drygdryg/zapret
1
0
Fork 0
mirror of https://github.com/bol-van/zapret.git synced 2025-04-19 13:32:58 +03:00
Code Issues Packages Projects Releases Wiki Activity

vpn : single-nat, port forwarding, qos-based routing

Browse Source
This commit is contained in:
bolvan 2019-04-27 21:10:59 +03:00
parent a51a2c31ba
commit a7ead417dd
1 changed files with 13 additions and 1 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

14
wireguard_iproute_openwrt.txt
View File

@ -95,7 +95,8 @@ Wireguard - минималистичный vpn. В нем нет никаких
В wgvps.conf должны быть перечислены все пиры с их публичными ключами, В wgvps.conf должны быть перечислены все пиры с их публичными ключами,
а так же прописаны допустимые для них ip адреса. а так же прописаны допустимые для них ip адреса.
Назначим нашему клиенту 192.168.254.3. Сервер будет иметь ip 192.168.254.1. Назначим нашему клиенту 192.168.254.3. Сервер будет иметь ip 192.168.254.1.
Endpoint обязательно должен быть прописан только на одном пире. Endpoint должен быть прописан хотя бы на одном пире.
Если endpoint настроен для пира, то wireguard будет периодически пытаться к нему подключиться.
В схеме клиент/сервер у сервера можно не прописывать endpoint-ы пиров, что позволит В схеме клиент/сервер у сервера можно не прописывать endpoint-ы пиров, что позволит
менять ip и быть за nat. Endpoint пира настраивается динамически после успешной фазы менять ip и быть за nat. Endpoint пира настраивается динамически после успешной фазы
проверки ключа. проверки ключа.
@ -268,6 +269,17 @@ iptables -t mangle -C PREROUTING -m set --match-set ipban dst -j MARK --set-mark
post-down ip route del dev $IFACE 192.168.0.0/17 post-down ip route del dev $IFACE 192.168.0.0/17
---------------------------------------------- ----------------------------------------------
Так же необходимо указать wireguard дополнительные разрешенные ip для peer :
--/etc/wireguard/wgvps.conf-------------------
[Peer]
PublicKey = bCdDaPYSTBZVO1HTmKD+Tztuf3PbOWGDWfz7Lb1E6C4=
AllowedIPs = 192.168.254.3, 192.168.2.0/24
----------------------------------------------
Всем клиентам придется назначать различные диапазоны адресов в lan и индивидуально прописывать AllowedIPs
для каждого peer.
Отсутствие двойного NAT значительно облегчает проброс портов с внешнего IP vpn сервера в локалку какого-либо клиента. Отсутствие двойного NAT значительно облегчает проброс портов с внешнего IP vpn сервера в локалку какого-либо клиента.
Для этого надо выполнить 2 действия : добавить разрешение в фаервол на клиенте и сделать dnat на сервере. Для этого надо выполнить 2 действия : добавить разрешение в фаервол на клиенте и сделать dnat на сервере.
Пример форварда портов 5001 и 5201 на 192.168.2.2 : Пример форварда портов 5001 и 5201 на 192.168.2.2 :