Wireguard client werkt pas na reboot server

[Kasper1985]

Mijn vraag
Ik heb een wireguard server draaien bij Vultr. Voornamelijk voor mijn thuis server als client. Dit is een Ubuntu 18 intel NUC.
Op deze Ubuntu 18 zou Wireguard automatisch moeten verbinden met de server bij het booten. Dit gebeurt ook alleen dan kan de NUC niet pingen. DNS werkt prima met bijvoorbeeld dig. Maar pingen naar 8.8.8.8 of 1.1.1.1 bijvoorbeeld werkt niet en geeft alleen maar timeouts.

Als de NUC eenmaal verbinding heeft werkt het prima maar dit lukt vaak pas nadat ik de server heb gereboot en wireguard daar opnieuw heb opgestart met wg-quick up [interface]

Ik weet dat WG nog vrij nieuw is en ben er vooral mee aan het experimenteren maar deze issues zijn vrij recent pas ontstaan zonder dat ik iets aan de config heb gewijzigd.

Relevante software en hardware die ik gebruik
Server in de cloud bij Vultr Ubuntu 18

Ubuntu server 18 op een intel NUC

Op beide machines de meest recente versie van WG

Wat ik al gevonden of geprobeerd heb
Persistant keepalive staat aan op de client. Verder niks kunnen ontdekken aan de config bestanden.

HIer wel op gegoogled maar kom niks tegen wat het verhelpt of wat mij verder helpt om te troubleshooten. Vooral omdat het vaak wel werkt na reboot is het lastig te vinden waar het zit.

Met de AllowedIP's en IPtable regels ben ik aan het experimenteren. Maar heb ik recent niet iets aan gewijzigd wat dit zou verklaren. Het was een poging om vanaf mijn mobiel mijn thuis netwerk op 192.168.1.0/24 te kunnen benaderen tot nu toe zonder succes.

Server config:

kasper@AMSVPN:/etc/wireguard$ sudo cat wg0.conf
[Interface]
Address = 192.168.50.1/22
SaveConfig = true
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostUp = iptables -t nat -A PREROUTING -i ens3 -d [server IP] -p tcp --dport 443 -j DNAT --to-destination 192.168.50.2:443
PostUp = iptables -t nat -A PREROUTING -i ens3 -d [server IP] -p tcp --dport 32400 -j DNAT --to-destination 192.168.50.2:32400
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -t nat -A PREROUTING -i ens3 -d [server IP] -p tcp --dport 443 -j DNAT --to-destination 192.168.50.2:443
PostDown = iptables -t nat -D PREROUTING -i ens3 -d [server IP] -p tcp --dport 32400 -j DNAT --to-destination 192.168.50.2:32400
ListenPort = 51820
PrivateKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXx

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXX
AllowedIPs = 192.168.50.2/32
Endpoint = [Thuis IP]:51820

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
AllowedIPs = 192.168.50.10/32
Endpoint = [Thuis IP]:51820

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
AllowedIPs = 192.168.50.6/32
Endpoint = [Thuis IP]:62743

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
AllowedIPs = 192.168.150.4/32, 192.168.50.0/24, 192.168.1.0/24, 192.168.20.0/24
Endpoint = [Thuis IP]:1024

Client Config:

[Interface]
Address = 192.168.50.2/32
SaveConfig = true
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eno1 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eno1 -j MASQUERADE
ListenPort = 51820
FwMark = 0xca6c
PrivateKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
AllowedIPs = 0.0.0.0/0
Endpoint = Server IP:51820
PersistentKeepalive = 25

[Kasper1985]

Dit is het resultaat van het wg show commando. Op dit moment kan ik niet naar buiten pingen vanaf de client. En ook 192.168.50.1 (de gateway/server) kan ik niet pingen.

Als ik nu met mijn telefoon verbind heb ik gewoon verbinding. Dus het lijkt er toch sterk op dat het iets in de client config is

interface: wg0
public key: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXx
private key: (hidden)
listening port: 51820
fwmark: 0xca6c

peer: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
endpoint: server IP:51820
allowed ips: 0.0.0.0/0
latest handshake: 1 hour, 28 minutes, 3 seconds ago
transfer: 3.86 GiB received, 148.93 MiB sent
persistent keepalive: every 20 seconds

[Thralas]

Waarom is je netmask /32 op de client? Wat geeft `ip route get 192.168.50.1`?

