LINUX.ORG.RU
Форум — Admin  

Доступ к клиентам Wireguard

 ,


1

3

Всем привет! Имеется офис с сетью 10.20.0.0/25. Поднял Winreguard на Ubuntu 20.04 по этой инструкции https://github.com/wg-easy/wg-easy с пулом адресов 10.10.0.0/24. Клиенты подключаются к удаленной сети и работают. Возникла необходимость удаленно подключаться к самим VPN-клиентам из офиса, т.е. необходимо получить доступ из подсети 10.20.0.0/25 в 10.10.0.0/24. Как это сделать?


 ← 1 2 →
Ответ на: комментарий от max85

с таким не сталкивался, но по логике на системном уровне это всё те же интерфейсы между которыми нужно передавить трафик, значит вроде как стандартное «sysctl -w net.ipv4.ip_forward=1» должно помочь.

зы: это работает только до перезагрузки, что добавь в автозапуск.

flant ★★★
()

пулом адресов 10.10.0.0/24

Это адреса в самих туннелях wireguard, правильно?

подключаются к удаленной сети

К другой, не к офисной?

Нужно настраивать три вещи. AllowedIPs чтобы wireguard знал о существовании сети за пиром. Маршрут, чтобы пакеты могли уйти. Firewall, чтобы пакеты могли войти.

Докер мог добавить ещё что-то, усложнить.

NyXzOr ★★★
()
Ответ на: комментарий от Dimez

Да, всё верно, при установке wireguard это было указано. Получается форвардинг включен? Если да, то что еще необходимо сделать, чтобы попасть на клиента?

max85
() автор топика
Ответ на: комментарий от max85

AllowedIPs указывать в конфиге на клиенте?

Да.

Маршрут тоже на клиенте?

Нет.

Тебе надо внимательно прочитать, как работает Wireguard, чтобы было понятно. Оно очень простое во всех смыслах, но немного отличается от других VPN.

anonymous
()
Ответ на: комментарий от max85

Смотря, что такое клиент. На микротиках нужно. На windows он сам пишется.

Как это сделать?

Офис вообще как-то подключается к этой убунте c wg? На роутере или на каждой машине wireguard?

NyXzOr ★★★
()
Ответ на: комментарий от NyXzOr

Какой еще раутер ? Вирегуард не туннельный впн, и если он подрубил через раутер то там маскарад и ему придеться статикой всех локальных клиентов прибивать и пробрасывать на них порты …

mx__ ★★★★★
()
Ответ на: комментарий от mx__

Чем вариант с ссш туннелем плох ?

Тем, что это годится на один раз, что-то там сделать и забыть. Ну, или как средство последней надежды, когда все остальные варианты недоступны. Site-to-site на WG не проблема, так что эти костыли тут не нужны.

anonymous
()
Ответ на: комментарий от anonymous

Site-to-site на WG не проблема, так что эти костыли тут не нужны.

  1. site-to-site :( туннель если что называется net-to-net.

  2. Костыль это как раз городить из wg туннель. Для этого есть ipsec и подобное.

P.S. Ну да разовоо, ни кто не сказал что он собирается мониторить 250 клиентов постоянно.

mx__ ★★★★★
()
Последнее исправление: mx__ (всего исправлений: 1)
Ответ на: комментарий от mx__

Костыль это как раз городить из wg туннель

Хотелось бы увидеть техническое обоснование, почему оно вдруг не годится для site-to-site (это стандартный термин в enterprise networking, не знаю, чем он тебе не нравится).

anonymous
()
Ответ на: комментарий от anonymous

Он откуда хочет доступ к клиентам ? Какой еще site-to-site ?

Читай что он написал :

необходимо получить доступ из подсети 10.20.0.0/25 в 10.10.0.0/24.

Я предложил рабочий способ, теперь Вы предложите.

P.S. Я допускаю сетку на /25 но скорее он ошибся так как недавно только на работу устроился.

mx__ ★★★★★
()
Последнее исправление: mx__ (всего исправлений: 2)
Ответ на: комментарий от mx__

Клиенты получают адреса из диапазона 10.10.0.0/24 - это пул адресов выдаваемых wireguard. 10.20.0.0/25 - это подсеть, в которой находится сервер ubuntu с wireguard и другие ПК, с которых необходимо подключаться к клиентам (отделу ИТ для удаленного администрирования).

max85
() автор топика
Ответ на: комментарий от mx__

Он откуда хочет доступ к клиентам ? Какой еще site-to-site ?

Не вижу огромной разницы между доступом к роутеру клиента и доступом к сети за ним.

Я предложил рабочий способ, теперь Вы предложите.

Задать на клиенте правильные разрешённые подсети и настроить файрволл.

Я допускаю сетку на /25 но скорее он ошибся так как недавно только на работу устроился

Вы не родственники с тем чуваком, которого всё время джуны пытаются подсидеть? 🙃

А с размером сети проблемы не вижу.

anonymous
()
Ответ на: комментарий от max85

Добавь маршрут в подсеть wg-клиентов. Через IP контейнера, по идее.

Но сначала стоит зайти в контейнер, и проверить пинг до клиентов из него. Если работает, то добавлять маршрут на хосте.

anonymous
()
Ответ на: комментарий от anonymous

Я делал установку wireguard согласно вышеизложенной инструкции: https://github.com/wg-easy/wg-easy Докер не был выбран целенаправленно, необходимо было поднять wireguard с веб-интерфейсом и тогда не стояло задачи получить доступ к клиентам VPN.

max85
() автор топика
 ← 1 2 →
Admin