Jump to content

WireGuard VPN. Сервер на Debian 10 + клієнт на Mikrotik


Recommended Posts

Маємо VPS сервер на Debian 10 і модем MikroTik LHG LTE6. Задача наступна: налаштувати інтернет через VPN тунель.

 

На сервер Debian 10 встановив і налаштував WireGuard скриптом: https://github.com/angristan/wireguard-install

Цим же скриптом згенерував файл налаштувань для клієнта wg0-client-mikrotik.conf:

[Interface]
PrivateKey = yBen7Arcy/jRqB3zqJiPn88IHPCoHYRmRW3wT97D2F0=
Address = 10.66.66.2/32,fd42:42:42::2/128
DNS = 94.140.14.14,94.140.15.15

[Peer]
PublicKey = 004DOgL44aNB5tWmyoifjiGmi0qBIHdp3Og21EdjUV0=
PresharedKey = P8nLh48thuDSvNMJ7XPqMknWp4hpfxE4RUIuf5UBGqQ=
Endpoint = 145.239.95.214:53849
AllowedIPs = 0.0.0.0/0,::/0

 

Прошивку на Mikrotik оновив до версії 7.1beta5. В цій версії вже вбудована підтримка WireGuarg.

В головному меню WinBox обираю пункт WireGuard і відкривається таке вікно:

Screenshot_20210426_152530.png

 

Створюю новий інтерфейс wiregoard1 з типовими параметрами. Змін ніяких не вношу.

Screenshot_20210426_153248.png

 

Далі переходжу на вкладку Peers і там створюю новий тунель. Вписую параметри з клієнтського файлу конфігурації.

Screenshot_20210426_154057.png.1fbd44308f6de86ef320bac184d3331f.png

 

Далі відкриваю вікно Address List і додаю адресу. Параметри знову беру з клієнтського файлу конфігурації.

Screenshot_20210426_161154.png.4c2dd346e34e9273bd1a802eaca110b6.png

 

Після цих налаштувань нічого не змінюється й інтернет через VPN тунель не йде. Можливо щось не так налаштовую чи не повністю?

Edited by FOP_Osypenko
  • Like 1
Link to post
Share on other sites
  • Replies 71
  • Created
  • Last Reply

Top Posters In This Topic

Top Posters In This Topic

Popular Posts

Щойно ради цікавості поставив 7.1 бета 6 і налаштував WireGuard. Все з'єдналось з першого разу, трафік бігає.  Порядок дій. 1. створив інтерфейс WireGuard 2. призначив інтерфейсу іп і маску

Маємо VPS сервер на Debian 10 і модем MikroTik LHG LTE6. Задача наступна: налаштувати інтернет через VPN тунель.   На сервер Debian 10 встановив і налаштував WireGuard скриптом: https://gith

осспаде, выбрось выбрось бету роутероса в мусор, рано ей ещё построй всё на л2тп+ипсек и будет тебе щастя

Posted Images

осспаде, выбрось выбрось бету роутероса в мусор, рано ей ещё

построй всё на л2тп+ипсек и будет тебе щастя

  • Like 1
Link to post
Share on other sites
53 минуты назад, Kiano сказав:

осспаде, выбрось выбрось бету роутероса в мусор, рано ей ещё

построй всё на л2тп+ипсек и будет тебе щастя

Але ж повинно працювати і через WireGuard. Тим більше з'явилася підтримка в прошивці Mikrotik.

 

Кілька днів уже сиджу вивчаю цей WireGuard і загалом принцип роботи VPN. А тепер ще тиждень освоювати інший метод?

 

А інструкція по цьому «л2тп+ипсек» є детальна і зрозуміла для новачка? Можна й це спробувати, якщо воно працює.

Link to post
Share on other sites
1 час назад, Kiano сказал:

построй всё на л2тп+ипсек и будет тебе щастя

ipsec уложит того микрота мегабит на 15 ) 

Link to post
Share on other sites
3 минуты назад, Kiano сказав:

смотря какой микрот

Є три різні моделі: MikroTik RB2011iL-IN, MikroTik RB941-2nD-TC, MikroTik LHG LTE6.

 

Я так розумію, що можна не лише модем MikroTik налаштовувати, а й маршрутизатор, що йде за ним?

