Mám verzi CentOS 7.6 a nainstaloval jsem testovací server Wireguard VPN. Celá instalace a konfigurace je docela snadná, alespoň podle dokumentace, takže co jsem udělal, nainstaloval jsem wireguard-tools, wireguard-dkms a linux-headers
dalším krokem bylo, že jsem vygeneroval soukromý a veřejný klíč serveru a napsal konfiguraci serveru jako:
[Interface]
Address = 10.7.0.1/24
ListenPort = 34777
PrivateKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
AllowedIPs = 10.7.0.2/32
[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
AllowedIPs = 10.7.0.3/32
[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
AllowedIPs = 10.7.0.4/32
[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
AllowedIPs = 10.7.0.5/32
ze strany serveru jsem otevřel port 34777 udp na firewallu a nastavil sysctl -w net.ipv4.ip_forward (pro povolení přesměrování), protože tento server by měl předávat provoz z klienta na jiné servery v podsíti serveru VPN.
Nyní si představme, že veřejná IP tohoto serveru je 11.11.11.11/23
Na straně klienta vypadá konfigurace takto:
[Interface]
Address = 10.7.0.4/24
PrivateKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
AllowedIPs = 10.7.0.1/32,11.11.11.0/23 (for having route to 11.11.11.0/23 subnet) or 0.0.0.0/0
Endpoint = 11.11.11.11:34777
nyní 0.0.0.0/0 znamená, že budu přesměrovávat veškerý provoz do své VPN (není to povinné), může to být rozdělený tunel…. čemu nerozumím, když se připojím, můžu pingnout rozhraní serveru 10.7.0.1, ale nemůžu pingnout nic ze sítě 11.11.11.0/23.
Protože síť 11.11.11.0/23 je veřejná, není tam žádný NAT.
Ještě zmíním, že na CentOS používám místo iptables firewalld.
Jak a proč nevidím vnitřní síť za tunelovaným rozhraním?
obrázek, jak vypadá nastavení:
P.S. Na obrázku mezi hostitelem A a serverem Wireguard je další linuxový router (hlavní router), takže mějte na paměti.
Přijatá odpověď:
Po tolika pokusech a neúspěších a brainstormingu s klukama z IRC chanel z wireguard jsem očividně zapomněl přidat statickou cestu pro 10.7.0.0/24 pro každý server za wireguardem. Ping jde na server, ale nevrací se, protože server neví, kam má poslat ozvěnu:
ip route add 10.7.0.0/24 via 11.11.11.11 dev eth0 (main device for communication)
Pro mě problém vyřešen 😉