• Zarejestrowany: 2025-04-22
  • Posty: 22

Temat: Asus AX4200, PBR i Wireguard

Witam,
mam problem z konfiguracją Openwrt 24.10 Snapshot na tym routerze. Po wstępnej konfiguracji (PPPoE, Wifi, udostępnianie dysku podłączonego do routera (tutaj musiałem w terminalu użyc polecenia mount, z Luci nie działało)), skonfigurowałem nowy interfejs wireguard (mam wykupionego Surfsharka). Strony działają, ale nie wszystkie. Z takich często używanych nie ma pingu np. do allegro, po reboot`cie routera eko.one.pl też początkowo nie ładowało się, proszę Was o pomoc

cat /etc/config/network 

config interface 'loopback'
        option device 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config globals 'globals'
        option ula_prefix 'fd96:a016:bc7::/48'
        option packet_steering '1'

config device
        option name 'br-lan'
        option type 'bridge'
        list ports 'lan1'
        list ports 'lan2'
        list ports 'lan3'
        list ports 'lan4'

config interface 'lan'
        option device 'br-lan'
        option proto 'static'
        option ipaddr '192.168.2.254'
        option netmask '255.255.255.0'
        option ip6assign '60'

config interface 'wan'
        option device 'eth1'
        option proto 'pppoe'
        option username 'ZZZZ'
        option password 'ZZZZ'
        option ipv6 'auto'

config interface 'wan6'
        option device 'eth1'
        option proto 'dhcpv6'

config interface 'wg_wawa'
        option proto 'wireguard'
        option private_key 'ZZZZ'
        list addresses '10.14.0.2/16'
        list dns '162.252.172.57'
        list dns '149.154.159.92'
        option mtu '1420'

config wireguard_wg_wawa
        option description 'Imported peer configuration'
        option public_key 'ZZZZ'
        list allowed_ips '0.0.0.0/0'
        option endpoint_host 'pl-waw.prod.surfshark.com'
        option endpoint_port '51820'
        option route_allowed_ips '1'
        option persistent_keepalive '25'
cat /etc/config/pbr

config pbr 'config'
        option enabled '1'
        option verbosity '2'
        option strict_enforcement '1'
        option resolver_set 'dnsmasq.nftset'
        list resolver_instance '*'
        option ipv6_enabled '0'
        list ignored_interface 'vpnserver'
        option boot_timeout '30'
        option rule_create_option 'add'
        option procd_reload_delay '1'
        option webui_show_ignore_target '1'
        option nft_rule_counter '0'
        option nft_set_auto_merge '1'
        option nft_set_counter '0'
        option nft_set_flags_interval '1'
        option nft_set_flags_timeout '0'
        option nft_set_policy 'performance'
        list webui_supported_protocol 'all'
        list webui_supported_protocol 'tcp'
        list webui_supported_protocol 'udp'
        list webui_supported_protocol 'tcp udp'
        list webui_supported_protocol 'icmp'

config include
        option path '/usr/share/pbr/pbr.user.aws'
        option enabled '1'

config include
        option path '/usr/share/pbr/pbr.user.netflix'
        option enabled '0'

config dns_policy
        option name 'Redirect Local IP DNS'
        option src_addr '192.168.1.5'
        option dest_dns '1.1.1.1'
        option enabled '0'

config policy
        option name 'Ignore Local Requests'
        option interface 'ignore'
        option dest_addr '10.0.0.0/24 10.0.1.0/24 192.168.100.0/24 192.168.1.0/24'
        option enabled '0'

config policy
        option name 'Plex/Emby Local Server'
        option interface 'wan'
        option src_port '8096 8920 32400'
        option enabled '0'

config policy
        option name 'Plex/Emby Remote Servers'
        option interface 'wan'
        option dest_addr 'plex.tv my.plexapp.com emby.media app.emby.media tv.emby.media'
        option enabled '0'

config policy
        option dest_addr 'allegro'
        option interface 'wan'
        option name 'allegro'

config policy
        option dest_addr 'eko.one.pl'
        option interface 'wan'
        option name 'eko.one.pl'
root@OpenWrt:/etc/config# cat /etc/config/firewall

config defaults
        option input 'REJECT'
        option output 'ACCEPT'
        option forward 'REJECT'
        option synflood_protect '1'

config zone
        option name 'lan'
        list network 'lan'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'ACCEPT'

config zone
        option name 'wan'
        option input 'REJECT'
        option output 'ACCEPT'
        option forward 'REJECT'
        option masq '1'
        option mtu_fix '1'
        list network 'wan'
        list network 'wan6'
        list network 'wg_wawa'

config forwarding
        option src 'lan'
        option dest 'wan'

config rule
        option name 'Allow-DHCP-Renew'
        option src 'wan'
        option proto 'udp'
        option dest_port '68'
        option target 'ACCEPT'
        option family 'ipv4'

config rule
        option name 'Allow-Ping'
        option src 'wan'
        option proto 'icmp'
        option icmp_type 'echo-request'
        option family 'ipv4'
        option target 'ACCEPT'

config rule
        option name 'Allow-IGMP'
        option src 'wan'
        option proto 'igmp'
        option family 'ipv4'
        option target 'ACCEPT'

config rule
        option name 'Allow-DHCPv6'
        option src 'wan'
        option proto 'udp'
        option dest_port '546'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-MLD'
        option src 'wan'
        option proto 'icmp'
        option src_ip 'fe80::/10'
        list icmp_type '130/0'
        list icmp_type '131/0'
        list icmp_type '132/0'
        list icmp_type '143/0'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Input'
        option src 'wan'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        list icmp_type 'router-solicitation'
        list icmp_type 'neighbour-solicitation'
        list icmp_type 'router-advertisement'
        list icmp_type 'neighbour-advertisement'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Forward'
        option src 'wan'
        option dest '*'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-IPSec-ESP'
        option src 'wan'
        option dest 'lan'
        option proto 'esp'
        option target 'ACCEPT'

config rule
        option name 'Allow-ISAKMP'
        option src 'wan'
        option dest 'lan'
        option dest_port '500'
        option proto 'udp'
        option target 'ACCEPT'

config include 'pbr'
        option fw4_compatible '1'
        option type 'script'
        option path '/usr/share/pbr/firewall.include'

