Két iroda összekötése WireGuarddal MikroTik routereken

Ha két irodában vagy a rendelőben és az otthoni irodában is MikroTik router van, a két belső hálózatot WireGuard-alagúttal lehet összekötni. A leírás a RouterOS 7-hez készült, és a MikroTik hivatalos dokumentációjának példáját követi.

A példa hálózata

	A iroda	B iroda
Nyilvános cím	203.0.113.10	198.51.100.20
Belső hálózat	10.1.1.0/24	10.1.2.0/24
Alagútcím	10.255.255.1/30	10.255.255.2/30

A két irodában nem lehet azonos a belső hálózat. Sok router alapból ugyanazt használja, ezért ezt ellenőrizze először.

1. WireGuard interfész mindkét routeren

/interface/wireguard
add listen-port=13231 name=wireguard1
print

A print kiírja a kulcsokat. A másik routernek csak a nyilvános kulcsot adja meg, a privát kulcs maradjon az eszközön.

2. A másik fél felvétele

Az A irodában:

/interface/wireguard/peers
add interface=wireguard1 public-key="B_IRODA_NYILVANOS_KULCSA" \
  endpoint-address=198.51.100.20 endpoint-port=13231 \
  allowed-address=10.1.2.0/24,10.255.255.2/32 persistent-keepalive=25s

A B irodában:

/interface/wireguard/peers
add interface=wireguard1 public-key="A_IRODA_NYILVANOS_KULCSA" \
  endpoint-address=203.0.113.10 endpoint-port=13231 \
  allowed-address=10.1.1.0/24,10.255.255.1/32 persistent-keepalive=25s

3. Cím és útvonal

Az A irodában:

/ip/address
add address=10.255.255.1/30 interface=wireguard1
/ip/route
add dst-address=10.1.2.0/24 gateway=wireguard1

A B irodában:

/ip/address
add address=10.255.255.2/30 interface=wireguard1
/ip/route
add dst-address=10.1.1.0/24 gateway=wireguard1

4. Tűzfal

Az alap RouterOS-tűzfal blokkolja az alagutat, ezért a szabályokat a tiltó szabályok elé kell tenni. Az A irodában, a B iroda oldalán értelemszerűen fordított címekkel:

/ip/firewall/filter
add chain=input action=accept protocol=udp dst-port=13231 \
  src-address=198.51.100.20 comment="WireGuard B iroda" place-before=1
add chain=forward action=accept src-address=10.1.1.0/24 \
  dst-address=10.1.2.0/24 comment="A-bol B-be" place-before=1
add chain=forward action=accept src-address=10.1.2.0/24 \
  dst-address=10.1.1.0/24 comment="B-bol A-ba" place-before=1

Ha a fenti place-before=1 nem megfelelő helyre teszi a szabályt, ellenőrizze a sorrendet a /ip/firewall/filter print paranccsal.

Ellenőrzés és gyakori hibák

• Kapcsolat: a /interface/wireguard/peers print detail parancsnál látszania kell a legutóbbi kézfogásnak.
• Ping: először az alagútcímet (10.255.255.2), utána a másik iroda belső gépét próbálja.
• NAT: ha az egyik router szolgáltatói router mögött van, ott is engedni kell az UDP 13231-es portot, vagy az a fél kezdeményezzen a keepalive beállítással.
• Dinamikus IP: ilyenkor az endpoint-address helyére DNS-név kerüljön.
• Windows-tűzfal: a másik hálózatból érkező pinget a gép saját tűzfala is tilthatja.

A példát élesítés előtt mindig igazítsa a saját hálózatához, és ne távolról állítson át olyan szabályt, amellyel kizárhatja magát.

Ha nem szeretne ezzel bajlódni, a telephelyek összekötését és a távoli elérést mi is beállítjuk. Részletek itt.

Források

• MikroTik dokumentáció: WireGuard