WireGuard PtP funkční spoj

CarrolShellby

Ahoj, můžu se zeptat zda někdo ví jak nastavit funkční spoj na MT tak aby po pár minutách nepřestal komunikovat.
Chtěl jsem přejít na lepší zabezpečení a pořád se mi nedaří udržet spoj aktivní.
Mám 3 spoje jo jednoho místa, problém je že vždy komunikuje jen část, po několika minutách se komunikace přeruší a celkem dlouho trvá než se obnoví...
Prosím o radu, díky.

zdeneksvarc

WireGuard je nestavový, ten drží jak Mamut Glue. Tipuju problém jinde než ve WireGuardu.

drwiza

nemáš náhodou pro všechny klienty stejnej klíč?
mě funguje WG skvěle - ať už klient vs mikrotik tak i mikrotik vs mikrotik

CarrolShellby

drwiza
Na hlavním MT mám jeden klíč a na něj napojuji 3 jiné MT ale každý s těch 3 má jiný klíč.

Puski

CarrolShellby a máš tam nastaven v peers - persistent keepalive? Já tam mám třeba 00:00:30. Pokud jsem to nechal nevyplněno tak mi to dělalo něco podobného co popisuješ.

CarrolShellby

Puski
Ano mám nastaveno 00:00:25.

pgb

Předpokládám správně, že "server" má veřejku a klienti jsou za naty a vypadává ti kominikace ze serveru na klienty? Netuším proč ti to hnije, mě to funguje dle očekávání ... ten keepalive máš nastavený na obou stranách? Ještě mě napadlo dát na "klientech" do netwatch "server". Pak by němělo nic timeoutovat.

CarrolShellby

pgb
Ano i 2 klienti mají veřejku, jen jeden je za NATem. Vše fungovalo na L2TP. Keepalive je na všech stranách nastaven. Nemůže to dělat nenastavení (respektive 0.0.0.0/0) Allowed Address?

dacesilian

CarrolShellby Určitě nejde mít všude 0.0.0.0/0, pak by nebylo jasné, kam se má paket poslat. Nastavte si pro začátek jen IP adresy každého peera (např. 10.0.0.1/32) a vyzkoušejte. Pak můžete přidávat sítě za nimi, ale musí být jedinečné.

drwiza

nene v allowed address máš IP toho klienta + případné rozsahy co jsou za tím tunelem.
teoreticky tam můžeš mít všude i 0.0.0.0/0 ale nedoporučuje se to a řešit ty rozsahy klasicky routama.

pokud aktivuješ jen jednoho klienta, tak to spojení s ním drží ?

případně zkontroluj tu konfiguraci podle manuálu:
https://help.mikrotik.com/docs/display/ROS/WireGuard

jan2

mě se to takhle zvláštně rozpojovalo , pokud jsem uváděl DNS jména strojů, jakmile jsem je nahradil IP adresama, tak to drží.

CarrolShellby

Děkuji všem za názory, opravu byl problém s endpointem. Kde mám veřejné IP jsem nastavil tam kde jsou to mobilní data jsem ponechal prázdné a zatím to drží.

Teď ještě dotaz ohledně směrování provozu. Na hlavním MT mám asi 3 VLANy ,jednu bych potřeboval mít dostupnou i u klienta připojeného na WG. Ideálně průchozí komunikace mezi všemi spoji navzájem, je to nějak možné udělat?