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Zmień serwer wyjściowy, może hostingi z jakiegoś powodu odrzucają połączenia z takich serwerów z których wg ci wychodzi.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez foxx999 (edytowany przez foxx999 2025-04-23 06:41:20)

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Zmieniając adres serwera z Warszawy na Gdańsk, strony zaczęły się ładować, ale jeśli chodzi o prędkość to szału nie ma w porównaniu z brakiem VPN.

Tylko, że łączą się do Gdańska i uruchamiając program p2p, przełącza mnie na IP holenderskie
https://i.postimg.cc/26Kc9R61/Bez-tytu-u.png

pomimo, że test DNS leak, pokazuje Polskę

https://i.postimg.cc/CK6XXfrM/Bez-tytu-u.png

Kiedyś używałem ich aplikacji na Windows i działał serwer z Warszawy bez najmniejszego problemu, nawet wczoraj testowałem router bez VPN i ich aplikacja i wszystko działało OK.

4 Odpowiedź przez Cezary (edytowany przez Cezary 2025-04-23 06:52:02)

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Zgłoś więc do nich że jest problem ze stronami.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez foxx999 (edytowany przez foxx999 2025-04-23 13:42:22)

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Napisałem do supportu

A czy przez ustawienie PBR nie powinien ominąć VPNa, skoro jest ustawiony interfejs WAN przy allegro?

https://i.postimg.cc/NM5FN9ft/Bez-tytu-u.jpg

jest błąd "Failed to resolve "allegro", nie wiem dlaczego

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Dlatego że host to allegro.pl a nie allegro

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Zauważyłem po uplodzie screena ten błąd, poprawiłem na allegro.pl, ale to nic nie zmienia. Ping jest. Strona się nie ładuje. Zresztą jak się okazało jest więcej takich stron (x-kom, ceneo), ping jest, ale strony nie ładują się

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Po wyłączeniu pbr'a działają normalnie?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Tak, zrobiłem STOP i DISABLE i strony ładują się, natomiast wtedy nie jestem w stanie zobaczyć kamer IP (korzystam z programu ICSEE), nie było ich na screenie, bo nie zdążyłem ich jeszcze dodać po świeżej konfiguracji OpenWRT. Wyłączyłem p2p i zaktualizowało mi adres na polski serwer, nie holenderski

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Podejrzewałem że mtu masz niewłaściwe przy pppoe, ale skoro działa po wyłączeniu pbr'a to nie, raczej to nie ten trop.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Próbowałem 1420, 1412, 1280. Nic nie zmieniało. A jak bez PBR ogarnąć kamery?

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Nie mam pojęcia czym są te kamery i co potrzeba żeby były widoczne. Musisz doczytać.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

To są kamery IP, jak włączę VPN to wtedy w programie na telefonie ciągle się wczytują (brak obrazu). Jak miałem włączony PBR to kamery działały.

Jest inny sposób poza PBR, żeby urządzenia o ustalonym adresie IP pomijały VPN?

14 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

- mwan3
- https://openwrt.org/docs/guide-user/net … pbr_netifd
- https://eko.one.pl/?p=openwrt-routing (tylko że w obecnym wydaniu nie masz iptables i musisz to sobie przerobić na nftables)

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

15 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Moja wiedza opiera się na tym co przeczytam w poradnikach/forach... Będzie ciężko
Btw, próbując zainstalować Wireguard jako serwer, pojawia się błąd 

root@OpenWrt:~# wg genkey > server.privkey
Warning: writing to world accessible file.
Consider setting the umask to 077 and trying again.

16 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Nie błąd a ostrzeżenie, napisał dlaczego. Nie ma znaczenia, bo te pliki i tak później możesz usunąć.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

17 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Czyli klucze wygenerowane można później pousuwać z katalogu root?
Odkąd pamiętam, po

 /etc/init.d/network restart

router nie wstaje, muszę go wyłączyć i włączyć, co może być przyczyną?

18 Odpowiedź przez Cezary (edytowany przez Cezary 2025-04-24 07:35:02)

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,346

Odp: Asus AX4200, PBR i Wireguard

Tak, możesz usunąć bo masz je w konfigach.

Po restarcie sieci musi wstać, tak samo jak wstaje po rebootcie. No chyba że za krótko czekałeś lub masz błąd składniowy i konfig nie jest właściwy.

EDIT: choć same klucze warto sobie gdzieś włożyć do backupu, bo jak często zmieniasz klientów to w końcu gdzieś ucieknie ten klucz. Choć wtedy dla nowego klienta możesz wygenerować nowe klucze.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

19 Odpowiedź przez foxx999

  • Zarejestrowany: 2025-04-22
  • Posty: 22

Odp: Asus AX4200, PBR i Wireguard

Po reboocie router wstaje bez problemu, natomiast po restarcie sieci nie, ani wifi, ani po kablu. Czekałem 10 minut, dla pewności.
Mam tak od pierwszej instalacji Openwrt.