[Kasper1985]

@Thralas Dank voor je reactie. Op dit moment werkt het weer (de vraag is hoe lang) heb de server gereboot.

Oh netmask... dat heb ik zo overgenomen van een tutorial online. Ging ervanuit dat dat goed was.

ip route get 192.168.50.1
192.168.50.1 dev wg0 src 192.168.50.2 uid 1000
cache

[ Voor 20% gewijzigd door Kasper1985 op 08-10-2019 19:32 ]

[Thralas]

Dus als je de client verder niet aanraakt gaat het alsnog stuk, en de reboot verhelpt het tijdelijk?

Firewall op de server? Tijd overal in orde?

Post anders even van twee kanten:

ip route show table all; ip addr show; ip rule show; iptables-save; ip netconf; wg;

Bij voorkeur tussen code-tags dan is het nog leesbaar ook

[Kasper1985]

Dat klopt. Ik doe verder niks met mijn thuis server (de client) en na een tijdje stopt het gewoon met werken. Dat is toevallig net weer gebeurt. De client (thuis server) is nog gewoon via SSH te benaderen. Lokaal netwerk lijkt in orde te zijn. Maar kan niks meer pingen. DNS werkt gek genoeg nog wel

Hoop dat het zo goed gaat met de tags. Heb dat nooit eerder gedaan.

Server:

