WireGuard pro domácí síť

[Pentheus]

Čau, potřebuji poradit jak nastavit WG aby filtroval všechen provoz v domácí síti.
Mám VDSL router přes LAN TV_box s armbian, na něm mám nastaveno WG (wg0) server a klienta přes PC, vše funguje.
Pokud vytvořím wg1 a spustím, tak nemám přístup na internet, asi mi to blokuje FW.

wg0

Kód: [Vybrat]

# Do not alter the commented lines
# They are used by wireguard-install
# ENDPOINT 192.168.1.104

[Interface]
Address = 10.7.0.1/24
PrivateKey = xx
ListenPort = 51820

# BEGIN_PEER
[Peer]
PublicKey = xx
PresharedKey = xx
AllowedIPs = 10.7.0.2/32
# END_PEER


wg1

Kód: [Vybrat]

[Interface]
Address = 10.7.0.2/24
DNS = 9.9.9.9, 142.112.112.112
PrivateKey = xx

[Peer]
PublicKey = xx
PresharedKey = xx
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = 192.168.1.104:51820
PersistentKeepalive = 25


[Reklama]

[Zopper]

Není mi jasné,  o co se reálně snažíš. Přijde mi, že chceš provozovat VPN uvnitř LAN místo pro přístup z venku a něco o filtrování... Čeho přesně se tím snažíš dosáhnout? Nebude lepší VLAN + firewall pravidla?

A co říká debug log wireguardu, naváže se spojení? Drží se, nerozpadá se? Pingneš z peera na druhou stranu?

[RDa]

Podle me, klient WG1 podle tohoto:

Kód: [Vybrat]

AllowedIPs = 0.0.0.0/0, ::/0
Bude routovat po aktivaci vpn provoz do WG spojeni, ale server WG0 nema zapnuty routing/NAT pak dal, a jedina adresa na kterou se dostanes je tedy jeho vpn adresa 10.7.0.1 .

[Ħαℓ₸℮ℵ ␏⫢ ⦚]

Ten popis je vágoní, moc z toho nevyčtu. Filtrováním myslíš co? REJECT,DROP asi ne. A "všechen" provoz od více počítačů nebo víc typů (bez rozlišení kombinace dst portů/ IP  )
Nemáš přístup na internet z  jakých zařízení? Předpokládám že jenom z wg1 počítače Je na server povoleno forwardování a taky NAT?
Nemělo by allowed ips mít AllowedIPs = 10.7.0.2/24 ?

 To "vše funguje" znamená ještě před "spuštěním" wg1 ? Nebo po spuštění wg1 a jen komunikaci v LAN a neboj dokonce jen mezi peery? 10.x.x.x. ? (Ono spuštění wg  na jednom pc nemá co ovlivnit moc)



Moje rada, použít tcpdump, zkoušet tracecroute, pingy pro tyto obory :10.x.x.x. / v rámci LAN, pak do internetu.

někdy se povede, že ping dokáže hlásit něco jakko "Klíč není dostupný"... chyba  routing wg

taky by to chtělo třeba pastnout routovací tabulky...

policy routing  , packet marking nebo nějaké specitality používáš? NAT taky a a kde?

[Pentheus]

Zkusím to napsat lépe, můj cíl je aby všechna připojená zařízení nemusela používat klienta. Jednoduše připojím např. tablet a ten bude mít přístup přes WG na internet. Nejsem odborník na sítě a v Linuxu umím jen základy, pokud je to moc složité a nejde napsat postup tak na to kašlem.

[Reklama]

[k3dAR]

Zkusím to napsat lépe, můj cíl je aby všechna připojená zařízení nemusela používat klienta. Jednoduše připojím např. tablet a ten bude mít přístup přes WG na internet. Nejsem odborník na sítě a v Linuxu umím jen základy, pokud je to moc složité a nejde napsat postup tak na to kašlem.

Mozna ti uniklo, ze WireGuard slouzi na neco jineho: napr. aby jsi se z internetu mohl pripojit do sve domaci site

Nevim jaky provoz si chtel filtrovat, pokud slo o reklamy tam na to je napr. https://pi-hole.net

[Pentheus]

Pi hole je skvělí projekt. Jelikož nejdou editovat příspěvky......tak filtrování myslím šifrovaní domácí sítě.

[Martin-2]

Možná by bylo lepší nakreslit topologii jak to máte a pak účel co chcete udělat.

Nejdřív jsem měl za to, že chcete obejít nějaké zařízení kvůli jeho filtrování provozu (rodičovská ochrana některých stránek). Posléze mne napadlo zda to chcete použít jako VPN v telefonu kdy se schováte za nějaký server (PIA, Nord VPN, atd.) akorát na úrovní celé domácí sítě (vše za VDSL routerem) kdy veškerý provoz jede skrze tuto VPN.

Nebo jde o to, že jste si "doma" rozdělili sít a nechcete aby byl Váš provoz viditelný pro "ostatní" na stejné síti?
Tím myslíte to šifrování?