WireGuard - nejde internet přes tunel

[Mi1an]

Zdravím.
Nainstaloval a rozchodil jsem Wireguard na Red Hat 8 podle tohoto návodu.

Server s Wireguard je za routerem. Na routeru jsem nastavil port forwarding.
Nastavil jsem telefon jako "klienta". Připojení funguje, což jsem odzkoušel- samba, ssh maká.

Chtěl bych ale taky na internet, což nefunguje.
Předpokládám, že bude potřeba něco nastavit ve firewallu na tom serveru.
Můžete mi prosím někdo poradit, jak ten firewall nastavit?
Díky.

[Reklama]

[_Jenda]

Minimálně

echo 1 > /proc/sys/net/ipv4/ip_forward

/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

pro další řešení bude potřeba pořídit packet capture na obou rozhraních (wg a internet ze serveru ven).

Edit: v tom návodu už to nějak dělají. firewall-cmd neznám, pouze normální iptables, tak koukni do iptables-save jak to tam je.

[Mi1an]

v tom návodu už to nějak dělají.......

To jsem si právě myslel, že tím to bude vyřešené.

Našel jsem nějaké návody, ale je to pro mě tak trochu španělská vesnice.
Třeba tohle vypadá nadějně: https://www.cyberciti.biz/faq/how-to-set-up-wireguard-firewall-rules-in-linux/
Nějak se mi do toho nechce, aniž by na to někdo chytřejší kouknul.
Běží mi na tom serveru samba, nfs a pi-hole. Nerozvrtám s tím něco?
Původně jsem to viděl tak na 2-3 pravidla ve fw. 
Díky.

[_Jenda]

Běží mi na tom serveru samba, nfs a pi-hole. Nerozvrtám s tím něco?

Snad ne, uvedené služby žádná iptables pravidla nevyžadují. Rozvrtáš možná pokud máš default policy drop/reject a tyhle služby explicitně povolené.

Původně jsem to viděl tak na 2-3 pravidla ve fw. 

A ono to je místo toho jedno pravidlo (maškaráda), u IPv6 (bez maškarády) dokonce 0 pravidel. A pak se teda může hodit zakázat forward „tím špatným směrem“ pokud nechceš aby ti lidi zvenku mohli lézt do VPN, tak to je další pravidlo.

[Mi1an]

A ono to je místo toho jedno pravidlo (maškaráda), u IPv6 (bez maškarády) dokonce 0 pravidel. A pak se teda může hodit zakázat forward „tím špatným směrem“ pokud nechceš aby ti lidi zvenku mohli lézt do VPN, tak to je další pravidlo.

Takhle jednoduchý to nebude. Ať dělám, co dělám, tak to prostě nefunguje.
Odkládám to na dobu neurčitou- po osmi hodinách všech možných pokusů už mi to ani nemyslí.

[Reklama]

[_Tomáš_]

A ono to je místo toho jedno pravidlo (maškaráda), u IPv6 (bez maškarády) dokonce 0 pravidel. A pak se teda může hodit zakázat forward „tím špatným směrem“ pokud nechceš aby ti lidi zvenku mohli lézt do VPN, tak to je další pravidlo.

Takhle jednoduchý to nebude. Ať dělám, co dělám, tak to prostě nefunguje.
Odkládám to na dobu neurčitou- po osmi hodinách všech možných pokusů už mi to ani nemyslí.

pošli výpis iptables. Těžko radit, správné nastavení sítí a forwardování není vždy jednoduché, ale my co to děláme pravidelně a už dlouho to považujeme za snadné, návody nemusí pokrýt všechny případy. Občas je lepší čas věnovat nastudování manuálů a naučení se principů jak to funguje než zkoušení a zkoušení než to dopadne, z toho si pak nic neodneseš.

[Mi1an]

pošli výpis iptables. Těžko radit, správné nastavení sítí a forwardování není vždy jednoduché, ale my co to děláme pravidelně a už dlouho to považujeme za snadné, návody nemusí pokrýt všechny případy. Občas je lepší čas věnovat nastudování manuálů a naučení se principů jak to funguje než zkoušení a zkoušení než to dopadne, z toho si pak nic neodneseš.

Zdravím. Už asi nebude třeba. Teď jak jsem si přečetl tvojí odpověď, tak jsem wg jenom zase zapnul a najednou to jde.
Zvláštní je, že to včera nešlo a to jsem s tím už nic nedělal. Ve výpisu iptables nemám nic, což asi taky není normální.
V nastavení wg u interface mám dvě pravidla podle toho návodu z prvního příspěvku.

Kód: [Vybrat]

Interface]
Address = 192.168.2.1/24
PostUp = firewall-cmd --zone=public --add-port 51820/udp && firewall-cmd --zone=public --add-masquerade
PostDown = firewall-cmd --zone=public --remove-port 51820/udp && firewall-cmd --zone=public --remove-masquerade
ListenPort = 51820
PrivateKey =Pokud tedy je wg up, měl bych asi to PostUp pravidlo vidět i v iptables, ne? Nebo si firewall-cmd "hrabe na svém písečku"?
Celý mi to přijde nějaký divný, tuším nějakou zradu.