Wireguard funguje, ale internet nie

[darebacik]

Mam modelovu situaciu

Kód [Vybrat] Rozbalit


client_android_WG --- inet --- Debian12_WG_server_(public_IPv4) --- inet --- OpenWRT_WG_(private_IPv4) --- LAN
IP CGN mobile                  IPv4 12.34.56.78                              NAT                           192.168.70.0/24


Nastavenie na debiane WG

Kód [Vybrat] Rozbalit

[Interface]
PrivateKey = ************************************************************
Address = 10.10.3.1/24
ListenPort = 51820
#PreUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# mobil android
[Peer]
PublicKey = ************************************************************
AllowedIPs = 10.10.3.2/32

#OpenWRT
[Peer]
PublicKey = ************************************************************
AllowedIPs = 192.168.70.0/24,10.10.3.3/32


konfiguracia v mobile

Kód [Vybrat] Rozbalit

[Interface]
Address = 10.10.3.2/32
PrivateKey = ************************************************************   


[Peer]
PublicKey = ************************************************************   
AllowedIPs = 0.0.0.0/0
Endpoint = example.com:51820
PersistentKeepalive = 25
Cielom je dostat sa z mobilu do siete 192.168.70.0/24. Toto funguje dobre (IP adresi v LAN pingam bez problemov). Ked je WG siet aktivna v mobile, tak sa nedostanem na internet. Ked odkomentujem maskaradu, tak funguje aj internet, ale pochopitelne cez wireguard a to prave nechcem.

Mojim cielom je dostat sa z mobilu do LAN siete a tiez aby fungoval na mobile internet, ale nie cez WG.

[Reklama]

[Modulo]

konfiguracia v mobile

Kód [Vybrat] Rozbalit

[Interface]
[Peer]
PublicKey = ************************************************************   
AllowedIPs = 0.0.0.0/0
Endpoint = example.com:51820
PersistentKeepalive = 25
Mojim cielom je dostat sa z mobilu do LAN siete a tiez aby fungoval na mobile internet, ale nie cez WG.

Pokud to správně chápu, tak stačí na mobilu na místo AllowedIPs = 0.0.0.0/0 dát jen ten rozsah, kam chci přistupovat tzn. AllowedIPs = 192.168.70.0/24

[Petr Krčmář]

Přesně tak. AllowedIPs má dvě funkce: v příchozím směru filtruje povolené adresy (jako firewall), ale zároveň určuje směrování pro odchozí směr. Pokud tam tedy je 0.0.0.0/0, tak je WireGuard nastavený tak, aby veškerý provoz šifroval a posílal tunelem na druhou stranu. Pokud to nechcete, musíte explicitně vyjmenovat rozsahy (odděluje se čárkou), které se mají tunelovat. Zbytek pak bude odcházet původním síťovým rozhraním.

[darebacik]

Vyborne, funguje to, dakujem