Russian Users MikroTik | Форум пользователей MikroTik

Здравствуйте!

Не мог бы кто-нибудь поделиться правильной настройкой проброса пакетов.

Схема стандартная - 2 микротика подсоединены по wireguard и обе локальные сети микротов видны друг другу это все работает.

Но есть внешний пользователь с клиентом wireguard на windows, которому необходим доступ сразу в две сети.
Если создать два подключения на клиенте (к одному микротику и ко второму), то в момент времени может работать только одно из них и получается если ты подключен к миротику1, то не видишь сеть 2го микротика и наоборот.

Подскажите пожалуйста какие правила можно сделать, чтобы подключившись клиентом windows на микротик1 через него можно было попасть в сеть микротика2 (с учетом того что между микротиком1 и микротиком2 есть свой wireguard тоннель)

Или может быть можно настроить клиент wireguard на windows , чтобы он одновременно мог подключиться и к микротику1 и микротику2 ?

никто не сталкивался с таким ?

Нужны технические подробности...

gmx писал(а): ↑05 дек 2023, 17:35 Нужны технические подробности...

Здравствуйте!

Настройка самая обычная - на двух микротиках стоит пакет wireguard, у микротика1 есть внешний адрес статический , между ними настроен впн через wireguard.
локальная сеть микротика1 192.168.1.0/24, локальная сеть мироктика2 192.168.2.0/24 , в таком исполнении проблем нет и из сети 192.168.1.0 можно попасть в сеть 192.168.2.0 и наоборот

Проблемы возникают , когда внешний пользователь через windows wireguard клиент подключается к микротику1 и хочет попасть в сеть миркотика2, этот клиент видит сеть 192.168.1.0 , но никак не получается настроить, чтобы он видел и сеть 192.168.2.0

Какой ip адрес получает wireguard клиент на windows в момент подключения?

Что с фаерволлом? Пробовали полностью выключать все правила?

gmx писал(а): ↑05 дек 2023, 19:32 Какой ip адрес получает wireguard клиент на windows в момент подключения?

Что с фаерволлом? Пробовали полностью выключать все правила?

файрвол полностью отключен на микротиках и брандмаузер на винде

айпи wireguard интерфейса на микротике1 = 12.10.10.1, на миротике2=12.10.10.2
на windows клиенте:
1) если на микротике1 создать новы интерфейс с айпи 13.10.10.1 и выставить на windows клиенте айпи 13.10.10.2, то он видит сеть только микротика1 и на миркотик2 не получается никак пробросить (пробовал с помощью mangle и принудительной отправкой в интерфейс на котором соединены миротик1 и микротик2)
2) если windows клиент подключить с айпи 12.10.10.3 на тот же интерфейс по которому соединены микротик1 и микротик2, то тут начинаются проблемы
- сеть миркотика1 может пинговаться, но не пинговаться сеть микротика2
- могут сразу не пинговаться обе сети
- могут пинговаться и сеть микротика1 и сеть микротика2, но через какое-то время wireguard вообще перестает работать , и пинг пропадает даже между микротиком1 и микротиком2, причем перезапуск не помогает и восстановить можно только, если удалить интерфейс и создать заново и потом опять какое-то время поработает час-два и снова ломается

i7526799 писал(а): ↑05 дек 2023, 21:42 айпи wireguard интерфейса на микротике1 = 12.10.10.1, на миротике2=12.10.10.2
на windows клиенте:
1) если на микротике1 создать новы интерфейс с айпи 13.10.10.1 и выставить на windows клиенте айпи 13.10.10.2, то он видит сеть только микротика1 и на миркотик2 не получается никак пробросить (пробовал с помощью mangle и принудительной отправкой в интерфейс на котором соединены миротик1 и микротик2)

А вообще прохождение пакетов из/в сеть 13.10.10.Х через WIREGUARD-туннель между микротиком 1 и микротиком 2 разрешено политиками туннеля???

bst-botsman писал(а): ↑06 дек 2023, 08:03

i7526799 писал(а): ↑05 дек 2023, 21:42 айпи wireguard интерфейса на микротике1 = 12.10.10.1, на миротике2=12.10.10.2
на windows клиенте:
1) если на микротике1 создать новы интерфейс с айпи 13.10.10.1 и выставить на windows клиенте айпи 13.10.10.2, то он видит сеть только микротика1 и на миркотик2 не получается никак пробросить (пробовал с помощью mangle и принудительной отправкой в интерфейс на котором соединены миротик1 и микротик2)

А вообще прохождение пакетов из/в сеть 13.10.10.Х через WIREGUARD-туннель между микротиком 1 и микротиком 2 разрешено политиками туннеля???

да в allowed address добавлена вся подсеть

Попробуйте виндовому клиенту wireguard назначить ip из сети самого микротика, 192.168.1.0/24 для первого микротика.

gmx писал(а): ↑06 дек 2023, 14:14 Попробуйте виндовому клиенту wireguard назначить ip из сети самого микротика, 192.168.1.0/24 для первого микротика.

когда убрал из allowedaddress сеть 13.10.10.0/24 и прописал отдельно 13.10.10.1/32, 13.10.10.2/32,13.10.10.3/32 вроде бы стало стабильно работать