[OpenWRT] WireGuard client en iptables

[stijnos1991]

Ik probeer een site to site vpn op te zetten tussen het ouderlijk huis en mijn huis.

Mijn huis:
EdgeRouter X: LAN: 192.168.2.0/24
NAS met Wireguard 'server': 10.9.0.1 (LAN IP: 192.168.2.3)

Ouderlijk huis:
OpenWRT: LAN: 192.168.1.0/24
Wireguard 'peer' op OpenWRT: 10.9.0.4

Als ik SSH naar de OpenWRT router en de NAS op 192.168.2.3 ping werkt dat voortreffelijk. Het werkt niet als ik ping vanaf het WiFi netwerk (met een 192.168.1.X IP) in het ouderlijk huis. De VPN verbinding werkt dus wel, er is een handshake, en ik kan pingen vanaf de router. Ik vermoed dat er een iptable regel mist in de OpenWRT router die het mogelijk maakt om vanaf het reguliere LAN subnet de wireguard adapter te bereiken.
Ik ben niet helemaal thuis in de principes van chains en zones. De wireguard adapter heb ik toegevoegd aan de bestaande br-LAN zone.
Kan iemand hieruit afleiden wat ik mis? Ik post graag de configs, maar wellicht is dit al genoeg info voor de gouden tip.

[Thralas]

Twee cruciale verschillen tussen 'ping vanaf WiFi' en 'ping vanaf router' zijn de iptables chain die van toepassing is (FORWARD vs. OUTPUT) en het feit dat je in het eerste geval vanaf een heel andere IP-reeks komt (192.168.1.0/24 vs. 10.9.0.0/24)..

Check dus de verschillen qua firewalling tussen de chains en of 'Mijn huis' wel enige weet van de juiste route naar 192.168.1.0/24 heeft (namelijk via de Wireguard interface) - en waarschijnlijk eenzelfde route aan de andere zijde.

Werkt het dan nog niet, dan zou ik het vooral ook debuggen met tcpdump, kun je namelijk precies zijn waar het verkeer ophoudt door de interfaces op de route te dumpen.

[ Voor 15% gewijzigd door Thralas op 07-12-2019 16:53 ]

[stijnos1991]

Bedankt voor je antwoord! Ik denk dat de verschillen tussen de chains me steeds duidelijker worden.
Inmiddels werkt de verbinding. Het gekke is, ik heb naar mijn weten niets meer veranderd aan de configuratie, ik denk dat een reboot het uiteindelijk fixte. Het werkt nu 1 kant op (192.168.1.x --> 192.168.2.x), dus de volgende stap is om het beide kanten te laten werken. Zal wel lukken met wat gepruts.