Edited by FOP_Osypenko
Link to post
Share on other sites
Только что, LV10 сказал:

не пашет wireguard v beta5/6

забудь

бреххен, швайнише гнуссн бреххен 😉

работает, но херово

  • Haha 1
Link to post
Share on other sites

Страва в тому, що VPN тунель ніби створюється. Але інтернет не переадресовується на тунель і пінг відсутній між сервером і модемом.

root@vps758815:~# wg show                
interface: wg0
 public key: 004DOgL44aNB5tWmyoifjiGmi0qBIHdp3Og21EdjUV0=
 private key: (hidden)
 listening port: 53849

peer: ihvYaZmUCQfJSopeGMN6dxJ51oNBMHgQNbpq4aMtGkg=
 preshared key: (hidden)
 endpoint: 94.153.6.38:47713
 allowed ips: 10.66.66.2/32, fd42:42:42::2/128
 transfer: 86.57 KiB received, 53.82 KiB sent


 

Link to post
Share on other sites
13 минут назад, FOP_Osypenko сказал:

Є три різні моделі: MikroTik RB2011iL-IN, MikroTik RB941-2nD-TC, MikroTik LHG LTE6.

Оно устройство лучше другого )) 

На какую хоть скорость рассчитываете? 

 

14 минут назад, FOP_Osypenko сказал:

Я так розумію, що можна не лише модем MikroTik налаштовувати, а й маршрутизатор, що йде за ним?

Тут никто не знает, что вы там городите... Как правило, впн подымают именно на маршрутизаторах, а не на модемах ) 

Link to post
Share on other sites
4 минуты назад, tkapluk сказав:

Оно устройство лучше другого )) 

На какую хоть скорость рассчитываете? 

 

Тут никто не знает, что вы там городите... Как правило, впн подымают именно на маршрутизаторах, а не на модемах ) 

Основна мета такого тунелю — це отримання стабільної роботи 4G інтернету на Київстарі. Всі люди скаржаться на поганий зв'язок.

 

Але хтось вигадав таке рішення. Тільки реалізував він його на OpenWRT. І справді такий VPN тунель проблему вирішив. Інтернет став стабільно працювати.

 

Я взагалі то й планую тунель налаштувати саме з маршрутизатора, який іде відразу за модемом. Ця модель в мене сама потужна з наявних MikroTik RB2011iL-IN.

Link to post
Share on other sites
1 минуту назад, tkapluk сказав:

Пионер с 4г линком? 😲

Проблема ця з паршивим 4G інтернетом Київстара взагалі то досить актуальна. Тема має майже 8 тис. переглядів: http://netobzor.org/forum/index.php?topic=17082.0

Link to post
Share on other sites
19 минут назад, FOP_Osypenko сказал:

Проблема ця з паршивим 4G інтернетом Київстара взагалі то досить актуальна. Тема має майже 8 тис. переглядів: http://netobzor.org/forum/index.php?topic=17082.0

такая актуальная, что аж один человек отписался про впн )) 

Link to post
Share on other sites
4 минуты назад, tkapluk сказав:

такая актуальная, что аж один человек отписался про впн )) 

Іншого рішення поки що ніхто не придумав. Тому намагаються люди вирішити проблему саме шляхом переадресації трафіку на VPN тунель.

Link to post
Share on other sites
26 minutes ago, FOP_Osypenko said:

Проблема ця з паршивим 4G інтернетом Київстара взагалі то досить актуальна. Тема має майже 8 тис. переглядів: http://netobzor.org/forum/index.php?topic=17082.0

Раздают торренты с LTE, это же насколько надо быть конченым для такого

Link to post
Share on other sites
4 минуты назад, FOP_Osypenko сказал:

Іншого рішення поки що ніхто не придумав. Тому намагаються люди вирішити проблему саме шляхом переадресації трафіку на VPN тунель.

так поставь бесплатный впн на комп или на телефон. Посмотри или оно будет у тебя работать. Да тот же warp от cloudflare

Если у них проблема с маршрутизацией то не факт, что твой впн сервер попадет в сегмент с нормальной маршрутизацией. 

 

Link to post
Share on other sites
2 часа назад, Бульба сказав:

Раздают торренты с LTE, это же насколько надо быть конченым для такого

Не в торентах проблема взагалі. Особисто в мене сайти виснуть на Київстарі без жодних торрентів. А от на Водафон навіть якщо торренти звантажувати, то таких зависань не спостерігається.

Edited by FOP_Osypenko
Link to post
Share on other sites
2 минуты назад, tkapluk сказав:

так поставь бесплатный впн на комп или на телефон. Посмотри или оно будет у тебя работать. Да тот же warp от cloudflare

Если у них проблема с маршрутизацией то не факт, что твой впн сервер попадет в сегмент с нормальной маршрутизацией. 

 

В мене є свій VPS сервер на Debian 10. На ньому я вже налаштував VPN за допомогою WireGuard. З телефону перевірили, працює.

Лишилося його ще подружити з Mikrotik. І можна буде користуватися безпечним інтернетом без обмежень через маршрутизатор.

 

Якщо комусь цікаво спробувати протестувати роботу мого VPN сервера на WireGuard, то викладу тут конфігураційний файл для клієнта.

