主页 / unix / 问题 / 697618
Accepted
Александр Инженер
Asked: 2022-04-02 03:17:12 +0800 CST

Wireguard 如何让 centos 上的某些客户端仅访问本地网络？

  • 772

我需要一些客户端在通过wireguard连接时能够访问互联网，而有些客户端只能看到本地网络以访问samba，但无法访问互联网。我有Centos从 Internet 获取的标准设置

wg0.conf

[Interface]
Address = 10.8.0.1/24
PrivateKey = SERVER_PRIVATE_KEY
ListenPort = 35053

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.8.0.2/32

为了让连接到wireguard的客户端访问互联网，我执行以下操作

vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1
sysctl -p


firewall-cmd --permanent --zone=public --add-port=35053/udp
firewall-cmd --permanent --zone=public --add-masquerade
firewall-cmd --reload

我在客户端上添加了这个，一切正常，我连接到服务器，客户端有互联网，它还可以访问服务器的本地网络和 samba

client.conf

[Interface]
PrivateKey = CLIENT+PRIVATE_KEY
Address = 10.8.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
AllowedIPs = 0.0.0.0/0
Endpoint = SERVER_IP:35053
PersistentKeepalive = 20

如何添加另一个客户端，以便他可以访问本地网络和 samba，但无法通过伪装访问 Internet？

我试图添加另一个wg2只能在本地网络上工作的wireguard接口。这不起作用，因为public zone已经有伪装并且它正在应用于wg2. 您可以购买另一个外部 IP，然后它会起作用，但也许还有其他解决方案？

vpn wireguard

1 个回答

  1. Best Answer

    看看这里：https ://unix.stackexchange.com/a/714015/537971

    基本上，在服务器端，您需要将 LAN CIDR 添加到AllowedIPs = 10.8.0.2/32例如：AllowedIPs = 10.8.0.2/32, 192.168.1.0/24.

    我试图添加另一个只能在本地网络上工作的wireguard接口wg2。这不起作用，因为公共区域已经有伪装并且正在应用于 wg2。

    第二个 Wireguard 实例应该有不同10.9.0.0/24的 CIDR，并且应该只为一个 CIDR 和接口配置伪装，iptables 示例： iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j MASQUERADE或者iptables -t nat -A POSTROUTING -i wg0 -o eth0 -j MASQUERADE 您应该尝试在 firewalld 上模仿这种行为，或者在具有复杂要求的此类设置中摆脱它。

    • 3

相关问题