Extra WiFi s „transparentní“ VPN

Extra WiFi s „transparentní“ VPN
« kdy: 25. 07. 2023, 16:58:14 »
Zdravím chytré hlavy, měl bych takový případ:
V jedné lokalitě máme Starlink s originálním řešením (WiFi router + převodník na ethernet s těmi pakonektory). Bohužel řada služeb tohle spojení nechápe jako „Česko“ (některé ano, ale jiné ne - docela obvyklé je, že když člověk potřebuje, aby to jako „Česko“ vypadalo, tak to tak nevypadá a naopak - např. mám vyzkoušené, že volání přes WiFi touto cestou u O2 nejde).
Pro tyhle situace bych chtěl do té lokality přidat WiFi router, který by se tvářil prostě jako další WiFi (mimo tu Starlink mesh WiFi), ale byl by skrz ten Starlink permanentně spojený VPNkou ke mě domů (u mě doma lze počítat na příchozí straně s Mikrotikem, byť ten sám o sobě nemá veřejnou IP adresu, ale nějakou 10.x.x.x a směruje mi ji na něj provider), kde už se to jako „Česko“ tváří úplně normálně :). Počítám, že by asi optimální bylo využít WireGuard, už jen kvůli rychlosti. Sice jsem ho ještě nezkoušel, ale to by asi nevadilo, co to tu tak čtu, tak je to relativně snadné. Zároveň bych tím nahradil stávající VPNku.

Otázka č. 1: Jaké řešení byste doporučili aplikovat na straně „u Starlinku“? OpenWrt? Mikrotik s WiFi? Něco jiného? Sám Starlink hardware, nepředpokládám, že by toho byl ze softwarové stránky schopen. Nepočítám ani s tím, že tahle WiFi pojede plnou rychlostí jako Starlink (200 Mbit), ale pomaleji (pod 100 Mbit, spíš tak 50, podle rychlosti té použité WiFi).

Otázka č. 2: Lze udělat na Mikrotiku ten WireGuard „server“ (či obecně VPN server) tak, aby Mikrotik sám o sobě neposkytoval IP adresu, bránu a tak (aby nedělal DHCP server), ale přehodil by to na jiný (defaultní) DHCP server v síti a zařízení na domácí siti tak byla na stejném subnetu (se vši funkčností) jako klient, který se připojí přes VPN? Optimálně tak, že se připojím u Starlinku na WiFi "VPN" a až ten DHCP server za VPNkou u mě doma mi přidělí adresu, bránu a tak. Pokud by bylo podle vás lepším řešením více subnetů a routování mezi nimi, tak se tomuto řešení taky nebráním, ale přijde mi elegantnější, když se to bude tvářit jako jeden subnet.

A samozřejmě obligátní: předem díky :).
« Poslední změna: 25. 07. 2023, 17:01:16 od WIFT ​​​​​​​​​​ »


Re:Extra WiFi s „transparentní“ VPN
« Odpověď #1 kdy: 25. 07. 2023, 17:24:03 »
Myslím, že to budeš mať jednoduchšie, keď budeš mať samostatné subnety.
Na jednej strane potrebuješ mať verejnú ip dostupnú "zvonka"
Tu to riešia:
https://help.mikrotik.com/docs/display/ROS/WireGuard

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #2 kdy: 25. 07. 2023, 18:07:09 »
1) Vyzkoušet ZeroTier jako třetí stranu bez veřejné IP.
2) Zjistit za kolik tvůj provider má veřejnou IP (v místě serveru) a pak wireguard jasná volba. (jestli je to O2 nebudeš potěšen cenou)
3) Zaplatit VPS v česku a směřovat wireguard na něj - někdy to vyjde nejlevněji
4) Používat placenou VPN s výchozím bodem v česku - záleží jestli jim věříš nebo jsi paranoik že nesosají tvoje data
5) Požádat starlink o přidělení české geolokace z jejich CGNATu - Jestli to vůbec jde a za kolik

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #3 kdy: 25. 07. 2023, 18:40:05 »
Nejjednodušší pro routující wireguard budou dva mikrotiky s RouterOS 7. Pro bod 2 bys musel nad wireguardem udělat EoIP tunel, což Mikrotik snad zvládne. Osobně bych to ale nebridgoval s LAN kvůli rozdílům v MTU (EoIP bude mít MTU někde kolem 1350).

