Marat Gainutdinov Asked: 2020-06-18 06:58:18 +0800 CST2020-06-18 06:58:18 +0800 CST 2020-06-18 06:58:18 +0800 CST 正确的 iptables 配置以进行 ip 转发 772 我想我在配置过程中错过了一些东西。Ping 仍然显示主机不可访问 我的目标是从 10.0.0.99 访问远程主机 10.0.0.2。 更新: 在玩了不同的 AllowedIP 之后,我终于得到了预期的流量。 linux iptables linux-networking 2 个回答 Voted A.B 2020-06-18T17:24:43+08:002020-06-18T17:24:43+08:00 问题肯定来自wireguard的加密密钥路由的工作方式: 加密密钥路由 WireGuard 的核心是一个名为 Cryptokey Routing 的概念,它通过将公钥与隧道内允许的隧道 IP 地址列表相关联来工作。 这个关联是用allowed-ips/声明的AllowedIPs。因此,在给定时间,在给定的wireguard 接口上,一个关联的IP 地址只能与一个对等点关联。(可能没有什么能阻止使用多个wireguard 接口来“克服”这个问题,但这可能也无法扩展。) 所以如果每个节点都有这个设置: AllowedIPs = 10.0.0.0/24 对于连接到一个对等点并因此声明一次的节点来说很好,但对于具有多个对等点的节点来说是错误的。具有多个对等点的路由节点,它总是错误的。 在marat3c 上,当第一个对等点的配置部分(根据我的猜测,10.0.0.2 的对等点)被读取时,10.0.0.0/24 与该对等点关联。然后,当读取第二个对等点 (10.0.0.99's) 的配置部分时,从第一个对等点删除10.0.0.0/24并与第二个对等点关联。如果您现在只wg在marat3c上键入,您将得到如下内容: interface: wg0 [...] peer: (right peer's public key) endpoint: [...] allowed ips: (none) peer: (left peer's public key) endpoint: [...] allowed ips: 10.0.0.0/24 如果您更改配置的顺序,您只会逆转问题:您永远不能同时拥有 with allowed ips: 10.0.0.0/24,另一个将切换到(none),如开头所述。 多对等节点应仅使用预期出现在给定对等节点上的 IP 地址(通常只有一个)以避免这种冲突。因此,在marat3c的 wg-quick 配置AllowedIPs = 10.0.0.99中,左侧对等点和AllowedIPs = 10.0.0.2右侧对等点使用。wg您也可以使用而不是使用以下方法“手动”更正它(不会保存它)wg-quick: wg set wg0 peer 'longpublickeyforleftpeer' allowed-ips 10.0.0.99 wg set wg0 peer 'longpublickeyforrightpeer' allowed-ips 10.0.0.2 Best Answer ecazamir 2020-06-18T07:10:10+08:002020-06-18T07:10:10+08:00 在 10.0.0.99 上启用 IP 转发 user@wg-server:~$ cat /etc/sysctl.d/99-sysctl.conf | grep -i forw net.ipv4.ip_forward=1 重新加载 sysctl: sudo systemctl reload sysctl 在 Wireguard 客户端上设置正确的路由:如果AllowedIPs.99 和 .2 上的指令不包括 0.0.0.0/0 或包含 10.0.0.0/24 的网络,则添加: AllowedIPs = 10.0.0.0/24<<<<< 在您的客户端配置中包含此内容或扩展当前的 AllowedIPs 列表。
问题肯定来自wireguard的加密密钥路由的工作方式:
这个关联是用
allowed-ips
/声明的AllowedIPs
。因此,在给定时间,在给定的wireguard 接口上,一个关联的IP 地址只能与一个对等点关联。(可能没有什么能阻止使用多个wireguard 接口来“克服”这个问题,但这可能也无法扩展。)所以如果每个节点都有这个设置:
对于连接到一个对等点并因此声明一次的节点来说很好,但对于具有多个对等点的节点来说是错误的。具有多个对等点的路由节点,它总是错误的。
在marat3c 上,当第一个对等点的配置部分(根据我的猜测,10.0.0.2 的对等点)被读取时,10.0.0.0/24 与该对等点关联。然后,当读取第二个对等点 (10.0.0.99's) 的配置部分时,从第一个对等点删除10.0.0.0/24并与第二个对等点关联。如果您现在只
wg
在marat3c上键入,您将得到如下内容:如果您更改配置的顺序,您只会逆转问题:您永远不能同时拥有 with
allowed ips: 10.0.0.0/24
,另一个将切换到(none)
,如开头所述。多对等节点应仅使用预期出现在给定对等节点上的 IP 地址(通常只有一个)以避免这种冲突。因此,在marat3c的 wg-quick 配置
AllowedIPs = 10.0.0.99
中,左侧对等点和AllowedIPs = 10.0.0.2
右侧对等点使用。wg
您也可以使用而不是使用以下方法“手动”更正它(不会保存它)wg-quick
:AllowedIPs
.99 和 .2 上的指令不包括 0.0.0.0/0 或包含 10.0.0.0/24 的网络,则添加:AllowedIPs = 10.0.0.0/24
<<<<< 在您的客户端配置中包含此内容或扩展当前的 AllowedIPs 列表。