: every 25 seconds

105 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

dopisz na R2 w firewallu to samo co ma R1

config zone
    option name 'wg'
    option input 'ACCEPT'
    option forward 'ACCEPT'
    option output 'ACCEPT'
    option masq '1'
    option network 'wg0'

config forwarding
    option src 'wg'
    option dest 'lan'

config forwarding
    option src 'lan'
    option dest 'wg'

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

106 Odpowiedź przez gonzales (edytowany przez gonzales 2023-04-17 20:46:11)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

Dopisałem ale nadal LAN-y się nie pigują. Wyniki jakich poleceń podać, aby sprawdzić jak to jest rutowane?

R1 serwer wg

root@OpenWrt:~# ip route show
default via 83.238.252.81 dev pppoe-wan
10.9.0.9 dev wg0 scope link
yy.yy.yy.yy dev pppoe-wan scope link  src xx.xx.xx.xx
192.168.1.0/24 dev br-lan scope link  src 192.168.1.1

R2 klient wg

root@OpenWrt:~# ip route show
default via 192.168.79.176 dev usb0  src 192.168.79.170
10.9.0.1 dev wg0 scope link
xx.xx.xx.xx via 192.168.79.176 dev usb0
192.168.8.0/24 dev br-lan scope link  src 192.168.8.1
192.168.79.0/24 dev usb0 scope link  src 192.168.79.170

107 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,927

Odp: Przepychanie/most przez VPN

Do konfiguracji wirwguard na obu końcach  nie dodałeś adresacji lanów drugich stron tuneli.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

108 Odpowiedź przez mar_w (edytowany przez mar_w 2023-04-17 21:53:43)

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

@gonzales
Czy Ty się z nami bawisz?
Czy ktoś przejął Twoje hasło i pisze dla jaj?
A może robisz 2 równoległe konfiguracje i raz wrzucasz konfig z jednego a piszesz, że nie działa drugi?

1. skoro dodałeś trasy obu końców sieci to czemu nie masz ich w tablicy routingu?

gonzales napisał/a:

root@OpenWrt:~# wg
interface: wg0
  public key: X************************************=
  private key: (hidden)
  listening port: 55055

peer: s******************************************=
  endpoint: xx.xx.xx.xx:18104
  allowed ips: 10.9.0.9/32, 192.168.8.0/24
...

R2

root@OpenWrt:~# wg
interface: wg0
  public key: s*********************************=
  private key: (hidden)
  listening port: 54041

peer: X**************************************=
  endpoint: yy.yy.yy.yy:55055
  allowed ips: 10.9.0.1/32, 192.168.1.0/24

czy pokazane tablice routingu są ściągnięte z Internetu i nie są Twoje?
Wszystkim userom Openwrt dopisuje trasy tylko Tobie nie dopisuje smile

2. Temat łączenia sieci LAN przerabiałeś 15 miesięcy temu i jak widać z sukcesem:
https://eko.one.pl/forum/viewtopic.php? … 15#p262115
tutaj potrafiłeś zrobić konfig żeby dopisać inne sieci:
https://eko.one.pl/forum/viewtopic.php? … 95#p262095
co się takiego stało, że nic nie pamiętasz ?

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

109 Odpowiedź przez gonzales (edytowany przez gonzales 2023-04-18 19:24:30)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

Jakkolwiek absurdalnie to brzmi i stawia mnie w niekorzystnym świetle, to posty są mojego autorstwa.
Nic mi nie wiadomo o przejęciu konta przez "obcych".

Konfiguracja o której pisze teraz jest ze schematu w postcie Nr 104.
I jest to jedyna konfiguracja jaka ustawiam. Nie wiem czy ostateczna. smile

Błędem było wpisanie w allowed ips adresacji zdalnej sieci LAN jako:

192.168.8.1/24
a nie
192.168.8.0/24

a polecanie wg pokazuje z zerem na końcu.
Także było wpisane w network, ale nie poprawnie.
Z jedynką na końcu powinien być możliwy dostęp tylko do konkretnego hosta w zdalnej sieci LAN i powinien być zapisany w takiej postaci 192.168.8.1/32 (adres tego hosta) jeżeli dobrze rozumiem.