EoIP na Linuxu s Wireguardem a protokolem Geneve tu popisoval před časem Petr Krčmář. https://www.root.cz/clanky/tunelujeme-ethernet-pres-wireguard-pomoci-protokolu-geneve/

Osobně bych to asi postavil jako routovanou síť, kdy mikrotik doma bude routovat nějaký blok adres do wireguard tunelu (na IP adresu mikrotiku za starlinkem) a mikrotik za starlinkem bude fungovat jako DHCP server pro LAN, a bude používat ten naroutovaný prefix. NAT by dělal jen router doma.

vlna

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #4 kdy: 26. 07. 2023, 19:30:26 »
Podobnou konfiguraci mám na OpenWrt na TP-Linku. TP-Linky umí různé sítě na jednom hardwarovém WiFi rozhraní. A možná to umí i jiní výrobci.

Jako nejjednodušší řešení vidím routovat lokální provoz z jedné z těchto sítí právě skrz ZeroTier na druhý ZeroTier router s českou IP adresou a pak dál do internetu.


_Jenda

  • *****
  • 1 576
    • Zobrazit profil
    • https://jenda.hrach.eu/
    • E-mail
Re:Extra WiFi s „transparentní“ VPN
« Odpověď #5 kdy: 26. 07. 2023, 21:33:17 »
Mikrotik s OpenWRT je dobrá volba. (RouterOS ne, až zjistíš že potřebuješ něco co ti nedovolí (co já vím, třeba budeš chtít na tom EoIP filtrovat provoz), a je to vendor lock in) Třeba hAP ac/lite.

To co jsi popsal se jmenuje třeba OpenVPN v TAP (bridge) módu. Wireguard to neumí, funguje na vyšší (routovací) vrstvě, musí se nějaký další protokol tunelovat přes něj, jak už tu lidé psali. OpenVPN je zase na embedded CPU pomalá. Nicméně uvědom si, že tím protáhneš broadcast doménu přes ten Starlink, pokud někdo bude víc broadcastovat, tak to dopadne neslavně. Když máš router na druhé straně pod kontrolou, nic ti nebrání nastavit na něm routovací tabulky tak jak potřebuješ, a mít dva subnety.

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #6 kdy: 27. 07. 2023, 09:17:38 »
Díky za tipy, vypadá to na víc subnetů.


2) Zjistit za kolik tvůj provider má veřejnou IP (v místě serveru)…
Měsíčně za ni neplatím nic, platil se jen drobný zřizovací poplatek. Tedy už ji mám, i když, jak jsem zmínil, není dovedená až do mého Mikrotiku, ten má 10.x.x.x adresu a ten provoz z konkrétní veřejné IP směřuje provider na tu adresu. Mám to tu vůbec trošku složitější, mám od providera v podstatě „dva internety“, tedy přesněji mohu si vybrat ve své síti dvě brány, jednou z nich se dostanu ven pod tou pevnou veřejnou IP adresou, tou druhou (která je u mě na ne-serverových strojích výchozí) lezu ven přes sdílenou adresu „typu“ nat-něco.provider.tld. OpenWrt na TP-Linku hrající roli DHCP serveru přiděluje vnitřním strojům (podle MAC adresy) konkrétní bránu podle toho, jestli je v rámci jejich činnosti potřeba jít tam, nebo tam (obvykle proto, že např. služby, které chci mít dostupné zvenčí, na ně portforwarduje Mikrotik s tou „veřejnou“ adresou a je potřeba, aby odpovědi šly toutéž cestou). Ten WireGuard mi do toho možná krapet hodí vidle, ale uvidíme, co se dá dělat, Mikrotik je tak šikovný, jak šikovný je ten, kdo ho nastavuje (tam bude ten zádrhel ;)).

