Ver originales (Francés)

Wireguard

UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención   -  
brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención   -
Hola,
Recientemente he configurado un vpn wireguard para poder acceder a mi red local cuando estoy fuera y hacer pasar todo mi tráfico a través del vpn.

Mi arquitectura es la siguiente: PC > VPN en vm proxmox > red local + internet

Mi servidor wireguard está en 10.0.20.1 y mi PC en 10.0.20.2
La red local a la que quiero acceder está en 10.0.0.X

Estoy experimentando dos problemas: consigo hacer ping al servidor wireguard desde mi pc pero no puedo acceder al resto de la red local y no puedo acceder a internet.
He activado el reenvío de interfaces.

Aquí está mi archivo de configuración a nivel de servidor:

[Interface]
PrivateKey = MaCléPrivéeServeur
Address = 10.0.20.1/24
ListenPort = MonPortPersonnalisé
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o et>PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o >

[Peer]
#PC
PublicKey = MaCléPubliquePC
AllowedIps = 10.0.20.2/32

Y nivel cliente :

[Interface]
PrivateKey = MaCléPrivéePC
Address = 10.0.20.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = MaCléPubliqueServeur
AllowedIPs = 10.0.20.1/32
Endpoint = ndd:port
PersistentKeepalive = 25

--
Merci d'avance,
--
UnLabrdor

--
Mon pc :
Pc portable HP Laptop 17-by0xxx

Procc. i3 7020U
Ram. 8go ddr4 2133mhz
Disque 1to 5400 trs/min
CG. RADEON 520 series

2 respuestas

  1.
    avion-f16 Mensajes publicados 19182 Fecha de registro   Estado Colaborador Última intervención   4 511
     
    Hola,

    En la configuración del cliente, AllowedIPs para la pareja correspondiente al servidor no es correcta. 

    AllowedIPs = 10.0.20.1/32
    indica que los paquetes procedentes de esa pareja solo pueden tener como fuente la dirección IP 10.0.20.1.
    Por lo tanto, el cliente no puede recibir, a través de esa pareja (el servidor), paquetes cuyo origen sea la red local 10.0.0.0/24

    Es necesario usar 
    AllowedIPs = 0.0.0.0/0
    si deseas dirigir todo tu tráfico a través de WireGuard.

    Esta configuración mediante el archivo de configuración modifica automáticamente la tabla de enrutamiento del sistema, a diferencia de la configuración manual (donde se crea la interfaz manualmente, etc.).
    1
    1. brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención   14 441
       
      Hola,
      ¿seguro de que eso se refiere al enrutamiento de esta ACL?
      ¿no solo las direcciones de la VPN?
      Pero es posible, aún no he practicado Wireguard
      Por cierto,
      no veo muy bien por qué hacemos NAT, bastaría con hacer enrutamiento estático.
      0
      1. avion-f16 Mensajes publicados 19182 Fecha de registro   Estado Colaborador Última intervención   4 511 > brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención  
         
        Hola,

        @brupala
        El programa WireGuard modifica la tabla de rutas en función de los 
        AllowedIPs
        de los 
        [peer]
        en el archivo de configuración, de forma similar al parámetro 
        route
        en la configuración de OpenVPN.

        Para el NAT, supongo que es para que la red WireGuard 10.0.20.0/24 permanezca desconocida fuera de la máquina virtual.

        @UnLabrador
        Los comandos iptables en PostUp y PostDown están incompletos, también falta el salto de línea antes de PostDown. Piensa en usar las etiquetas de código en CCM para conservar el formato.
        Verifica que el nombre de las interfaces sea correcto, se adivina "et" y supongo "eth0" pero ¿es así? Hoy en día suele ser "enpXsX" en lugar de "ethX".
        También hay que activar las redirecciones a nivel del kernel (con sysctl), además de permitírselas a nivel del cortafuegos.
        0
      2. brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención   14 441 > avion-f16 Mensajes publicados 19182 Fecha de registro   Estado Colaborador Última intervención  
         
        Sí,
        de hecho, tenemos la respuesta aquí:
        https://techoverflow.net/2021/07/09/what-does-wireguard-allowedips-actually-do/
        Gracias :-)
        por cierto, 0.0.0.0/0 es un poco amplio, de hecho para todos, hay que reducirlo, creo, especialmente porque aparentemente se pueden indicar varias franjas.
        Y como dije, también hay que prever la ruta en el sentido contrario.
        0
    2. UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención   2
       
      Hola,
      Tengo dos archivos de configuración, había puesto 0.0.0.0/0 porque tengo dos túneles, uno (que funciona) para acceder solo al servidor y otro (que no funciona) para acceder a la red local remota + a Internet
      Había copiado el de acceso solo a la máquina
      Entonces, todavía no funciona con 0.0.0.0/0
      0
  2. brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención   14 441
     
    Además,
    ¿la máquina de la LAN que quiere alcanzar tiene la ruta correcta hacia 10.0.20.0/24?
    supongo que no es la ruta por defecto ...

    --
    y ... Así está / Así que así
    ¡Listo!
    0
    1. UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención   2
       
      ¿Cómo verificar esto?
      0
    2. brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención   14 441 > UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención  
       
      Ver la tabla de enrutamiento de la máquina del LAN, del servidor y del cliente de WireGuard.
      ¿Qué sistemas operativos son?
      ¿Por cierto, la VM puede hacer ping en la red local?
      ¿Está conectada en modo puente o en otra cosa?
      0
    3. UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención   2 > brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención  
       
      Hola,
      El cliente WireGuard puede hacer ping al servidor WireGuard en 10.20.0.1 y la VM puede hacer ping al cliente en 10.20.0.2
      La VM puede acceder a la red local
      Ella corre Debian 11
      0
    4. brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención   14 441 > UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención  
       
      ¿Cuál es su dirección en la red local?
      y el sistema operativo de la máquina objetivo de la red local?
      y su dirección también?
      0
    5. UnLabrador Mensajes publicados 75 Fecha de registro   Estado Miembro Última intervención   2 > brupala Mensajes publicados 111140 Fecha de registro   Estado Miembro Última intervención  
       
      Su dirección en la red local es 10.0.0.110
      Mi PC móvil funciona con Windows 11.
      No quiero acceder a una máquina específica, quiero acceder a toda la red local, una especie de sitio a sitio.
      0