 

До речі, фізичне розташування VPS сервера в Польщі. Відпишіться, в кого яку швидкість показує через VPN на польському сервері.

wg0-client-test.conf

Link to post
Share on other sites

Собственно прошивка, как и новые фичи вида WireGuard, EVPN, VxLAN - очень сыро в микротике. Используйте проверенные тунели. Чем не устраивает тот же pptp? или sstp? или l2tp? Вам в принципе сойдет любой тунель, для которого не нужны белые адреса с 2-х сторон. Быть бетатестером WG(разраб корого, кстати, сам заявил - что это даже не тестовая альфа версия и еще много есть косяков) - ваше право. хотите добить - садитесь и изучайте, делайте багрепорты на форум микротиководов и т.д.  Но если вам задачу решить - то юзайте проверенные тунели, которые годами работают.

Маленькая ремарка про сервер в Польше. Потрудитесь изучить правила пользования сервисами хостера. Порой там могут написать - что юзать под всякие прокси\впн\анонимайзеры - низя. Могут взять да и заблочить, когда снифанут трафик, а там тупо - тунельное все. Кстати поэтому очень круто юзать sstp, который в дефолте работает на 443 порту, а если его еще и завернуть в SSL - то от обычного https трафика хрен отличишь :)

Дерзайте.

Edited by Dimkers
  • Like 1
Link to post
Share on other sites
  • 2 months later...

Комусь вдалося таки налаштувати VPN клієнт WireGuard на Mikrotik? Чи це взагалі нереально зробити?

Link to post
Share on other sites
1 час назад, FOP_Osypenko сказал:

Комусь вдалося таки налаштувати VPN клієнт WireGuard на Mikrotik? Чи це взагалі нереально зробити?

дрочкурите

https://m.habr.com/ru/post/521468/

Edited by nedoinet
Link to post
Share on other sites
6 часов назад, nedoinet сказав:

дрочкурите

https://m.habr.com/ru/post/521468/

Взагалі то я саме за цією інструкцією з самого початку і налаштовував VPN клієнт WireGuard на Mikrotik.

 

Всі описані там операції я провів і детально про них описав на початку цієї теми. Але воно НЕ ПРАЦЮЄ!

 

Зі смартфону працює VPN нормально через польський сервер, а через Mikrotik не хоче.

 

Не пінгується з роутера навіть сервер на ІР адресу 10.66.66.1. З'єднання не відбувається чомусь.

 

Десь щось я не доналаштовую, але що саме, поки що не можу збагнути. От і прошу допомоги!

Link to post
Share on other sites
В 26.04.2021 в 19:17, FOP_Osypenko сказал:

Проблема ця з паршивим 4G інтернетом Київстара взагалі то досить актуальна. Тема має майже 8 тис. переглядів: http://netobzor.org/forum/index.php?topic=17082.0

Не розумію, як Київстарівський інтернет стане кращим від того, що ви загорнете його у той чи інший VPN тунель?
Карго культ якийсь 😁

Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • By DAnEq
      купил точки доступа mikrotik cap ac и mikrotik hex poe lite
      конечная цель сделать бесшовный роуминг

      в мануалах везде указано что делается либо с помощью caspman либо с помощью mesh
      когда купил, прочитал, что в помощью capsman бесшовный роуминг сделать нельзя (в моем видении это когда точки сами смотрят на какой из них сигнал от клиента сильнее и переключают клиента сами без потери пакетов), можно лишь выставить чтобы точка принудительно отключала клиента с сигналом меньше заданого уровня, чтобы он переключился на более сильную точку (и думаю это будет с потерей пакетов)
      вопрос 1 - правда ли это ?

      вопрос 2
      включил на роутере cap, точку доступа поставил в такой же режим
      в итоге точка доступа айпи адрес получает, а клиент не получает, хоть на роутере попытки подключения видны
      на точке доступа поставил все интерфейсы в бридж
      конфиги сейчас приложу

