Wireguard построить маршрут от клиента к удаленному компу в сети офиса?

Question

[sergpewpew]

В офисе на виртуалке развернул Wireguard сервер. Клиентом к нему подключаюсь по удаленке из дома.
Каким образом можно для клиентов (которые на удаленке) сделать доступным некоторые или все компы в сети офиса?
Добавлять маршруты в конфиге?
Я допустим подключился к Wireguard vpn - получил ip 10.9.0.2 и хочу по RDP подключится к 192.168.1.10 в сети в которой находится Wireguard виртуалка (то есть с сервера Wireguard этот комп доступен).

Comments

[Николай Медведков]

да

[sergpewpew]

Николай Медведков, спасибо, за подробный ответ. Можно примеры?

[Николай Медведков]

sergpewpew, просто добавь маршруты в конфиге клиента

[Alexey Dmitriev]

sergpewpew, п.5.12 https://qna.habr.com/help/rules читали?

[Valentin Barbolin]

Николай Медведков, sergpewpew,

просто добавь маршруты в конфиге клиента

думаю что wg сервер не является гетвеем для 1.10, а соответственно на wg сервере надо включить НАТ в сторону 1.10 или на 1.10 прописать маршрут в сторону VPN клиента.

[sergpewpew]

Да верно, wg сервер это виртуалка на Ubuntu. Подскажите пожалуйста,как по уму делают обычно? Изначально была идея установить на роутере ( микротик) , но
- не хотелось нагружать его (будет ли нагрузка?)
- нет опыта настройки микротика.
Обычно wg сервер на шлюзе настраивают чтобы проблем с маршрутами не было?
Мой вариант тоже норм или придется маршруты настраивать для каждого клиента?

[Николай Медведков]

Valentin Barbolin, да, точно, как все запутоно
sergpewpew, придется вам вручную настраивать маршрутизацию по всюду

[Valentin Barbolin]

sergpewpew,

- не хотелось нагружать его (будет ли нагрузка?)

Сколько ты хочеш получить чере туннель? У меня mikrotik ac2 спокойной до 300 Mbit/s может пропустить.

Обычно wg сервер на шлюзе настраивают чтобы проблем с маршрутами не было?

Пофиг где, главное понимать как маршруты прописывать.

Мой вариант тоже норм или придется маршруты настраивать для каждого клиента?

В текущей схеме ты ведь можеш маршрут на роутере прописать в сторону WG сервера.

[sergpewpew]

Valentin Barbolin,

В текущей схеме ты ведь можеш маршрут на роутере прописать в сторону WG сервера.

Да планировал проброс порта на wg-сервер.
Остается понять какие маршруты прописать чтобы клиент снаружи 10.9.0.2 при подключении к WG мог достучаться до локальной сети WG сервера.
Я так понимаю это нужно прописать в конфиге wg.conf:
PostUp = iptables -t nat -A POSTROUTING -o enp4s0 -j MASQUERADE

Чтобы при поднятии wg службы была маршрутизация в enp4s0 интерфейс локальной сети wg сервера. Или еще какие маршруты нужны?

Сколько ты хочеш получить чере туннель? У меня mikrotik ac2 спокойной до 300 Mbit/s может пропустить.

Допустим будет 30-50 клиентов они не нагрузят mikrotik разве?

[sergpewpew]

Николай Медведков,

придется вам вручную настраивать маршрутизацию по всюду

1) разве нельзя настроить маршрутизацию только на сервере WG в конфиге в PostUp и PostDown?
2) Получается VPN в офисах обычно на роутерах/шлюзах настраивают чтобы маршрутизацию отдельно не настривать? Не нагружает это роутеры?

[Valentin Barbolin]

sergpewpew, Ты ходиш по кругу, у тебя три варианта решения задачи, выбирай какой нравиться. Я не буду говорить, что клиенты WG должны получать маршрут во внутренюю сеть WG сервера, ведь это очевидно.

1) Включить NAT на WG сервере. Т.к. фиг знает сколько там у тебя интерфесов на WG сервере, то я бы привязал правило к destionation адресу (PostUp = iptables -t nat -A POSTROUTING -d 192.168.1.0/24 -j MASQUERADE)

2) Прописать на роутере маршрут, что сеть WG клиентов находиться за WG сервером (route 10.9.0.0/24 gw 192.168.1.5)

3) И самый тупой способ, прописать маршруты на всех внутренних клиентах.

Допустим будет 30-50 клиентов они не нагрузят mikrotik разве?

А ты производительность устройства габаритами оцениваеш? Просто погугли.

По моему мнению mikrotik ax3, просто офигетительный роутер, возмож на нем не самый лучший WIFI, но вот железо что надо.

Answer 1

[Dupych]

Добрый.

1 вариант.
2 маршрута.
Один на сервере с вирегуард и он указывает как попасть в сеть.
Второй маршрут на маршрутизаторе он указывает как попасть в сеть варенуард
2 вариант.
На сервере с виртуалкой добавить втопую сетевую с сетью офиса. Что может быть проще.
3 вариант.
У меня все офисы и дом связаны маршрутами на микротикпх.
Везде прописаны маршруты.
Я в сеть офиса как себе домой хожу. Тунелли поднял и все. Микротик туннели норм вещь. 3 года полнт отличный.

Answer 2

[Сергей Федотов]

Добавить сеть или просто узел 192.168.1.10 в AlliwedIPs на клиенте. Многие клиенты Wireguard будут это трактовать как маршрут также (wg-quick, ,например и Android клиент).
Также необходимо позаботиться, чтобы 192.168.1.10 знал где искать сеть wireguard 10.9.0.2 (если у вас просто маршрутизатор в офисе с wireguard, то маршрута по умолчанию уже достаточно).