主页 / server / 问题 / 1021887
Accepted
Marat Gainutdinov
Asked: 2020-06-18 06:58:18 +0800 CST

正确的 iptables 配置以进行 ip 转发

  • 772

我想我在配置过程中错过了一些东西。Ping 仍然显示主机不可访问

我的目标是从 10.0.0.99 访问远程主机 10.0.0.2。

在此处输入图像描述

更新： 在此处输入图像描述 在玩了不同的 AllowedIP 之后，我终于得到了预期的流量。

linux iptables linux-networking

2 个回答

  1. 问题肯定来自wireguard的加密密钥路由的工作方式：

    加密密钥路由

    WireGuard 的核心是一个名为 Cryptokey Routing 的概念，它通过将公钥与隧道内允许的隧道 IP 地址列表相关联来工作。

    这个关联是用allowed-ips/声明的AllowedIPs。因此，在给定时间，在给定的wireguard 接口上，一个关联的IP 地址只能与一个对等点关联。（可能没有什么能阻止使用多个wireguard 接口来“克服”这个问题，但这可能也无法扩展。）

    所以如果每个节点都有这个设置：

    AllowedIPs = 10.0.0.0/24

    对于连接到一个对等点并因此声明一次的节点来说很好，但对于具有多个对等点的节点来说是错误的。具有多个对等点的路由节点，它总是错误的。

    在marat3c 上，当第一个对等点的配置部分（根据我的猜测，10.0.0.2 的对等点）被读取时，10.0.0.0/24 与该对等点关联。然后，当读取第二个对等点 (10.0.0.99's) 的配置部分时，从第一个对等点删除10.0.0.0/24并与第二个对等点关联。如果您现在只wg在marat3c上键入，您将得到如下内容：

    interface: wg0
[...]

peer: (right peer's public key)
  endpoint: [...]
  allowed ips: (none)

peer: (left peer's public key)
  endpoint: [...]
  allowed ips: 10.0.0.0/24

    如果您更改配置的顺序，您只会逆转问题：您永远不能同时拥有 with allowed ips: 10.0.0.0/24，另一个将切换到(none)，如开头所述。

    多对等节点应仅使用预期出现在给定对等节点上的 IP 地址（通常只有一个）以避免这种冲突。因此，在marat3c的 wg-quick 配置AllowedIPs = 10.0.0.99中，左侧对等点和AllowedIPs = 10.0.0.2右侧对等点使用。wg您也可以使用而不是使用以下方法“手动”更正它（不会保存它）wg-quick：

    wg set wg0 peer 'longpublickeyforleftpeer' allowed-ips 10.0.0.99
wg set wg0 peer 'longpublickeyforrightpeer' allowed-ips 10.0.0.2
    • 2
  2. Best Answer
    1. 在 10.0.0.99 上启用 IP 转发

    user@wg-server:~$ cat /etc/sysctl.d/99-sysctl.conf | grep -i forw net.ipv4.ip_forward=1

    重新加载 sysctl： sudo systemctl reload sysctl

    1. 在 Wireguard 客户端上设置正确的路由：如果AllowedIPs.99 和 .2 上的指令不包括 0.0.0.0/0 或包含 10.0.0.0/24 的网络，则添加： AllowedIPs = 10.0.0.0/24<<<<< 在您的客户端配置中包含此内容或扩展当前的 AllowedIPs 列表。
    • 1

相关问题