Как получить доступ к ESXi за Mikrotik WireGuard?

Question

[Shady]

Коллеги, добрый день!

Для удалённого администратора на Mikrotik Hex S поднят WireGuard.
После подключения к туннелю, есть доступ ко всем подсетям офиса (Vlan10-vlan40), но получить доступ к iLo и ESXi не выходит. Они находятся в vlan50, при пинге с удалённого ПК - пинг идёт только к маршрутизатору mikrotik 10.200.5.1, а к ilo 5.2 и esxi 5.3 пинга нет, доступа по 80 и 443 порту также нет. Почему так происходит, что ко всем подсетям доступ есть, а эти два хоста не выходят на связь?

Comments

[Юрий MikroTik]

На Vlan50 стоит шлюз?

[Valentin Barbolin]

Очевидно где-то не хватает маршрута или блокирует firewall.

[Shady]

Юрий MikroTik, Сам Mikrotik и есть vlan50 10.200.5.1

[Shady]

Valentin Barbolin, да вот как найти блокировку не понимаю..

[Юрий MikroTik]

Shady, явно разрешить, либо выключить drop везде

[Shady]

Юрий MikroTik, явно пытался в цепочке forward разрешить и конкретными ip адресами и vlan'ами, отключи все дропы тоже не проходит, пинг только до 10.200.5.1 идёт (
в логе такая строка идёт
"wg_to_esxi forward: in:vlan10 out:vlan50, connection-state:established src-mac 00:0c:29:c4:97:0a, proto TCP (ACK), 10.200.1.15:51782->10.200.5.4:443, len 40"

интересно почему WG из 10 vlan обращается к 50-му

[Юрий MikroTik]

Shady, адресация wg отличается от адресации в других вланах?

[Shady]

Юрий MikroTik, да, 10.200.10.*/24

[Юрий MikroTik]

Shady, NAT всё во всё не стоит? Чистая маршрутизация работает?

[Shady]

Юрий MikroTik, NAT без исключений настроен,

/ip firewall nat
add action=src-nat chain=srcnat dst-address=!10.200.0.0/16 out-interface-list=WAN src-address=10.200.0.0/16 to-addresses=*наш_ip*

[Юрий MikroTik]

Shady, wg allow лист указан?

[Shady]

Юрий MikroTik, это где можно посмотреть? не уверен

[Юрий MikroTik]

Shady, Peers Allowed Address

[Valentin Barbolin]

Shady, У тебя на компе есть маршрут в сеть ESXi?

[Юрий MikroTik]

Valentin Barbolin, шлюз той сети пингует, значит есть

[Shady]

Юрий MikroTik, настраивал по интернету Allowed IP 10.200.10.3/32 - как понял здесь указывается с каким ip хост придёт в сеть, если не верно понял или ввели в заблуждение, подскажите как правильно?
но повторюсь, ко всей сети фактически доступ есть и даже пингуется роутер этого подсети

В клиенте wg указываю 10.200.0.0/16 в allowed ips

[Юрий MikroTik]

Shady, проверь с 0.0.0.0/0
Если пустит - сужай

[Valentin Barbolin]

Shady, В allow address на микроте лучше прописать 0.0.0.0/0 и не тра...ся.

[Shady]

Valentin Barbolin, так и сделал, ничего не изменилось(

[Shady]

Юрий MikroTik, без результата