sskaje's blog, study & research on technology
Not really a switch, but similar. If you want to exchange data from two network using a host on Internet, this post helps. In this case, Router 1 want to use Router 2 as gateway for some destinations. All 3 Nodes here have Internet public IP address. I set-up a network, 192.168.20.0/24, using WireGuard. Our … Continue reading “WireGuard as a “Switch””
前言 我的阿里云服务器网络处于混合过度模式，逐步从经典网络往专有网络迁移。 之前每台经典网络主机都申请了公网IP和带宽，实际上对于大多数主机的业务而言，并不需要对外提供网络服务，只需要能访问外网即可。 所以这次新加的主机部分都没有去加弹性公网IP。 于是带来了问题：内网主机如何访问外网？ 阿里云的dnat方案太贵了。不考虑。 尝试过本地配置网关，但是实验证明，阿里云的VPC交换机不是一个纯粹的二层交换，也许是设计有问题，也许是刻意阻止用户自己拿一台能访问公网的主机当内网网关。 所以这次使用WireGuard实现网络架构调整。 阿里云的经典网络主机里加了几条默认的路由：
|
1 2 3 |
10.0.0.0/8 172.16.0.0/12 100.64.0.0/10 |
前两个都好说，第三个是运营商级的NAT网络地址，之前在 OpenVPN Site-to-Site VPN between Asus Merlin And Ubnt EdgeRouter 里提过贵州电信的光纤网络对外就是这个地址段。 WireGuard的配置过程参考之前的文章，此处不多解释，只贴配置。 Incoming search terms:wireguard节点wireguard节点分享setup aliyun wireguardping: sendmsg: Required key not availablewireguard 分析wireguard 节点 分享wireguard 节点WireGuard 协议分析fogrbcringcqrmovement3h5introduceduweink9bfire67xdocker wireguarddkms管理wireguardbring3hvbreakd4m阿里云搭建wireguardblindx1rLink to this post!
安装 从 https://github.com/Lochnair/vyatta-wireguard/releases 下载对应的包 ERL, ER等 mips架构的，下载 octeon 版本 ERX 下载 ralink版本。 可以选择上传到路由上，或者ssh登录路由，sudo su到root，执行类似如下的命令
|
1 |
curl https://github.com/Lochnair/vyatta-wireguard/releases/download/0.0.20170612-2/wireguard-octeon-0.0.20170612-2.deb -o wireguard-octeon-0.0.20170612-2.deb |
或
|
1 |
curl https://github.com/Lochnair/vyatta-wireguard/releases/download/0.0.20170612-2/wireguard-ralink-0.0.20170612-2.deb -o wireguard-ralink-0.0.20170612-2.deb |
下载完成后
|
1 |
dpkg -i xxx.deb |
配置 执行下列命令生成私钥、共享密钥，公钥
|
1 2 3 4 |
wg genkey > /config/auth/wg.private wg genpsk > /config/auth/wg.psk chmod 0600 /config/auth/wg.* wg pubkey < /config/auth/wg.private |
将最后一个命令的输出复制下来，配置到服务器端 获取服务器端的公钥，替换下文的“公钥”并执行命令
|
1 2 3 4 5 6 7 8 9 10 |
configure set interfaces wireguard wg0 address 192.168.10.40/24 set interfaces wireguard wg0 listen-port 本地端口 set interfaces wireguard wg0 peer 公钥 allowed-ips 0.0.0.0/0 set interfaces wireguard wg0 peer 公钥 endpoint '服务器IP:端口' set interfaces wireguard wg0 peer 公钥 preshared-key /config/auth/wg-eos.psk set interfaces wireguard wg0 private-key /config/auth/wg.private set interfaces wireguard wg0 route-allowed-ips false commit save |
配置好设备后，配置nat服务
|
1 2 3 4 5 |
configure set service nat rule 5032 outbound-interface wg0 set service nat rule 5032 type masquerade commit save |
剩下就是配置路由规则了，可以参考我的其他blog. Incoming search terms:wireguardwireguard edgerouteredgeos wiregaurdedgeos wireguarddevelop2mbeaten3ndedge router wireguardflowftzterribleva9vapork91winter9qsyellowsa9Link to this post!
安装WireGuard 按照官方说明，可以使用下列命令装依赖，不够的自己看着装
|
1 |
apt-get install libmnl-dev linux-headers-$(uname -r) build-essential pkg-config |
直接从git里拉。
|
1 |
git clone https://git.zx2c4.com/WireGuard |
直接make就行
|
1 2 3 |
cd WireGuard/src make make install |
配置 参考前一篇文章“WireGuard wg-quick PostUp的高级玩法”，可以直接无视官方和其他各种第三方给的教程。 前文给了一个参考的配置。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
[Interface] Address = 192.168.10.1/24 MTU = 1500 PrivateKey = xxx PostUp = echo -n "hello" > /dev/udp/192.168.1.1/80; echo -n "hello" > /dev/udp/192.168.2.1/80 [Peer] PublicKey = xxx AllowedIPs = 192.168.10.40/32, 192.168.1.0/24 Endpoint = 2.2.2.2:12345 [Peer] PublicKey = xxx AllowedIPs = 192.168.10.50/32, 192.168.2.0/24 Endpoint = 3.3.3.3:12345 |
按上述配置，假定的网络环境如下： 服务器：IP 1.1.1.1，WireGuard内网 IP 192.168.10.1，公网环境 节点1: IP 2.2.2.2，WireGuard内网 IP 192.168.10.40，LAN IP 192.168.1.0/24 节点2: IP 3.3.3.3，WireGuard内网 IP 192.168.10.50，LAN IP 192.168.2.0/24 此处，服务器、节点1、节点2均有公网IP。 如果节点IP不固定，或者是没有公网IP，那就改为如下配置
|
1 2 3 4 5 6 7 8 9 10 11 12 13 |
[Interface] Address = 192.168.10.1/24 MTU = 1500 PrivateKey = xxx ListenPort = 54321 [Peer] PublicKey = xxx AllowedIPs = 192.168.10.40/32, 192.168.1.0/24 [Peer] PublicKey = xxx AllowedIPs = 192.168.10.50/32, 192.168.2.0/24 |
VPS上，将配置文件保存为 /etc/wireguard/wg0.conf，执行下列命令，启用Wireguard：
|
1 |
wg-quick up wg0 |
为了让网络正常工作，还需要在VPS的公网接口上启用NAT
|
1 2 3 4 |
iptables -F FORWARD iptables -A FORWARD -j ACCEPT iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE |
修改 /etc/sysctl.conf，启用 ‘net.ipv4.ip_forward=1‘，然后执行 ‘sysctl -p‘ 接下来是大招 You are not authorised to read all content in … Continue reading “Ubuntu部署WireGuard”
真的很高级。 wg-quick是WireGuard用来启动网络设备的**脚本**。 注意了，迄今为止，wg-quick是用bash写的一个脚本，不知道未来会不会变，至少目前shebang是
|
1 |
!#/bin/bash |
Incoming search terms:WG-QUICKwireguard mtuwg genkeywireguard PostUp = 配置fingerv55spacew1lleavingx78kindmssgrain51lgivingqnhgivenjxigentlycfvwireuguard 高级elementtgreager61ido68adetaily92concernedc6zcharacteristicdmjas75uLink to this post!