☰

VPN-маршрутизация не работает

tag-icon • tag-icon networking server vpn iptables wireguard
VPN-маршрутизация не работает

У меня проблема с настройкой wireguard. Проблема в том, что пакеты откуда угодно, но wireguard hos не отправляются на интерфейс wg0. Я запускаю wg0 с включенной пересылкой ip 192.168.96.1/24. Я могу связаться с веб-сервером на хосте wg0 как по IP wg0, так и по его IP LAN. Но трафик с других хостов LAN не отправляется — или ответы на замаскированный трафик отправляются на wg0, но он виден входящим на eth0.

ip route
192.168.96.0/24 dev wg0 proto kernel scope link src 192.168.96.1

У меня много правил nat, связанных с docker. Но я понятия не имею, почему пакеты не направляются на мой хост(ы) wg0

# iptables  --list-rules
-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-N DOCKER
-N DOCKER-ISOLATION-STAGE-1
-N DOCKER-ISOLATION-STAGE-2
-N DOCKER-USER
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o hassio -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o hassio -j DOCKER
-A FORWARD -i hassio ! -o hassio -j ACCEPT
-A FORWARD -i hassio -o hassio -j ACCEPT
-A DOCKER -d 172.17.0.3/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9000 -j ACCEPT
...
-A DOCKER -d 172.30.33.6/32 ! -i hassio -o hassio -p tcp -m tcp --dport 22 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -i hassio ! -o hassio -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -o hassio -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN

# iptables -t nat --list-rules
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-N DOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.30.32.0/23 ! -o hassio -j MASQUERADE
-A POSTROUTING -s 172.17.0.3/32 -d 172.17.0.3/32 -p tcp -m tcp --dport 9000 -j MASQUERADE
...
-A POSTROUTING -s 172.30.33.6/32 -d 172.30.33.6/32 -p tcp -m tcp --dport 22 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER -i hassio -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 9000 -j DNAT --to-destination 172.17.0.3:9000
....
-A DOCKER ! -i hassio -p tcp -m tcp --dport 2222 -j DNAT --to-destination 172.30.33.6:22

решение1

Если у вас установлен Docker, вам определенно нужно сохранить политику FORWARD drop или reject. Я обнаружил, что немного чище, если Wireguard будет обрабатывать собственные правила iptables с помощью параметров PostUpи PostDownв конфигурации. В разделе wg0.confunder [Interface]вы должны указать что-то вроде (предполагая, что hassio — ваш основной сетевой интерфейс):

PostUp = iptables -I FORWARD 1 -i %i -o hassio -s 192.168.96.0/24 -j ACCEPT; iptables -t nat -A POSTROUTING -s 192.168.96.0/24 -o hassio -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -o hassio -s 192.168.96.0/24 -j ACCEPT; iptables -D POSTROUTING -s 192.168.96.0/24 -o hassio -j MASQUERADE

Затем это необходимо объединить с правилом, которое разрешает обратный трафик FORWARD: я лично выбираю более общее правило ESTABLISHED/RELATED в форме -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT. Я действительно не знаю ни одной ситуации, когда я хотел бы сделать что-то еще, кроме как разрешить продолжение уже ESTABLISHED/RELATED сеансов.

PS - Я также использую политику "REJECT" для хостов, которые на самом деле являются только LAN. REJECT отбрасывает пакет ICMP, когда что-то не разрешено, тогда как DROP просто молча разрывает соединение; REJECT значительно упрощает отладку.

Связанный контент