Cześć, chciałbym dostawać się do mojej sieci z zewnątrz (zew IP mam).
Na brzegu stoi u mnie fortigate z kilkoma vlanami, potem zarządzalne switch i routery z openwrt robiące za ap + mgmt z nimi na oddzielnym vlanie.
Z racji, że fortigate nie posiada openvpn ani wireguard, postanowiłem wykorzystać jako serwer wireguard tego AP z openwrt na pokladzie.
Plan mam taki - na fortigate robię oddzielną zone pod nazwą VPN, w niej VLAN 100 (VPN).
Interes tak - puszczam ten VLAN jako kolejny do AP. Tworze vlan na AP.
I co teraz? Jak zmusić wireguard do korzystania tylko z VLAN VPN do łączenia się z peerami? Pozostałe glany mają być niewidoczne dla VPN z poziomu routera. Caly ruch między vlanami ma się odbywać na fortigate - tam też będą odpowiednie polisy na firewallu.

Jak z adresacja?

Chciałbym coś takiego
Na fortigate VLAN 100 VPN będzie miał 172.0.0.1/29
Na AP druga końcówka VLAN 100 VPN 172.0.0.2\29
Czy klienci mogą mieć adresacje z tej samej klasy, tj. Pierwszy peer będzie miał 172.0.0.3/29?
Nie chciałbym oddzielnej adresacji dla wireguard na AP bo to wiązałoby się chyba z natem a tego za bardzo nie chce - chyba że źle rozumiem?
Nie chce nata bo potem polisy chciałbym tworzyć na fw w oparciu o peera 172.0.0.3/29 do załóżmy internetu, albo do VLAN z serwerami etc.

Nie chciałbym sytuacji jak poniżej:
Na fortigate VLAN 100 VPN będzie miał 172.0.0.1/29
Na AP druga końcówka VLAN 100 VPN 172.0.0.2\29
Potem dla wireguard załóżmy 10.0.0.1/29 i peery kolejno z tej puli adresacje.

Kwestia routingu - zapewne w konfigu wireguarda będę musiał dodać statyczne trasy, chyba że domyślnie cały ruch niech pcha przez tunel łącznie z internetem.
Bo na fortigate będzie wiedział o sieci 172.
Mam nadzieje, że rozumiecie o co mi chodzi. Próbowałem wyjaśnić najprościej jak się da bez gmatwania.
Z góry dziękuję za pomoc.