DOMANDA Wireguard su server Ubuntu

[Moffetta88]

volendo puoi anche selfhostarla, con headscale.

Headscale

An open source, self-hosted implementation of the Tailscale control server.

headscale.net

Comunque farei un check sia sul mikrotik che sul firewall che la porta sia effettivamente aperta.
Altra cosa, proverei a cambiare porta con una non standard, quindi impostando con qualcosa del tipo 51831

 

[r3dl4nce]

Il router è un Mikrotik

Hai fatto la regola di ACCEPT nella tabella /ip/firewall/filter e il port forwarding con DNAT sulla tabella /ip/firewall/nat verso l'ip wan del firewall zyxel ? poi dallo zyxel devi fare dnat anche su quello verso il server ubuntu

 

[salarix]

Hai fatto la regola di ACCEPT nella tabella /ip/firewall/filter e il port forwarding con DNAT sulla tabella /ip/firewall/nat verso l'ip wan del firewall zyxel ? poi dallo zyxel devi fare dnat anche su quello verso il server ubuntu

Mikrotik:


Zyxel:

 

[r3dl4nce]

Su mikrotik ti prego usa winbox.... mi esce sangue dagli occhi a vedere quella schermata

Un port forwarding generalmente nei firewall prevede due impostazioni:
- creare la regola di NAT del pacchetto
- creare la regola per accettare il pacchetto

Su Mikrotik questo si traduce nella regola di DNAT che hai messo, ti consiglio di attivare il log così ved' se arrivano pacchetti gestiti da questa regola, devi però anche accettare i pacchetti altrimenti il firewall li blocca, questo si va da /ip/firewall/filter con una regola di accept dall'interfaccia WAN verso l'interfaccia LAN sull'IP e porta NATtati
esempio






Nelle configurazioni del firewall, impara a usare le interface list e le ip address list

Su zyxel non li uso come firewall quindi non so darti aiuti sulla configurazione

p.s. ma se hai un mikrotik, che te ne fai di un firewall in cascata?

 

[salarix]

Su mikrotik ti prego usa winbox.... mi esce sangue dagli occhi a vedere quella schermata

Un port forwarding generalmente nei firewall prevede due impostazioni:
- creare la regola di NAT del pacchetto
- creare la regola per accettare il pacchetto

Su Mikrotik questo si traduce nella regola di DNAT che hai messo, ti consiglio di attivare il log così ved' se arrivano pacchetti gestiti da questa regola, devi però anche accettare i pacchetti altrimenti il firewall li blocca, questo si va da /ip/firewall/filter con una regola di accept dall'interfaccia WAN verso l'interfaccia LAN sull'IP e porta NATtati
esempio

Visualizza allegato 503282

Visualizza allegato 503277


Nelle configurazioni del firewall, impara a usare le interface list e le ip address list

Su zyxel non li uso come firewall quindi non so darti aiuti sulla configurazione

p.s. ma se hai un mikrotik, che te ne fai di un firewall in cascata?

La parte Mikrotik è ok, i pacchetti passano senza problemi (ps. la schermata è di WinBox, ma la versione beta 02)
Dopo varie testate sulla scrivania ho scoperto il problema dove sta....sul Firewall Zyxel. Ho abilitato i log sulla Policy e ho visto che i pacchetti vengono bloccati e non capisco il perchè.

il 100.1 è l'ip del router Mktik, il 100.2 è l'ip della wan del firewall
Fatte regole, aperte porte, finestre e garage.....il problema rimane....e vai di testate sulla scrivania :(

 

[r3dl4nce]

La parte Mikrotik è ok, i pacchetti passano senza problemi (ps. la schermata è di WinBox, ma la versione beta 02)

Eh sono ancora team winbox 3.x devo ammettere che devo trovare tempo per provare la nuova versione 4.x ormai è stabile

Dopo varie testate sulla scrivania ho scoperto il problema dove sta....sul Firewall Zyxel. Ho abilitato i log sulla Policy e ho visto che i pacchetti vengono bloccati e non capisco il perchè.

