Как направить трафик через wg-туннель созданный в Network Manager?

Question

[nihi1ist]

Есть сервер с работающим WireGuard. Подключил свой смартфон, всё работает отлично!

Теперь пытаюсь настроить подключение на Kubuntu 20.04. Добавил туннель через nmcli. Но при включении wg-туннеля, интернет не работает. Возможно проблема в том, что установлен nftables? Он настроен по вики арча. Понимание nftables пока низкое, подскажите какое правило добавить, чтобы заработало подключение через WireGuard?

Answer 1

[Alexey Dmitriev]

Нужно добавить следующие правила:
1. Разрешить FORWARD пакетов из сети wireguard
2. Добавить SNAT\Masquerade правило для сети wireguard.
Раз низкое понимание nftables, замените на iptables.

Comments

[nihi1ist]

Блин, не могу найти хорошее руководство на русском языке. Приходится через пень-колоду переводить материал который выкладывают на английском.

[Valentin Barbolin]

nihi1ist, Форвард на клиенте настраивать не надо, это же исходящий трафик, он поумолчанию разрешен.

Скорее всего у тебя не работает DNS или ты не правильно маршрут прописал.
Подними тунель и покажи вывод консоли
ip ad
ip ro
ping mail.ru

[nihi1ist]

Andrey Barbolin, wgc1 имя соединения:

spoiler

$ ip ad
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether e0:d5:5e:2e:34:83 brd ff:ff:ff:ff:ff:ff
    inet 192.168.88.12/24 brd 192.168.88.255 scope global dynamic noprefixroute eno1
       valid_lft 546sec preferred_lft 546sec
    inet6 fe80::e2d5:5eff:fe2e:3483/64 scope link 
       valid_lft forever preferred_lft forever
3: virbr0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 52:54:00:4a:03:45 brd ff:ff:ff:ff:ff:ff
    inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0
       valid_lft forever preferred_lft forever
4: virbr0-nic: <BROADCAST,MULTICAST> mtu 1500 qdisc fq_codel master virbr0 state DOWN group default qlen 1000
    link/ether 52:54:00:4a:03:45 brd ff:ff:ff:ff:ff:ff
5: vnet0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master virbr0 state UNKNOWN group default qlen 1000
    link/ether fe:54:00:21:f8:9b brd ff:ff:ff:ff:ff:ff
    inet6 fe80::fc54:ff:fe21:f89b/64 scope link 
       valid_lft forever preferred_lft forever
6: vnet1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master virbr0 state UNKNOWN group default qlen 1000
    link/ether fe:54:00:b2:51:cb brd ff:ff:ff:ff:ff:ff
    inet6 fe80::fc54:ff:feb2:51cb/64 scope link 
       valid_lft forever preferred_lft forever
7: wgc1: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none 
    inet 172.168.8.12/32 scope global noprefixroute wgc1
       valid_lft forever preferred_lft forever
    inet6 fe80::6610:fcfd:d1ad:3208/64 scope link stable-privacy 
       valid_lft forever preferred_lft forever

$ ip ro
default via 192.168.88.1 dev eno1 proto dhcp metric 100 
169.254.0.0/16 dev virbr0 scope link metric 1000 
192.168.88.0/24 dev eno1 proto kernel scope link src 192.168.88.12 metric 100 
192.168.122.0/24 dev virbr0 proto kernel scope link src 192.168.122.1

$ ping -c4 mail.ru
PING mail.ru (217.69.139.200) 56(84) bytes of data.

--- mail.ru ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3078ms

[Valentin Barbolin]

nihi1ist,
> default via 192.168.88.1 dev eno1 proto dhcp metric 100
Основной маршрут на микротик идет, а значит вот эта опция не отработала в конфиге клиента.

[Peer]
AllowedIPs = 0.0.0.0/0