      конфиг роутера
       
      /interface bridge add admin-mac=2C:C8:1B:C4:5D:AF auto-mac=no comment=defconf name=bridge /interface pppoe-client add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 password=0294 service-name=pppoe1 \ use-peer-dns=yes user=05710831 /caps-man interface add configuration.mode=ap configuration.ssid=RiOni disabled=no l2mtu=1600 mac-address=DC:2C:6E:B8:44:4E \ master-interface=none name=cap1 radio-mac=DC:2C:6E:B8:44:4E radio-name=DC2C6EB8444E \ security.authentication-types=wpa2-psk security.encryption=aes-ccm security.passphrase=88888888 add configuration.load-balancing-group="" configuration.mode=ap configuration.ssid=RiOni disabled=no l2mtu=1600 \ mac-address=DC:2C:6E:B8:44:4F master-interface=none name=cap2 radio-mac=DC:2C:6E:B8:44:4F radio-name=DC2C6EB8444F \ security.authentication-types=wpa2-psk security.encryption=aes-ccm security.passphrase=88888888 /interface list add comment=defconf name=WAN add comment=defconf name=LAN /interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik /ip pool add name=dhcp ranges=192.168.88.10-192.168.88.254 add name=cap1 ranges=192.168.1.0/24 /ip dhcp-server add address-pool=dhcp disabled=no interface=bridge name=defconf add address-pool=dhcp disabled=no interface=cap1 name=cap1 add address-pool=dhcp disabled=no interface=cap2 name=cap2 /caps-man manager set enabled=yes /interface bridge port add bridge=bridge comment=defconf interface=ether2 add bridge=bridge comment=defconf interface=ether3 add bridge=bridge comment=defconf interface=ether4 add bridge=bridge comment=defconf interface=ether5 add bridge=bridge disabled=yes interface=all /ip neighbor discovery-settings set discover-interface-list=LAN /interface list member add comment=defconf interface=bridge list=LAN add comment=defconf interface=ether1 list=WAN add interface=pppoe-out1 list=WAN /ip address add address=192.168.88.1/24 comment=defconf interface=ether2 network=192.168.88.0 /ip dhcp-client add comment=defconf interface=ether1 /ip dhcp-server network add address=192.168.88.0/24 comment=defconf gateway=192.168.88.1 /ip dns set allow-remote-requests=yes /ip dns static add address=192.168.88.1 comment=defconf name=router.lan /ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=\ established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1 add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=\ established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \ connection-state=new in-interface-list=WAN /ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN /system clock set time-zone-name=Europe/Kiev /system package update set channel=long-term /tool mac-server set allowed-interface-list=LAN /tool mac-server mac-winbox set allowed-interface-list=LAN
      конфиг точки доступа
      /interface bridge add admin-mac=DC:2C:6E:B8:44:4C auto-mac=no comment=defconf name=bridgeLocal /interface wireless # managed by CAPsMAN # channel: 2447/20-eC/gn(28dBm), SSID: RiOni, CAPsMAN forwarding set [ find default-name=wlan1 ] ssid=MikroTik # managed by CAPsMAN # channel: 5200/20-eCee/ac(14dBm), SSID: RiOni, CAPsMAN forwarding set [ find default-name=wlan2 ] ssid=MikroTik /interface list add name=WAN add name=LAN /interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik /ip hotspot profile set [ find default=yes ] html-directory=hotspot /interface bridge port add bridge=bridgeLocal comment=defconf interface=ether1 add bridge=bridgeLocal comment=defconf interface=ether2 add bridge=bridgeLocal interface=wlan2 add bridge=bridgeLocal interface=wlan1 /interface list member add interface=ether1 list=WAN add interface=ether2 list=LAN add interface=wlan2 list=LAN add interface=wlan1 list=LAN /interface wireless cap # set bridge=bridgeLocal discovery-interfaces=bridgeLocal enabled=yes interfaces=wlan1,wlan2 /ip dhcp-client add comment=defconf disabled=no interface=bridgeLocal /system clock set time-zone-name=Europe/Kiev

      что делаю не так ?
       
    • By Інет.укр
      MIKROTIK • CRS504-4XQ-IN • 4x QSFP28 ports indoor switch
      https://www.wifihw.cz/default.asp?cls=stoitem&stiid=5471
      MIKROTIK • CCR2004-16G-2S+PC • 16x GB RJ45, 2x 10G SFP+ Cloud Core Router
      https://www.wifihw.cz/default.asp?cls=stoitem&stiid=5472
      MIKROTIK • LHGGM&EG18-EA •Outdoor LTE unit LHG LTE18 kit
      https://www.wifihw.cz/default.asp?cls=stoitem&stiid=5473
      MIKROTIK • MT-HotSwapFan • Hot-swap Fan for CCR
      https://www.wifihw.cz/default.asp?cls=stoitem&stiid=5474
      MIKROTIK • QMP-LDF • Holder for LDF units
      https://www.wifihw.cz/default.asp?cls=stoitem&stiid=5475
    • By orko19991
      Актуальні залишки і ціну по контактах:
      Tel.viber.telegram  - 067-323-17-30
      Email - sales@gazik.store
      Skype - orko1991
    • By 3vFantoMv3
      Куплю Mikrotik RouterBoard RB750Gr3 б.у.
      Цену предлагайте.
       
    • By valexa
      Добрый день. Может кто сталкивался. Настроены Vlan между двумя микротиками. и на этих vlan постоянно сыпятся дропы на одном Rx а на втором Tx дропы. так вроде все работает. потерь нету по пакетам но за день количество дропов 730 насыпало. Может кто подскажет куда и как можно найти проблемму?? 

×
×
  • Create New...