 default via 108.61.164.1 dev ens3 src 108.61.167.29 metric 202 
108.61.164.0/22 dev ens3 proto kernel scope link src 108.61.167.29 metric 202 
169.254.0.0/16 via 108.61.164.1 dev ens3 proto static metric 100 
169.254.169.254 via 108.61.164.1 dev ens3 src 108.61.167.29 metric 202 
192.168.48.0/22 dev wg0 proto kernel scope link src 192.168.50.1 
broadcast 108.61.164.0 dev ens3 table local proto kernel scope link src 108.61.167.29 
local 108.61.167.29 dev ens3 table local proto kernel scope host src 108.61.167.29 
broadcast 108.61.167.255 dev ens3 table local proto kernel scope link src 108.61.167.29 
broadcast 127.0.0.0 dev lo table local proto kernel scope link src 127.0.0.1 
local 127.0.0.0/8 dev lo table local proto kernel scope host src 127.0.0.1 
local 127.0.0.1 dev lo table local proto kernel scope host src 127.0.0.1 
broadcast 127.255.255.255 dev lo table local proto kernel scope link src 127.0.0.1 
broadcast 192.168.48.0 dev wg0 table local proto kernel scope link src 192.168.50.1 
local 192.168.50.1 dev wg0 table local proto kernel scope host src 192.168.50.1 
broadcast 192.168.51.255 dev wg0 table local proto kernel scope link src 192.168.50.1 
local ::1 dev lo proto kernel metric 256 pref medium
fe80::/64 dev ens3 proto kernel metric 256 pref medium
local ::1 dev lo table local proto kernel metric 0 pref medium
local fe80::5400:2ff:fe09:710f dev ens3 table local proto kernel metric 0 pref medium
ff00::/8 dev ens3 table local metric 256 pref medium
ff00::/8 dev wg0 table local metric 256 pref medium
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether 56:00:02:09:71:0f brd ff:ff:ff:ff:ff:ff
    inet 108.61.167.29/22 brd 108.61.167.255 scope global ens3
       valid_lft forever preferred_lft forever
    inet6 fe80::5400:2ff:fe09:710f/64 scope link 
       valid_lft forever preferred_lft forever
3: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none 
    inet 192.168.50.1/22 brd 192.168.51.255 scope global wg0
       valid_lft forever preferred_lft forever
0:	from all lookup local 
32766:	from all lookup main 
32767:	from all lookup default 
Failed to list table names in /proc/net/ip_tables_names: Permission denied
ipv4 dev lo forwarding on rp_filter off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev ens3 forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev wg0 forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 all forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 default forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev lo forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev ens3 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev wg0 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 all forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 default forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
Unable to access interface wg0: Operation not permitted
kasper@AMSVPN:/etc/wireguard$ ping 1.1.1.1
PING 1.1.1.1 (1.1.1.1) 56(84) bytes of data.
64 bytes from 1.1.1.1: icmp_seq=1 ttl=60 time=0.822 ms
64 bytes from 1.1.1.1: icmp_seq=2 ttl=60 time=0.870 ms
64 bytes from 1.1.1.1: icmp_seq=3 ttl=60 time=0.926 ms
^C
--- 1.1.1.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2010ms
rtt min/avg/max/mdev = 0.822/0.872/0.926/0.054 ms
kasper@AMSVPN:/etc/wireguard$ sudo ip route show table all; ip addr show; ip rule show; iptables-save; ip netconf; wg;
[sudo] password for kasper: 
default via 108.61.164.1 dev ens3 src 108.61.167.29 metric 202 
108.61.164.0/22 dev ens3 proto kernel scope link src 108.61.167.29 metric 202 
169.254.0.0/16 via 108.61.164.1 dev ens3 proto static metric 100 
169.254.169.254 via 108.61.164.1 dev ens3 src 108.61.167.29 metric 202 
192.168.48.0/22 dev wg0 proto kernel scope link src 192.168.50.1 
broadcast 108.61.164.0 dev ens3 table local proto kernel scope link src 108.61.167.29 
local 108.61.167.29 dev ens3 table local proto kernel scope host src 108.61.167.29 
broadcast 108.61.167.255 dev ens3 table local proto kernel scope link src 108.61.167.29 
broadcast 127.0.0.0 dev lo table local proto kernel scope link src 127.0.0.1 
local 127.0.0.0/8 dev lo table local proto kernel scope host src 127.0.0.1 
local 127.0.0.1 dev lo table local proto kernel scope host src 127.0.0.1 
broadcast 127.255.255.255 dev lo table local proto kernel scope link src 127.0.0.1 
broadcast 192.168.48.0 dev wg0 table local proto kernel scope link src 192.168.50.1 
local 192.168.50.1 dev wg0 table local proto kernel scope host src 192.168.50.1 
broadcast 192.168.51.255 dev wg0 table local proto kernel scope link src 192.168.50.1 
local ::1 dev lo proto kernel metric 256 pref medium
fe80::/64 dev ens3 proto kernel metric 256 pref medium
local ::1 dev lo table local proto kernel metric 0 pref medium
local fe80::5400:2ff:fe09:710f dev ens3 table local proto kernel metric 0 pref medium
ff00::/8 dev ens3 table local metric 256 pref medium
ff00::/8 dev wg0 table local metric 256 pref medium
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether 56:00:02:09:71:0f brd ff:ff:ff:ff:ff:ff
    inet 108.61.167.29/22 brd 108.61.167.255 scope global ens3
       valid_lft forever preferred_lft forever
    inet6 fe80::5400:2ff:fe09:710f/64 scope link 
       valid_lft forever preferred_lft forever
3: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none 
    inet 192.168.50.1/22 brd 192.168.51.255 scope global wg0
       valid_lft forever preferred_lft forever
0:	from all lookup local 
32766:	from all lookup main 
32767:	from all lookup default 
Failed to list table names in /proc/net/ip_tables_names: Permission denied
ipv4 dev lo forwarding on rp_filter off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev ens3 forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev wg0 forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 all forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 default forwarding on rp_filter strict mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev lo forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev ens3 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev wg0 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 all forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 default forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
Unable to access interface wg0: Operation not permitted

wg:

interface: wg0
  public key: XXXXXXXXXXXXXXXXXXXXXXXXXXXXX
  private key: (hidden)
  listening port: 51280

peer: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
  endpoint: [Thuis IP]:51820
  allowed ips: 192.168.50.2/32
  latest handshake: 36 minutes, 24 seconds ago
  transfer: 269.14 KiB received, 470.65 KiB sent

peer: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
  allowed ips: 192.168.50.6/32, 192.168.50.0/24

Client:

