Как подружить Iptables c wireguard?

Question

[shaesnow]

Поставил wireguard и соединил его с двумя вдс протянув туннель, после настроил проброс порта через iptables но на сервер не входит через первую вдс.
Схема сети: игрок пытающийся зайти на сервер>пробрасыватель порта в туннель>wireguard(сам туннель)>игровой server.
Конфиг iptables:iptables -t nat -A PREROUTING -p tcp --dport 25565-j DNAT --to 10.228.228.2:25565, что не так настроил?

Comments

[Valentin Barbolin]

Не хватает
iptables -t nat -A POSTROUTING -p tcp --dport 25565 -d 10.228.228.2 -j MASQUERADE

[shaesnow]

Andrey Barbolin, 10.228.228.2 стоит на второй вдс, на первой где установлен iptables стоит 10.228.228.1

[Valentin Barbolin]

shaesnow, Все верно, команду надо добавить на первом VPS.

[shaesnow]

@dronmaxman, все равно на серв не входит

[Valentin Barbolin]

shaesnow, Не видно FORWARD
iptables -A FORWARD -j ACCEPT

что тут?
cat /proc/sys/net/ipv4/ip_forward

[shaesnow]

Andrey Barbolin,

[Valentin Barbolin]

shaesnow, Кстати, это правило лучше привязывать к интерфейсу или IP

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 25565-j DNAT --to 10.228.228.2:25565
где eth0 интерфейс WAN

или так

iptables -t nat -A PREROUTING -d 1.1.1.1 -p tcp --dport 25565-j DNAT --to 10.228.228.2:25565
где 1.1.1.1 белый адрес VPS

[shaesnow]

Andrey Barbolin, iptables -t nat -A PREROUTING -d 185.159.129.174 -p tcp --dport 25565 -j DNAT --to 10.228.228.2:25565
iptables -t nat -A POSTROUTING -p tcp --dport 25565 -d 10.228.228.2 -j MASQUERADE - с этими робит.
C этими нет:
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 25565-j DNAT --to 10.228.228.2:25565
iptables -t nat -A POSTROUTING -p tcp --dport 25565 -d 10.228.228.2 -j MASQUERADE

[Valentin Barbolin]

shaesnow,

185.159.129.174 на этом интерфейсе eth0 ?

[Valentin Barbolin]

shaesnow, У тебя передача пакетов между интерфесами выключена
cat /proc/sys/net/ipv4/ip_forward
0

https://linuxconfig.org/how-to-turn-on-off-ip-forw...

[shaesnow]

Andrey Barbolin, да 185.159.129.174 на eth0

[shaesnow]

Andrey Barbolin,
Исправил, оказывается был ens3 a не eth0.

[Valentin Barbolin]

shaesnow, И че, не работает?

[shaesnow]

Andrey Barbolin, все работает, на сервер входит теперь.
ты не знаешь почему у игрока ip 10.228.228.1?

[shurshur]

shaesnow, потому что MASQUERADE меняет адрес отправителя на адрес выходного интерфейса.

[shaesnow]

shurshur, через iptables значит не вариант?

[Drno]

shaesnow, а по другому ты не сделаешь

[chupasaurus]

Drno, тогда Wireguard в качестве default gw не мог работать бы (:

[shaesnow]

chupasaurus, у тебя работает?

[chupasaurus]

shaesnow, мне такие развлечения не нужны (:
Могу сказать, как это делал бы я: поднял бы nginx на тачке с интернетами и настроил прокси через stream.

[Valentin Barbolin]

shaesnow, Что бы не использовать маскарад, надо делать отдельную таблицу маршрутов на 10.228.228.2 для интерфейса wg0.

Представь, что wg0 это второй интернет линк.
https://habr.com/ru/post/49137/

[shaesnow]

chupasaurus, nginx так же выдает 10.228.228.1 игрокам т.к тоже пробовал его

[shaesnow]

Andrey Barbolin, при этом в iptables оставить "iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 25565 -j DNAT --to 10.228.228.2:25565"?

[shaesnow]

Andrey Barbolin, https://habr.com/ru/post/49137/ прокатит если на второй vds серый IP?

[Valentin Barbolin]

shaesnow,
>прокатит если на второй vds серый IP?
Да.

[shaesnow]

Andrey Barbolin, IP1=10.10.10.10
IP2=20.20.20.20 - тут указывать IP wireguard?

IP1=10.228.228.1
IP2=20.228.228.2 - верно нет?

[shaesnow]

че куда тут вбивать IP wireguard 10.228.228.1/10.228.228.2?

[shaesnow]

Andrey Barbolin, у меня вдс имеют два разных провайдера и находятся в разных странах - сработает так тоже?