Как маршрутизировать обернутый в https трафик WireGuard?

Question

[Роман]

Допустим я поднимаю на клиенте и сервере WireGuard и Stunnel. S-tunnel-ом оборачиваю трафик WireGuard-a в https и несу на внешний ip на наш марш(микротик). Сервер находится в локальной сети за этим микротиком. Как мне в шлюзе маршрутизировать конкретно этот обернутый в https трафик wireguard на сервер с локальным ip? Или это нереально и нужно просто взять еще 1 белый ip у провайдера?

Comments

[Юрий MikroTik]

Ничего не понял, нужна схема, чтобы ещё больше ничего не понять :)

Попробуй перефразировать поблочно, а не монолитным текстом.

[Ziptar]

Если я правильно протелепатировал, что ты хочешь - то через NAT, отфильтровав трафик по источнику если, конечно, сам stunnel даст такой фортель выкинуть, что не факт; но нафига вообще это все счастье - не понятно

[Роман]

Юрий MikroTik, поправил вопрос. Все же не стоит писать за 10 минут до окончания рабочего дня

[res2001]

Роман, Где в схеме интернет? Полагаю интернет между клиентом и микротиком.
Значит на микротике настроен NAT. Просто в NAT настраиваете проброс портов и указываете внутренний адрес и порт вашего сервера. Все. Тут даже маршрутизировать ничего не надо, т.к. сервер и микротик, видимо, находятся в одной локальной сети - у них прямой доступ друг к другу без маршрутизации.

[Роман]

res2001, В том и трудность. Какой порт бросать? 443? Если весь трафик на него кидать то сайты отпадут. А в том и суть что пополнять и изменять сурс-список от кого этот трафик будет идти на сервер не особо вариант.

[res2001]

Роман, У вас же там stunnel - настройте любой порт какой вам нравиться.
Кстати порт на NATе может не совпадать с портом stunnelа на сервере, т.е. внешний порт роутера на который будет приходить клиентский трафик может отличаться от порта сконфигурированного в stunnel на сервере - NAT при пробросе подменит порты.
В stunnel клиента надо, конечно, указывать порт сервер, который на роутере будет.

[Роман]

res2001, Идея в том что если порты и будут блокировать то явно не 443-й. Потому через сеть он должен идти по 443 как обычный веб трафик. С белым ip это легко, а вот можно ли без него - вопрос

[res2001]

Роман,

С белым ip это легко, а вот можно ли без него - вопрос

Белый IP у вас есть - вы же попадаете в интернет как-то.
Можно использовать DDNS и ходить по имени. Но для этого роутер должен уметь в DDNS и отправлять туда свой новый адрес. Но, конечно, лучше статический IP.

Конечно остается вариант, когда вам провайдер выдает серые адреса и отправляет через свой NAT. В этом случае ничего не поможет - провайдер под вас не станет пробрасывать порты у себя. Теоретически эту проблему можно решить с провайдером (пообщайтесь с тех поддержкой, купить в конце концов статический белый адрес). Например знаю, что в ДОМ.РУ по умолчанию используется такая схема с провайдерским NATом, но можно отключить NAT просто в настройках тарифа в их мобильном приложении, бесплатно. У других операторов это может быть организовано по другому.

Идея в том что если порты и будут блокировать то явно не 443-й.

Порт не важен. DPI системы анализируют не порт, а сам трафик. Порт, конечно, то же учитывают, но лишь как один из факторов, далеко не самый главный. Никто не запрещает вам вешать HTTPS сайт на произвольный порт, правда в браузере придется порт руками писать. Точно так же и с другими сервисами.
stunnel маскирует произвольный трафик под HTTPS, так что должно работать.
Если же все таки хочется все повесить на 443 порт включая и другие сервисы, то видимо надо разворачивать обратный HTTPS прокс - nginx и т.п. Т.е. со стороны сервера будет сначала NAT на роутере, на котором настроен проброс на nginx, а там уже на stunnel. Цепочка получается довольно длинная, я бы не заморачивался, если заработает на произвольном порту. Не уверен, но может быть тот же stunnel может работать как обратный прокси, я им давно уже не пользовался. Тогда на stunnel можно завернуть и другие HTTPS службы.
Не совсем понятно, зачем вам WireGuard, можно трафик завернуть в простой GRE туннель без шифрования и его уже заворачивать в stunnel. Впрочем дело ваше.

[Роман]

res2001, GRE транспортный, его разве можно куда то заворачивать? Мы сейчас на pptp, и вот этот порт идентификации, 1723, частенько падает

Под белым я имею ввиду еще один, второй, и выдать его этому серверу. Но раз порты роли не играют в DPI до вопрос отпадает в принципе.

[res2001]

PPTP умеют идентифицировать, да.
Да, согласен, GRE не вписывается, не прав тут.
Была мысль избавиться еще от одного уровня шифрования, можно поискать другие решения. На линуксе есть несколько вариантов нешифрованных туннелей поверх UDP: https://developers.redhat.com/blog/2019/05/17/an-i...
Не знаю можно ли завернуть UDP в stunnel :)

Answer 1

[ki11j0y]

У меня завернут в websocket, ищите erebe wstunnel. Скорости не ах чтоб бы хорошо.