Teraz jest OK:
R1

root@OpenWrt:~# ip route show
default via yy.yy.yy.yy dev pppoe-wan
10.9.0.9 dev wg0 scope link
yy.yy.yy.yy dev pppoe-wan scope link  src xx.xx.xx.xx
192.168.1.0/24 dev br-lan scope link  src 192.168.1.1
192.168.8.0/24 dev wg0 scope link

R2

root@OpenWrt:~# ip route show
default via 192.168.79.176 dev usb0  src 192.168.79.1
10.9.0.1 dev wg0 scope link
xx.xx.xx.xx via 192.168.79.176 dev usb0
192.168.1.0/24 dev wg0 scope link
192.168.8.0/24 dev br-lan scope link  src 192.168.8.1
192.168.79.0/24 dev usb0 scope link  src 192.168.79.1

Grzebię tam raz na kwartał, do tego zmieniając a to pomysł, a to sprzęt na którym to instaluję i potem muszę się wstydzić za brak wiedzy i pamięci.
Jutro dalsza walka z ustawianiem GRE, GUEST i firewall'em.

Podlinkujecie jakiś poradnik jak zrozumieć firewall, ruch przychodzący, wychodzący i przekazujący do tego strefy i kierunki w którym to może, bądź nie może być przesyłane. Fajnie by było w końcu to zrozumieć wink

110 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

gonzales napisał/a:

...
jak zrozumieć firewall, ruch przychodzący, wychodzący i przekazujący do tego strefy i kierunki w którym to może, bądź nie może być przesyłane.

Odpowiedzi na te pytania są tutaj:
https://openwrt.org/docs/guide-user/fir … figuration

Nie wiesz co to ruch przychodzący?
Można porównać do tego, że jutro przyjdzie do Ciebie ciocia i albo otworzysz dla Niej wejście czyli INPUT ACCEPT albo odmówisz dla Niej wejścia - REJECT.

A ruch wychodzący gdy chcesz wyjść z pokoju i masz pozwolenie od mamy czyli OUTPUT ACCEPT lub gdy mama zamknie drzwi i schowa klucz to masz odmowę wyjścia z pokoju.

A gdzie może lub nie może być przesyłane to musisz zdecydować sam.
To Ty jesteś Królem w swojej sieci i rycerz Openwrt wykona taki rozkaz, jaki dostanie od swojego Pana, czyli Ciebie smile

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

111 Odpowiedź przez gonzales

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

@mar_w wracam do tematyki z postów #81-86.
Dokładnie chodzi mi o to, że zastosowałem wskazówkę z postu#84.
Klienci sieci gościnnej na routerze zdalnym R2 uzyskują adresację z Routera R1, klienci sieci gościnnej pingują swoją bramę czyli 172.16.0.1  (internet działa) jednak nie pingują się z innymi klientami GUEST czy to po stronie routera R1 czy R2.
Chcę aby klienci sieci GUEST po obu stronach tunelu widziałay się więc muszą się pingować jeżeli dobrze rozumiem.
R1 stały adres IP 172.168.0.1 - serwer DHCP dla GUEST
R2 stały adres IP 172.168.0.100 - klient serwera DHCP dla GUEST na routerze R1

112 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

gonzales napisał/a:

...
Klienci sieci gościnnej na routerze zdalnym R2 uzyskują adresację z Routera R1, klienci sieci gościnnej pingują swoją bramę czyli 172.16.0.1  (internet działa) jednak nie pingują się z innymi klientami GUEST czy to po stronie routera R1 czy R2.
Chcę aby klienci sieci GUEST po obu stronach tunelu widziałay się więc muszą się pingować jeżeli dobrze rozumiem.
R1 stały adres IP 172.168.0.1 - serwer DHCP dla GUEST
R2 stały adres IP 172.168.0.100 - klient serwera DHCP dla GUEST na routerze R1

Z całym szacunkiem, ale z obserwacji Twoich ostatnich poczynań wynika jedno.... MYLISZ ADRESY SIECI ORAZ HOSTÓW.

W #109 pomyliłeś 0 z 1 na ostatnim oktecie i nie miałeś poprawnej tablicy routingu.