 default via 192.168.1.1 dev eno1 proto static 
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1 linkdown 
172.18.0.0/16 dev br-1239fd781f8a proto kernel scope link src 172.18.0.1 
192.168.1.0/24 dev eno1 proto kernel scope link src 192.168.1.6 
broadcast 127.0.0.0 dev lo table local proto kernel scope link src 127.0.0.1 
local 127.0.0.0/8 dev lo table local proto kernel scope host src 127.0.0.1 
local 127.0.0.1 dev lo table local proto kernel scope host src 127.0.0.1 
broadcast 127.255.255.255 dev lo table local proto kernel scope link src 127.0.0.1 
broadcast 172.17.0.0 dev docker0 table local proto kernel scope link src 172.17.0.1 linkdown 
local 172.17.0.1 dev docker0 table local proto kernel scope host src 172.17.0.1 
broadcast 172.17.255.255 dev docker0 table local proto kernel scope link src 172.17.0.1 linkdown 
broadcast 172.18.0.0 dev br-1239fd781f8a table local proto kernel scope link src 172.18.0.1 
local 172.18.0.1 dev br-1239fd781f8a table local proto kernel scope host src 172.18.0.1 
broadcast 172.18.255.255 dev br-1239fd781f8a table local proto kernel scope link src 172.18.0.1 
broadcast 192.168.1.0 dev eno1 table local proto kernel scope link src 192.168.1.6 
local 192.168.1.6 dev eno1 table local proto kernel scope host src 192.168.1.6 
broadcast 192.168.1.255 dev eno1 table local proto kernel scope link src 192.168.1.6 
fe80::/64 dev eno1 proto kernel metric 256 pref medium
local fe80::96c6:91ff:fea5:f302 dev eno1 table local proto kernel metric 0 pref medium
ff00::/8 dev eno1 table local metric 256 pref medium
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 94:c6:91:a5:f3:02 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.6/24 brd 192.168.1.255 scope global eno1
       valid_lft forever preferred_lft forever
    inet6 fe80::96c6:91ff:fea5:f302/64 scope link 
       valid_lft forever preferred_lft forever
3: wlp0s20f3: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether 04:d3:b0:fb:15:44 brd ff:ff:ff:ff:ff:ff
4: br-1239fd781f8a: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:58:21:2f:5c brd ff:ff:ff:ff:ff:ff
    inet 172.18.0.1/16 brd 172.18.255.255 scope global br-1239fd781f8a
       valid_lft forever preferred_lft forever
5: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:4c:87:54:aa brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
7: vethe348eac@if6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 92:07:4c:7f:6e:77 brd ff:ff:ff:ff:ff:ff link-netnsid 11
9: veth4a5ad8c@if8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 76:77:a8:cb:cf:34 brd ff:ff:ff:ff:ff:ff link-netnsid 10
11: veth1777030@if10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether da:be:06:88:c1:21 brd ff:ff:ff:ff:ff:ff link-netnsid 1
13: vethfcb6c1a@if12: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether aa:a4:6a:a4:4f:70 brd ff:ff:ff:ff:ff:ff link-netnsid 3
15: veth41a9b8b@if14: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 76:3d:53:05:bb:85 brd ff:ff:ff:ff:ff:ff link-netnsid 9
17: veth546ace7@if16: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether d2:5c:74:26:32:1f brd ff:ff:ff:ff:ff:ff link-netnsid 12
19: veth9e3c0c6@if18: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether a2:7d:bc:7f:72:6d brd ff:ff:ff:ff:ff:ff link-netnsid 0
21: veth06510d3@if20: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 16:f8:f6:8b:d4:ff brd ff:ff:ff:ff:ff:ff link-netnsid 7
23: veth8d9a567@if22: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether b2:6d:68:fc:28:4d brd ff:ff:ff:ff:ff:ff link-netnsid 2
25: vethc58c35e@if24: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 1e:89:9f:a2:4b:e6 brd ff:ff:ff:ff:ff:ff link-netnsid 6
27: veth8d9755b@if26: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 76:8a:35:77:5b:dd brd ff:ff:ff:ff:ff:ff link-netnsid 13
29: veth935c0d8@if28: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 8a:87:94:b1:02:e1 brd ff:ff:ff:ff:ff:ff link-netnsid 4
31: veth22f5a9a@if30: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether da:06:fc:13:70:50 brd ff:ff:ff:ff:ff:ff link-netnsid 8
33: vethbdd9568@if32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-1239fd781f8a state UP group default 
    link/ether 4a:03:66:f4:51:78 brd ff:ff:ff:ff:ff:ff link-netnsid 5
0:	from all lookup local 
32766:	from all lookup main 
32767:	from all lookup default 
Failed to list table names in /proc/net/ip_tables_names: Permission denied
ipv4 dev lo forwarding on rp_filter off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev eno1 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev wlp0s20f3 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev br-1239fd781f8a forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev docker0 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev vethe348eac forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth4a5ad8c forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth1777030 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev vethfcb6c1a forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth41a9b8b forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth546ace7 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth9e3c0c6 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth06510d3 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth8d9a567 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev vethc58c35e forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth8d9755b forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth935c0d8 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev veth22f5a9a forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 dev vethbdd9568 forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 all forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv4 default forwarding on rp_filter loose mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev lo forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev eno1 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev wlp0s20f3 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev br-1239fd781f8a forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev docker0 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev vethe348eac forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth4a5ad8c forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth1777030 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev vethfcb6c1a forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth41a9b8b forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth546ace7 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth9e3c0c6 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth06510d3 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth8d9a567 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev vethc58c35e forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth8d9755b forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth935c0d8 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev veth22f5a9a forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 dev vethbdd9568 forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 all forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 
ipv6 default forwarding off mc_forwarding off proxy_neigh off ignore_routes_with_linkdown off 