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #7 kdy: 03. 08. 2023, 00:19:26 »
Tak jsem něco zkusil, ale asi jsem tupá hmota. Takže nejdřív popíšu situaci:

Mikrotik L (jako Local, tedy doma). Vnější IP adresu má 10.3.xx.xx/24 (bridge12, porty 1 a 2). Jeho vnitřní je 192.168.2.88 a je to adresa bridge345 (porty 3, 4 a 5 - že je z toho tam fyzicky zapojený jeden port, je teď celkem jedno). A pak je tu adresa pro WireGuard: Mikrotik L by měl mít adresu 192.168.222.1/24 a Mikrotik R (jako Remote) by měl mít 192.168.222.2. Tak jsem nastavil v Mikrotiku L i adresu peeru Mikrotiku R.

Mikrotik R je připojený do internetu přes LTE router, ten mu dává dynamickou adresu 192.168.1.110. Vnitřní adresa bridge z default konfigurace je 192.168.88.1/24. Pokud do portů 2,3,4,5 něco připojím, Mikrotik R tomu přidělí adresu typu 192.168.88.x a funguje to.

A pak tu mám normální WiFi router TP-Link a ten je nastavený tak, že když se připojí k tomu Mikrotiku R, tak dostane sám tu adresu z rozsahu 192.168.88.x, a vše, co se připojí do portů LAN toho TPLinku, nebo na jeho WiFi, dostane podobnou adresu od Mikrotiku R, protože ten router je nastavený jako blbé APčko, bez vlastního DHCP serveru, to nechává na tom Mikrotiku. Funguje to celkem spolehlivě.

No, ale teď bych potřeboval, aby veškerý provoz toho, co jde z toho TP-Linku, šel přes tu WireGuard síť, ne přes ten LTE internet. A tady mi asi uniká nějaká jednoduchost, na kterou nemůžu přijít - možná právě proto, že to určitě bude tak jednoduché, že to bude mezi základy, které se negooglí, protože je každý zná. Jen já ne. A nebo je to něco složitějšího, co asi nedokážu Googlu dobře popsat. WireGuardy na obou stranách hlásí i nějaký ten handshake, tedy předpokládám, že ty dva mikrotiky se už nějak vidí. Dokonce si na sebe umí navzájem pingnout na ty adresy typu 192.168.222.1 a …222.2.

Asi by se mi líbilo, kdyby na to šel vyčlenit třeba i jen jeden port z těch 2-5 na Mikrotiku R, ale spokojím se s tím, když to nějak pojede :).

Díky.
« Poslední změna: 03. 08. 2023, 00:22:06 od WIFT ​​​​​​​​​​ »

Wolda

  • **
  • 79
  • http://honza.ucw.cz
    • Zobrazit profil
    • E-mail
Re:Extra WiFi s „transparentní“ VPN
« Odpověď #8 kdy: 03. 08. 2023, 07:05:17 »
Mikrotik jsem videl naposled pred vic nez 10lety, avsak, umi to zobrazit/exportovat syrovou wireguard konfiguraci?

Jinak chapu spravne, ze "good-enough" reseni je, aby kazda internetova komunikace Mikrotiku R (a implicitne i vseho za nim) bezelo skrz Mikrotik L?

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #9 kdy: 03. 08. 2023, 08:20:18 »
Dal jsi do allowed IP 0.0.0.0/0 aby šel do WG veškerý provoz (na mikrotiku R)?

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #10 kdy: 03. 08. 2023, 09:49:55 »
Mikrotik jsem videl naposled pred vic nez 10lety, avsak, umi to zobrazit/exportovat syrovou wireguard konfiguraci?
Asi by to mělo jít, já používám ponejvíce Winbox kvůli přehlednosti, jsem spíš klikaču, ale nebráním se hrábnutí do příkazové řádky, jen to nepreferuju ;).
Jinak chapu spravne, ze "good-enough" reseni je, aby kazda internetova komunikace Mikrotiku R (a implicitne i vseho za nim) bezelo skrz Mikrotik L?
Ano, to by bylo "good-enough" řešení, přičemž lepší by bylo, kdyby sám Mikrotik R a (řekněme) dva porty (2 a 3) jely přes providera (na portu 1) a porty 4 a 5 jely přes wireguard.