Tutaj pingujesz PUBLICZNE ADRESY.
cyfra 16 a 168 na drugim oktecie to są zupełnie różne cyfry, nawet jeśli uważasz inaczej.
Na pocieszenie napiszę że adres 172.168.0.1 też u mnie nie odpowiada na ping wink

Nawet jeśli najlepszy GURU pokaże Ci działający konfig a Ty będziesz sobie wybierał dowolne adresy z nie swoich sieci to... rzeczywiście nie będzie działać.

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

113 Odpowiedź przez gonzales (edytowany przez gonzales 2023-04-22 22:42:19)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

Nie, no nie. Niczego nie pomyliłem tym razem. Ale faktycznie na forum podając adresację wpisałem źle. Miało być 172.16.0.1 a nie 172.168.0.1 i tak mam w konfigach. Co zrobić, żeby wszystkie hosty w sieci guest po obu stronach tunelu się widziały? Albo jak zdiagnozować dlaczego obecnie się nie widzą/pingują?

114 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

Sam widzisz, że co innego podajesz tutaj a co innego masz w konfiguracji.
Sam na siebie ściągasz zasadę "ograniczonego zaufania" smile

Dla klientów Wi-Fi może masz włączoną izolację klientów bezprzewodowych.
Aż się boję dalej wymieniać bo może pewnych opcji nie znasz i tutaj się dowiesz i zaczniesz testować i dopiero będzie płacz...

Diagnozuje się zapuszczając tcpdumpa na poszczególnych węzłach wirtualnej sieci.

Nie jesteś pierwszy który robi coś takiego.
Pisz prywatnego e-maila do ulubionego usera dogadajcie się, bo z mojej strony nie ma tu o czym dalej pisać.

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

115 Odpowiedź przez gonzales (edytowany przez gonzales 2023-04-23 14:08:10)

  • Zarejestrowany: 2011-02-28
  • Posty: 455

Odp: Przepychanie/most przez VPN

Dziękuję za wszelkie wskazówki, wyjaśnienia i udzieloną pomoc. Miło się konwersowało. Do zobaczenia może w innych wątkach smile  chociaż jak nie jestem wiargodny, to może być z tym problem.

116 Odpowiedź przez kocjan

  • kocjan
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2019-02-20
  • Posty: 4

Odp: Przepychanie/most przez VPN

Dzień dobry

Mam troszkę inny projekt do zrealizowania i nie mogę sobie poradzić (dla mnie to czarna magia). potrzebuję zrealizować coś a'la EoIP mikrotikowe.

Dwa routery w różnych lokalizacjach spięte tunelem wireguard. Na obu potrzebuję wydzielić jeden port eth i spiąć tunelem, tak aby ruch przechodził jak przez sieć ethernet (reszta portow to standard, wlasne dhcp, podpiete urzadzenia maja dostep do internetu). W routerze A do wydzielonego portu eth podpinam sieć ethernetową X. W routerze B do wydzielonego portu eth podpinam urządzenie Y, które ma komunikować sie z siecia X. DHCP dla urzadzenia Y jest w sieci X. Do realizacji zadania wybralem GRE.

MTU dla tunelu wireguard 1646

Konfiguracja tunelu gre na routerze A:

config interface 'gre'
        option proto 'gretap'
        option peeraddr '192.168.10.2'        #adres wireguard routera B
        option ipaddr '192.168.10.1'         #adres wireguard routera A
        option mtu '1600'

Konfiguracja tunelu gre na routerze B:

config interface 'gre'
        option proto 'gretap'
        option peeraddr '192.168.10.1'        #adres wireguard routera A
        option ipaddr '192.168.10.2'         #adres wireguard routera B
        option mtu '1600'


Konfiguracja wydzielonego portu na obu routerach:
config device
        option name 'eth0.3'
        option type '8021q'
        option ifname 'eth0'
        option vid '3'
        option ipv6 '0'


I nie wiem co dalej. jak spiac ruch z tych portów za pomocą tunelu GRE?