[ Voor 18% gewijzigd door Kasper1985 op 08-10-2019 20:16 ]

[Thralas]

Er staat een hoop 'permission denied' tussen.

En je code tags kloppen niet

[Kasper1985]

@Thralas Zo kloppen de tags. En heb wg apart gedaan die bleef permission denied geven.

Op dit moment werkt het dus niet. Kan niks pingen etc. geen aanleiding te verzinnen.

Firewall op de server zelf staat uit. Vultr biedt een firewall in hun web interface. Daar staat (vrijwel) alles dicht behalve SSH vanaf mijn IP en de wireguard poort

[Thralas]

Je hebt geen expliciete route voor 192.168.50.0/22 op je server en reverse path filtering staat op strict.

Is dat 'm niet? Waarom staat rp_filter op strict? En voegt wg-up die route niet voor je toe?

Verder staan er dus nog steeds permissions denieds, handiger als je het gewoon als root uitvoert - we gaan er dan maar vanuit dat de firewall inderdaad uitstaat..

[Kasper1985]

@Thralas Dankjewel! . Dit is een default VM van Vultr met Ubuntu server 18 LTS. Ik heb aan

 rp_filter strict

niks aangepast bij mijn weten.

Volgens mij zou Wireguard inderdaad de nodige routes moeten aanmaken. Ook dat is niet iets wat ik wel of niet handmatig heb gedaan.

Alles wat ik op deze server heb gedaan is
-nieuwe user aanmaken
-user toevoegen aan sudo
-root SSH inlog uitschakelen
-wireguard installeren
-wireguard opzetten mbv bijvoorbeeld:
https://www.stavros.io/posts/how-to-configure-wireguard/
https://securityespresso....sing-wireguard-on-ubuntu/

Ik ga volgende week naar een bruiloft op Bali, Indonesie. Alles wat mijn bedoeling was was dat ik:

1. beschermd ben op wazige wifi netwerkjes in koffie zaakjes ed
2. Voor bepaalde doeleinden een Nederlands IP heb
3. Gemakkelijk even bij m'n thuis server kan zonder allerlei poorten open te zetten

Voor dat laatste is het dus noodzakelijk dat m'n thuis server constant verbonden blijft met de server

[Kasper1985]

@Thralas

Koppig en eigenwijs doorgegaan met experimenteren. Nieuwe server opgezet config vanaf 0 weer opnieuw opgebouwd aan beide kanten.

De nieuwe server (bij een andere VPS provider) is nu al behoorlijke tijd stabiel verbonden. Ik heb nu aan zowel client als server kant een

PersistentKeepalive = 25

toegevoegd.

Het lijkt erop dat dit helpt om de verbinding up te houden.

In geen enkel artikel kom ik tegen om dit aan beide kanten te doen. Maar misschien heeft het te maken met het gebruik van de "cloud firewall" van de VPS provider

[Thralas]

Ik kan me niet voorstellen dat die firewall problemen zou opleveren (want je zet een poort open richting je server, daar komt geen state aan te pas), maar het lijkt me zinvol om dat soort zaken uit te zetten als je probeert te debuggen.

Tevens maakt het niet uit wie de keepalive doet, als het maar gebeurt als je achter NAT zit.

[Kasper1985]

@Thralas

Ja dat was te vroeg gejuicht. Het blijft voorkomen.

Ik heb echt al vanalles geprobeert maar tot nu toe blijft het gebeuren.
Het blijft een zeer frustrerend iets in ieder geval.

Ik begin toch te vermoeden dat er iets in m'n thuis netwerk niet helemaal soepel loopt.