Eh lì non so aiutarti, sembra che vada a matchare una regola di DROP di default, quindi non si attiva la regola che suppongo hai fatto per i pacchetti da WAN a LAN

Sei comunque sicuro di tenere due firewall in cascata?

 

[salarix]

Eh sono ancora team winbox 3.x devo ammettere che devo trovare tempo per provare la nuova versione 4.x ormai è stabile


Eh lì non so aiutarti, sembra che vada a matchare una regola di DROP di default, quindi non si attiva la regola che suppongo hai fatto per i pacchetti da WAN a LAN

Sei comunque sicuro di tenere due firewall in cascata?

Non ti preoccupare, ci mancherebbe, mi hai dato già un grande aiuto.

 

[Moffetta88]

Non ti preoccupare, ci mancherebbe, mi hai dato già un grande aiuto.

Al che potresti provare a cambiare la porta come ti ho suggerito ( e rifare le regole ) per vedere se viene bloccato ancora.

PS: come mai doppio firewall? Per un motivo ben preciso o solo voglia di complicarsi la vita?

 

[salarix]

Al che potresti provare a cambiare la porta come ti ho suggerito ( e rifare le regole ) per vedere se viene bloccato ancora.

PS: come mai doppio firewall? Per un motivo ben preciso o solo voglia di complicarsi la vita?

Doppio firewall perchè il primo (Mktik) è del provider e non posso fare nulla autonomamente, mentre il secondo è interno aziendale. Ho chiesto al provider di farmi una DMZ verso il mio firewall e mi hanno risposto picche !!!

 

[Moffetta88]

Doppio firewall perchè il primo (Mktik) è del provider e non posso fare nulla autonomamente, mentre il secondo è interno aziendale. Ho chiesto al provider di farmi una DMZ verso il mio firewall e mi hanno risposto picche !!!

aaaaaaaaaa adesso si spiega tutto :D
Ok, allora prova a fare la modifica che ti ho detto ( al tuo isp digli di aggiungere la regola e di non modificare l'altra così se vuoi tornare alla porta standard sei a posto ) che magari essendo una porta conosciuta fa il drop in automatico per qualche arcano modtivo ( hai controllato se il zyxell offre un servizio wireguard e quindi quella porta la reputa già assegnato e droppa il resto ? )

 

[salarix]

Avevo trovato l'inghippo, il problema sono io (gran coniglio, ovvero coniglione) che sul firewall ho messo la 51820 in TCP invece che UDP.
Nonostante questo, ho cambiato le porte, le ho fate cambiare al provider, ho riconfigurato tutto, ho modificato le regole UFW e magia.....tutto uguale :(
Da rete interna tutto funzionante, da esterno....banana

 

[r3dl4nce]

Avevo trovato l'inghippo, il problema sono io (gran coniglio, ovvero coniglione) che sul firewall ho messo la 51820 in TCP invece che UDP.
Nonostante questo, ho cambiato le porte, le ho fate cambiare al provider, ho riconfigurato tutto, ho modificato le regole UFW e magia.....tutto uguale :(
Da rete interna tutto funzionante, da esterno....banana

Intendo che hai rifatto la prova con netcat come ti avevo specificato e non passa dati?

 

[salarix]

esatto. da interno passa tutto, da esterno nulla.

 

[r3dl4nce]

esatto. da interno passa tutto, da esterno nulla.

Se i pacchetti non passano con netcat, non passeranno mai neppure con wireguard
Sicuro che certe porte UDP non siano bloccate dall'ISP? Sicuro che sul Mikrotik i pacchetti passino fino allo zyxel? Hai attivato la regola di log sia nel DNAT che sulla FILTER e vedi i pacchetti passare?

 

[salarix]

se attivo netcat da esterno, viene rifiutata: Ncat: Connessione in corso interrotta forzatamente dall'host remoto.