117 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,927

Odp: Przepychanie/most przez VPN

OT: wiesz że jest pakiet eoip na openwrt?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

118 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,124

Odp: Przepychanie/most przez VPN

kocjan napisał/a:

Dzień dobry
...
Konfiguracja tunelu gre na routerze A:

config interface 'gre'
        option proto 'gretap'
        option peeraddr '192.168.10.2'        #adres wireguard routera B
        option ipaddr '192.168.10.1'         #adres wireguard routera A
        option mtu '1600'

Konfiguracja tunelu gre na routerze B:

config interface 'gre'
        option proto 'gretap'
        option peeraddr '192.168.10.1'        #adres wireguard routera A
        option ipaddr '192.168.10.2'         #adres wireguard routera B
        option mtu '1600'


Konfiguracja wydzielonego portu na obu routerach:
config device
        option name 'eth0.3'
        option type '8021q'
        option ifname 'eth0'
        option vid '3'
        option ipv6 '0'


I nie wiem co dalej. jak spiac ruch z tych portów za pomocą tunelu GRE?

jeżeli dalej chcesz się bawić z GRETAP to musisz utworzyć kolejny interfejs na obu routerach z tym, że:
- na serwerze ustawiasz statyczny adres IP i uruchamiasz serwer DHCP
- a na kliencie ustawiasz pobieranie adresu po DHCP (option proto dhcp) lub też adres statyczny z puli serwera, co wolisz
Nowy interfejs na obu końcówkach musi być podpięty pod istniejący interfejs @gre
na str 1 użytkownik @imkebe to ładnie rozpisał jeśli chodzi o interfejsy: https://eko.one.pl/forum/viewtopic.php? … 72#p235972
wg1 - tunel,
tun10 - gretap który idzie przez tunel,
guest - to jest osobna sieć oparta na gre która, idzie z dalekiego serwera i wszystko jest w jednej logicznej sieci smile

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

119 Odpowiedź przez kocjan

  • kocjan
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2019-02-20
  • Posty: 4

Odp: Przepychanie/most przez VPN

Cezary napisał/a:

OT: wiesz że jest pakiet eoip na openwrt?

Wiem. Moze byc eoip, pytanie jak to skonfigurowac?

120 Odpowiedź przez kocjan

  • kocjan
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2019-02-20
  • Posty: 4

Odp: Przepychanie/most przez VPN

mar_w napisał/a:
kocjan napisał/a:

Dzień dobry
...
Konfiguracja tunelu gre na routerze A:

config interface 'gre'
        option proto 'gretap'
        option peeraddr '192.168.10.2'        #adres wireguard routera B
        option ipaddr '192.168.10.1'         #adres wireguard routera A
        option mtu '1600'

Konfiguracja tunelu gre na routerze B:

config interface 'gre'
        option proto 'gretap'
        option peeraddr '192.168.10.1'        #adres wireguard routera A
        option ipaddr '192.168.10.2'         #adres wireguard routera B
        option mtu '1600'


Konfiguracja wydzielonego portu na obu routerach:
config device
        option name 'eth0.3'
        option type '8021q'
        option ifname 'eth0'
        option vid '3'
        option ipv6 '0'


I nie wiem co dalej. jak spiac ruch z tych portów za pomocą tunelu GRE?

jeżeli dalej chcesz się bawić z GRETAP to musisz utworzyć kolejny interfejs na obu routerach z tym, że:
- na serwerze ustawiasz statyczny adres IP i uruchamiasz serwer DHCP
- a na kliencie ustawiasz pobieranie adresu po DHCP (option proto dhcp) lub też adres statyczny z puli serwera, co wolisz
Nowy interfejs na obu końcówkach musi być podpięty pod istniejący interfejs @gre
na str 1 użytkownik @imkebe to ładnie rozpisał jeśli chodzi o interfejsy: https://eko.one.pl/forum/viewtopic.php? … 72#p235972
wg1 - tunel,
tun10 - gretap który idzie przez tunel,
guest - to jest osobna sieć oparta na gre która, idzie z dalekiego serwera i wszystko jest w jednej logicznej sieci smile


Sprobuje, czyba że Cezary podrzuci rozwiazanie z eoip.

121 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,927

Odp: Przepychanie/most przez VPN

Nope, wiem że jest ale ja tego nie używam.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona