Соединение 3 и более роутеров Mikrotik по Wireguard. РЕШЕНО!

[casio81]

Всем привет!
Схема такая есть 3 здания, в всех внешние IP.
Сейчас подключены 2 здания. Роутер сервер принимает роутер клиент. Подключается по внешнему адресу (нет перехлеста Белый-Белый)
Все работает, маршруты прописаны, скорость супер.
Понадобилось присоединить 3 роутер клиент. На этом всё, соединение пира падает ничего нигде не работает. Отключаю 3 пира, всё взлетает.
Использовал разные порты, другие подсети.
Куда копать?

[xvo]

Лучше отдельные интерфейсы делайте для каждого соединения точка-точка.
И да, для wireguard нет никакого разделения клиент-сервер.

[casio81]

Лучше отдельные интерфейсы делайте для каждого соединения точка-точка.
И да, для wireguard нет никакого разделения клиент-сервер.

не работает так.

[xvo]

Как - так?
Конфиг прилагайте того, как именно оно у вас не работает.

[casio81]

Наконец-то дошли руки описать логику соединения 3 и так далее роутеров.
Тут главное понять логику.

Если нужно соединить 2 роутера нужен 1 белый IP. Если больше у всех должны быть внешние адреса (или поправьте меня).

 Создаем интерфейсы

Создаем интерфейс на 1 роутере
/interface wireguard add listen-port=13231 mtu=1420 name=WG1
Создаем интерфейс на 2 роутере
/interface wireguard add listen-port=13231 mtu=1420 name=WG2
Создаем интерфейс на 3 роутере
/interface wireguard add listen-port=13231 mtu=1420 name=WG3

Интерфейсы создадутся со всеми ключами.

 Создаем адреса для интерфейсов

Создаем адресацию на 1 роутере
/ip address add address=10.0.0.1 interface=WG1 network=10.0.0.1
Создаем адресацию на 2 роутере
/ip address add address=10.0.0.2 interface=WG1 network=10.0.0.2
Создаем адресацию на 3 роутере
/ip address add address=10.0.0.3 interface=WG1 network=10.0.0.3

-

 Создаем пиры на 1 роутере

interface wireguard peers
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ПЕРВОГО РОУТЕРА/24,10.0.0.2/32,10.0.0.3/32 comment=2 \
endpoint-address=ВНЕШНИЙ АДРЕС 2 РОУТЕРА endpoint-port=13231 interface=WG1 \
public-key="КЛЮЧ ОТ ВТОРОГО ИНТЕРФЕЙСА"
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ТРЕТЬЕГО РОУТЕРА/24,10.0.0.2/32,10.0.0.3/32 comment=3 \
endpoint-address=ВНЕШНИЙ АДРЕС 3 РОУТЕРА endpoint-port=13231 interface=WG1 \
public-key="КЛЮЧ ОТ ТРЕТЬЕГО ИНТЕРФЕЙСА"

-

 Создаем пиры на 2 роутере

interface wireguard peers
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ВТОРОГО РОУТЕРА/24,10.0.0.1/32,10.0.0.3/32 comment=1 \
endpoint-address=ВНЕШНИЙ АДРЕС 1 РОУТЕРА endpoint-port=13231 interface=WG2 \
public-key="КЛЮЧ ОТ ПЕРВОГО ИНТЕРФЕЙСА"
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ТРЕТЬЕГО РОУТЕРА/24,10.0.0.1/32,10.0.0.3/32 comment=3 \
endpoint-address=ВНЕШНИЙ АДРЕС 3 РОУТЕРА endpoint-port=13231 interface=WG2 \
public-key="КЛЮЧ ОТ ТРЕТЬЕГО ИНТЕРФЕЙСА"

-

 Создаем пиры на 3 роутере

/interface wireguard peers
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ВТОРОГО РОУТЕРА/24,10.0.0.1/32,10.0.0.2/32 comment=1 \
endpoint-address=ВНЕШНИЙ АДРЕС 1 РОУТЕРА endpoint-port=13231 interface=WG3 \
public-key="КЛЮЧ ОТ ПЕРВОГО ИНТЕРФЕЙСА"
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ПЕРВОГО РОУТЕРА/24,10.0.0.1/32,10.0.0.2/32 comment=2 \
endpoint-address=ВНЕШНИЙ АДРЕС 2 РОУТЕРА endpoint-port=13231 interface=WG3 \
public-key="КЛЮЧ ОТ ВТОРОГО ИНТЕРФЕЙСА"

-

 Создаем правила на всех 3 роутерах чтобы ходил трафик

/ip firewall filter add action=accept chain=input dst-port=13231 protocol=udp

Порты могут быть по вашему вкусу.
Создаем маршруты чтобы ходить в другие подсети

 1 роутер

/ip route add dst-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ВТОРОГО РОУТЕРА/24 gateway=WG1
/ip route add dst-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ТРЕТЬЕГО РОУТЕРА/24 gateway=WG1

-

 2 роутер

/ip route add dst-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ПЕРВОГО РОУТЕРА/24 gateway=WG2
/ip route add dst-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ТРЕТЬЕГО РОУТЕРА/24 gateway=WG2

-

 3 роутер

/ip route add dst-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ПЕРВОГО РОУТЕРА/24 gateway=WG3
/ip route add dst-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ВТОРОГО РОУТЕРА/24 gateway=WG3

Если вы сделали всё правильно на интерфейсах появится трафик.

[Kranker]

1. Создаем адресацию ТОЛЬКО на 1 роутере ?
#на остальных ненадо?

2. В логике создания пиров не ошибка?

-

 Создаем пиры на 2 роутере

interface wireguard peers
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ВТОРОГО РОУТЕРА/24,10.0.0.1/32,10.0.0.3/32 comment=1 \
endpoint-address=ВНЕШНИЙ АДРЕС 1 РОУТЕРА endpoint-port=13231 interface=WG2 \
public-key="КЛЮЧ ОТ ПЕРВОГО ИНТЕРФЕЙСА"
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ТРЕТЬЕГО РОУТЕРА/24,10.0.0.1/32,10.0.0.3/32 comment=3 \
endpoint-address=ВНЕШНИЙ АДРЕС 3 РОУТЕРА endpoint-port=13231 interface=WG2 \
public-key="КЛЮЧ ОТ ТРЕТЬЕГО ИНТЕРФЕЙСА"

-

 Создаем пиры на 3 роутере

/interface wireguard peers
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ВТОРОГО РОУТЕРА/24,10.0.0.1/32,10.0.0.2/32 comment=1 \
endpoint-address=ВНЕШНИЙ АДРЕС 1 РОУТЕРА endpoint-port=13231 interface=WG3 \
public-key="КЛЮЧ ОТ ПЕРВОГО ИНТЕРФЕЙСА"
add allowed-address=ЛОКАЛЬНАЯ(ОСНОВНАЯ) СЕТЬ ПЕРВОГО РОУТЕРА/24,10.0.0.1/32,10.0.0.2/32 comment=2 \
endpoint-address=ВНЕШНИЙ АДРЕС 2 РОУТЕРА endpoint-port=13231 interface=WG3 \
public-key="КЛЮЧ ОТ ВТОРОГО ИНТЕРФЕЙСА"

#наверно
в 1 роутере пиры всех роутеров надо? к второму и третьему
во 2ом роутере пиры к 1 и 3 (3 необязательно если 1 Центральный офис с общими ресурсами)
во 3ем роутере пиры к 1 и 2 (2 необязательно если 1 Центральный офис с общими ресурсами)
НО Почему в пирах к 1(первому)роутеру Вы написали у 2го и 3го: add allowed-address=ЛОКАЛЬНАЯ СЕТЬ ВТОРОГО РОУТЕРА??
описка? читать как ЛОКАЛЬНАЯ СЕТЬ первого РОУТЕРА??

3. А если ли адресация локальной сети 2го и 3го офиса совпадают?
# например в обоих офисах 192.168.1.0/24

[Erik_U]

Kranker, правильные вопросы.

Я бы еще добавил.
Зачем при 3-х офисах на 1 интерфейс вешать по 2 пира? Создать между офисами пару интерфейсов и пару пиров, с отдельной, но общей IP подсетью на интерфейсах с каждой стороны.
Получится управляемая любыми механизмами маршрутизации ситуация - отдельная маршрутная IP подсеть в сторону каждого офиса, каждое направление на отдельном интерфейсе.

[Kranker]

Наконец-то дошли руки описать логику соединения 3 и так далее роутеров.
Тут главное понять логику.

Да как её тут понять? Тыж всё ПОперепутал!
за год, так и не снизошёл исправить.

в общем в утиль..