Jump to content

Wireguard и политики доступа


Recommended Posts

Имеется роутер Keenetic peak в качестве клиента с настроенными соединениями Wireguard.  Соединения до серверов VPS и их более 15 шт. Каждое устройство локальной сети выходит через свой канал WG с помощью политик доступа. Это необходимо для получения большого числа белых IP адресов. Все прекрасно работает, но ограничено количеством политик подключения в 16 шт. Более 16-ти шт создать нельзя, хотя самих соединений WG роутер поддерживает до 128 шт. Можно ли как то через консоль или маршрутизацией привязать выход конкретного устройства локальной сети через определенное WG соединение, так как лимит создания политик исчерпан.

Link to comment
Share on other sites

14 минуты назад, ANDYBOND сказал:

У меня настроено 16-ть политик и все устройства по ним разнесены. Вы видимо не прочитали суть вопроса. Необходимо разнести более чем 16 -ть устройств по Wiregurd соединениям , которых тоже более 16

Link to comment
Share on other sites

11 минуту назад, Igora1505 сказал:

Необходимо разнести более чем 16 -ть устройств по Wiregurd соединениям , которых тоже более 16

По ссылке есть ответ на вопрос: это невозможно. Просто такой ответ на вопрос Вас не устраивает, хотя Вы сами с этого ограничения начали разговор.

Link to comment
Share on other sites

1 час назад, Igora1505 сказал:

Я просто спрашивал, может костыль какой есть с маршрутизацией или обходной способ. 

1 час назад, ANDYBOND сказал:

Нет.

1. Вы можете попробовать аргументировано попытаться доказать разработчикам необходимость повышения лимита, путём создания в соответствующей ветке форума топа.

2. Вы можете взять в руки напильник и попытаться же в любом из устанавливаемых на внешний HDD GNU/Linux изваять в цифре своё.

  • Thanks 1
Link to comment
Share on other sites

2 часа назад, Igora1505 сказал:

хотя самих соединений WG роутер поддерживает до 128 шт

Цитата

 — с версии KeeneticOS 3.7 будет увеличено число подключений WireGuard для Peak до 128 и для Giga, Ultra, Viva, Hero 4G, Giant и Speedster до 48.

https://help.keenetic.com/hc/ru/articles/115005342025-Типы-VPN-соединений-в-Keenetic

Link to comment
Share on other sites

В техподдержку писал, ждем когда наберется достаточно желающих на такую обнову, а столько профилей вряд ли кому то нужно ))). Интересно с чем связано такое ограничение на 16 профилей и дикая сложность их увеличить. Тоесть ресурсов на поддержку большого количества впн соединений достаточно, а привязать по ним устройства никак ))

Edited by Igora1505
Link to comment
Share on other sites

Только что, Igora1505 сказал:

Интересно с чем связано такое ограничение на 16 профилей и дикая сложность

Очевидно же. С деньгами. Если хотите со временем, ах да это ж и есть деньги. ))

3 минуты назад, Igora1505 сказал:

а столько профилей вряд ли кому то нужно ))). 

Потому и 16.

  • Thanks 1
Link to comment
Share on other sites

Немного тупанул, сменил старенький кинетик экстра2 , так как тот не тянул более 10 wg соединений , процессора не хватало. Прочитал что в киетик пик аж 128 держит, не думал что в самой дорогой железке столкнусь с таким нелепым по моему делитанскому мнению ограничению. 

Link to comment
Share on other sites

Разрабы до сих пор не могут допилить для Wireguard куда более востребованную функцию - Возможность выбора интернет-подключения, через которое будет осуществляться подключение к впн серверу. А вы тут совсем нестандартные хотелки реализовать предлагаете. Очень вряд ли дождетесь. Ищите костыли

Link to comment
Share on other sites

21 час назад, Igora1505 сказал:

В техподдержку писал, ждем когда наберется достаточно желающих на такую обнову, а столько профилей вряд ли кому то нужно ))). Интересно с чем связано такое ограничение на 16 профилей и дикая сложность их увеличить. Тоесть ресурсов на поддержку большого количества впн соединений достаточно, а привязать по ним устройства никак ))

Для каждого профиля это своя таблица маршрутизации и своя mark пакетов для профиля.

Link to comment
Share on other sites

В 03.12.2022 в 10:49, R0cky сказал:

Разрабы до сих пор не могут допилить для Wireguard куда более востребованную функцию - Возможность выбора интернет-подключения, через которое будет осуществляться подключение к впн серверу. А вы тут совсем нестандартные хотелки реализовать предлагаете. Очень вряд ли дождетесь. Ищите костыли

А что, эксклюзивной маршрутизацией это не решается для вас?

9af96dbc59887a.png

Link to comment
Share on other sites

В 09.12.2022 в 03:50, Тимми сказал:

А что, эксклюзивной маршрутизацией это не решается для вас?

Маршрутизация не избирательно направляет весь исходящий трафик до определенного узла через заданный интерфейс

Для задачи пустить подключение wireguard через определенный интеренет-интерфейс это не всегда подходит потому что:

1. Ип адрес устройства, на котором поднят wireguard сервер может быть динамическим и тогда придется маршрутизировать целые подсети. Если маршрутизировать подсеть, то в ней могут быть ресурсы, на которые необходимо ходить через wireguard. Возникает противоречие, которое маршрутизацией никак не решить.

2. На самом устройстве, где поднят wireguard сервер могут присутствовать другие сервисы, доступ к которым пойдет мимо wireguard. А в случае если в политике доступа для клиента запрещены любые подключения кроме впн Wireguard (иногда такое требуется например для обхода ограничений опсосов), то доступ до этих сервисов блокируется. Вот такая петрушка с этим костыльным решением путем маршрутизации.

Link to comment
Share on other sites

7 часов назад, R0cky сказал:

Маршрутизация не избирательно направляет весь исходящий трафик до определенного узла через заданный интерфейс

 

Ок, соглашусь.

Link to comment
Share on other sites

  • 4 weeks later...
Posted (edited)

А есть ли возможность через openwrt завернуть весь исходящий траффик с определенного ip локальной сети на интерфейс wg? через маркировку пакетов iptables и прочее? Есть ли у кого то работающие примеры?

Edited by Igora1505
Link to comment
Share on other sites

13 минуты назад, Igora1505 сказал:

А есть ли возможность через openwrt завернуть весь исходящий траффик с определенного ip локальной сети на интерфейс wg? через маркировку пакетов iptables и прочее? Есть ли у кого то работающие примеры?

Читай про ip rule

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...