Dal jsi do allowed IP 0.0.0.0/0 aby šel do WG veškerý provoz (na mikrotiku R)?
Omlouvám se, ale dotazu nerozumím, Routeros je pro mě krapet komplikovaný (ostatně ani v sítích obecně si nejsem úplně jist v kramflecích), takže nevím, kam do allowed, ale zkusím to projít, jestli mě tenhle hint pokopne k řešení.

Wolda

  • **
  • 79
  • http://honza.ucw.cz
    • Zobrazit profil
    • E-mail
Re:Extra WiFi s „transparentní“ VPN
« Odpověď #11 kdy: 03. 08. 2023, 10:07:29 »
Ten Martin-2ův dotaz jde presne tim smerem, ktery napadl me, ale chtel jsem nejdriv videt tu "syrovou konfiguraci", zejmena na Mikrotiku R.

Kazdopadne, wireguardu (na Mikrotiku R) se musi vysvetlit, ktera vsechna IP komunikace smeruje do tunelu. To se v konfiguraku, v sekci Peer, rika direktivou AllowedIPs=<rozsah> . No a AllowedIPs=0.0.0.0/0 znamena "budu chtit vsechno" :-)

Samozrejme, zda-li mikrotik implementuje logiku nad wireguard naprimo, ci nejak vychytrale, by mel zodpoved nekdo, kdo mluvi plynule Mikroticky.

PS: ze pry prikaz export v konzoli mikrotiku by mohl sdelit, to co chci (nasledujici resi jinou otazku, ale je tam hned v prvnim prispevku videt ono "allowed-address" https://forum.mikrotik.com/viewtopic.php?t=181503 )

PPS: a kdyz uz clovek zna preklad AllowedIPs -> allowed-address, google nabizi navod, ktery se zda byt relevantni https://rfranzen.com/post/2023-04-ivpn-mikrotik/
« Poslední změna: 03. 08. 2023, 10:16:19 od Wolda »

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #12 kdy: 03. 08. 2023, 10:32:59 »
OK, díky, budu pátrat dál, allowedIPs jsem nastavil, ale bude toho zjevně potřeba trochu víc.

K exportu té konfigurace: dal jsem /export hide-sensitive a vyzobal všechno, kde je wireguard.

/interface wireguard
add listen-port=13231 mtu=1420 name=wireguard1

/interface wireguard peers
add allowed-address=0.0.0.0/0 comment="remote peer" endpoint-address=188.… endpoint-port=13231 interface=wireguard1 persistent-keepalive=45s public-key=\
    "…U="

/ip address

add address=192.168.222.2/24 interface=wireguard1 network=192.168.222.0

Re:Extra WiFi s „transparentní“ VPN
« Odpověď #13 kdy: 03. 08. 2023, 12:01:26 »
Taky se ted s mkt seznamuji, resim neco podobneho, ciste ipv6. Mel jsem navazany wireguard tunel, oba konce se pingaly, ale jakakoli jina adresa na strane mkt do tunelu nesla, sla pres defaultni branu. Nakonec jsem narazil v jedne mkt diskusi na funkcni reseni:

Nastavit ve firewallu pravidlo forward (napr. input interfaceX, output interface wireguard)

V tom pravidlu uz si lze hrat s in/out adresami, listy, interface podle potreby, takze spojit to s vhodnymi routovacimi pravidly/naty by melo dat to, co hledate.

Jose D

  • *****
  • 872
    • Zobrazit profil
Re:Extra WiFi s „transparentní“ VPN
« Odpověď #14 kdy: 03. 08. 2023, 12:06:49 »
Nejjednodušší pro routující wireguard budou dva mikrotiky s RouterOS 7. Pro bod 2 bys musel nad wireguardem udělat EoIP tunel, což Mikrotik snad zvládne. Osobně bych to ale nebridgoval s LAN kvůli rozdílům v MTU (EoIP bude mít MTU někde kolem 1350).

jojo, to funguje, vyjde z toho MTU 1378, používám EoIP nad wireguardem na dvou setupech, všechno Mikrotik ROS 7+.