Aby nie było już chaotycznie to może napiszę jak to u mnie wygląda.
Jest serwer wireguard postawiony na zewnętrznym vpsie w którym mam dodanych 3 klientów wireguard
10.9.0.1 - adres serwera wireguard
10.9.0.2 - komputer z windowsem
10.9.0.10 - mikrotik 1
10.9.0.11 - mikrotik 2
Chcę dostać się do lanu na mikrotiku 2. Podsieć do 192.168.11.0/24
Na swoim kliencie spróbowałem ustawienia AllowedIPS = 0.0.0.0/0 jak również jak sugerował wcześniej Cezary odznaczyłem opcję "zabezpiecz ruch sieciowy" i wtedy AllowedIPs = 0.0.0.0/1, 128.0.0.0/1
Na wszystkich klientach mam EndPoint = adres vps'a (adres serwera wireguard).
Według tego opisu wydaje mi się że w moim przypadku powinienem zastosować konfigurację RoadWarrior bo nie chcę na stałe łączyć 2 podsieci LAN.
https://help.mikrotik.com/docs/display/ … uardtunnel
Ustawienia firewalla dla klienta wg 10.9.0.11
[admin@RouterOS] /ip/firewall> export compact
# jun/25/2023 09:12:36 by RouterOS 7.9
# software id = 946B-8CC1
#
# model = RB941-2nD
# serial number = D1130FF49165
/ip firewall filter
add action=accept chain=input src-address=192.168.11.0/24
add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward dst-address=192.168.11.0/24 in-interface=wireguard1
add action=accept chain=forward connection-nat-state=dstnat
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=accept chain=input dst-port=55055 protocol=udp
add action=accept chain=input in-interface=wireguard1 protocol=tcp
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" disabled=yes ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat dst-address=10.9.0.11 dst-port=5900 protocol=tcp to-addresses=192.168.11.21 to-ports=5900
add action=dst-nat chain=dstnat dst-address=10.9.0.11 dst-port=5900 protocol=udp to-addresses=192.168.11.21 to-ports=5900
[admin@RouterOS] /ip/firewall>
Konfiguracja serwera wireguard
root@serwer:~# cat /etc/wireguard/wg0.conf
[Interface]
Address = 10.9.0.1/24
SaveConfig = true
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
ListenPort = 55055
PrivateKey = klucz
[Peer]
PublicKey = klucz
AllowedIPs = 10.9.0.2/32
Endpoint = x.x.x.x:55055
PersistentKeepalive = 25
[Peer]
PublicKey = klucz 2
AllowedIPs = 10.9.0.10/32
PersistentKeepalive = 25
[Peer]
PublicKey = klucz 3
AllowedIPs = 10.9.0.11/32, 192.168.11.0/24
Endpoint = x.x.x.x:55055
PersistentKeepalive = 25
gdzie x.x.x.x - to ip serwera vps
W sumie to nie wiem czy ten Endpoint jest tutaj potrzebny bo dla 10.9.0.10 tego nie ma i też działa.
Może coś trzeba dopisać w AllowedIPs na serwerze ?
100Mb/s - 25Gb/s