主页 / unix / 问题 / 705962
Accepted
cheezsteak
Asked: 2022-06-13 20:29:42 +0800 CST

如何让wireguard忽略某些端口

  • 772

我有我的路由器设置端口转发端口 80 到运行caddy文件服务器的机器。我可以成功地从 LAN 卷曲文件服务器，但从 WAN 卷曲时出现超时。正在运行的机器caddy也正在运行wireguard以NetworkManager连接到外部 VPN。如果我关闭wireguard连接，我可以从 WAN 卷曲文件服务器。

这个答案说我AllowedIps=0.0.0.0,::0/0正在通过外部 VPN 路由所有流量。如何设置 Wireguard 以通过 VPN 路由除端口 80 和 443 流量之外的所有内容？

wireguard

2 个回答

  1. Best Answer

    无法将 Wireguard 配置为路由除端口 80 和 443 之外的所有内容。这是因为查看 OSI 网络模型端口与 IP 流量位于不同的层。

    但是这个问题有两个（可能更多）答案：第一个答案是限制通过 Wireguard 隧道的路由。评估哪些 IP 网络需要通过 Wireguard 隧道并在AllowedIps.

    第二个答案更高级，但您可以source NAT在路由器上配置一个，将传入的 WAN IP 地址屏蔽为路由器的 IP。这意味着文件服务器认为 WAN 流量是来自路由器的流量，并将向路由器发送回一个回复，路由器将其发送回 WAN。

    • 1

  2. 由于 Wireguard 使用的路由表不是默认路由表，因此您可以使用ip rule它来排除某种类型的流量。Wireguard 将在流量重定向到本地之后添加一条规则来匹配流量，但在它转到主之前。

    然后，您应该能够在wireguard 之前添加一条规则，它将流量从端口80 和443（来自您的服务器的回复）重定向到主表。它应该很简单：

    ip rule add sport 80 table main
ip rule add sport 443 table main

    您可以使用以下方法验证规则是否放置在wireguard 之前：

    ip rule

    虽然，如果你想让它持久化，你可能想在你的配置文件中添加一个 PostUp 操作：

    PostUp=ip rule add sport 80 table main && ip rule add sport 443 table main
PreDown=ip rule del sport 80 table main && ip rule del sport 443 table main

    如果您只使用 NetworkManager，您可以使用 dispatcher.d 放置一个脚本，以便在网络连接或断开连接时执行。

    #!/bin/bash
echo 'ip rule del sport 80 table custom
ip rule del sport 443 table custom
ip rule add sport 80 table custom
ip rule add sport 443 table custom' > /etc/NetworkManager/dispatcher.d/02-wg_exceptions.sh
chmod +x /etc/NetworkManager/dispatcher.d/02-wg_exceptions.sh
    • 1

相关问题