Wireguard configuratie R-Pi

[streamnl]

Ik "kaap" even dit topic weg zodat ik de Pi-Hole topic niet te veel vervuil.

Sinds enkele dagen heb ik WireGuard op mijn Raspberry draaien. En ik ben erg tevreden. Ik had gehoopt dat dit zou werken op mijn werk zodat ik ook op mijn werk gebruik kan maken van Pi-Hole.
Helaas. WireGuard maakt verbinding maar de pagina's laden niet.

Ik ben (nog) geen held hiermee dus mijn excuses voor de eventuele noobgehalte.

Wat ik het eerst heb gedaan, is gekeken of de standaard poort 51820 open zou zijn. Dat was niet.
Nu heb ik (thuis) wireguard opnieuw geïnstalleerd en poort 443 gebruikt. Ik weet dat die wel open staat op mijn werk.


Als ik in het config bestand kijk zie ik het volgende:
(de #### heb ik veranderd voor logische redenen...)

[Interface]
PrivateKey = #####
Address = #####/24
DNS = #####

[Peer]
PublicKey = #####
PresharedKey = #####
AllowedIPs = 0.0.0.0/0
Endpoint = #####:443

Wat ik niet snap... poort 443 is bij de Endpoint. Ik neem aan dat dit bij mij is. Aangezien ik de poort hiervoor moest openen.
Maar begrijp ik nu goed dat hij poort 24 gebruikt bij het "verlaten" van mijn MAcbook?
Zo ja, kan ik dat gewoon aanpassen? Zo nee, waar moet ik dan kijken?

Ik dank jullie alvast voor de antwoorden en reacties!!

[Thralas]

streamnl schreef op maandag 2 maart 2020 @ 20:08:
Wat ik niet snap... poort 443 is bij de Endpoint. Ik neem aan dat dit bij mij is. Aangezien ik de poort hiervoor moest openen.

Wat bedoel je 'bij mij'? - je vertelt ons nergens expliciet of dit de config van de RPi of de Macbook. Ik neem aan die laatse.

Het is het poortnummer van de desbetreffende peer. In dit geval dus van de Raspberry Pi.

Maar begrijp ik nu goed dat hij poort 24 gebruikt bij het "verlaten" van mijn MAcbook?
Zo ja, kan ik dat gewoon aanpassen? Zo nee, waar moet ik dan kijken?

Nee, dat is een netmask. De lokale poort volgt uit ListenPort in de Interface-sectie.

Als de originele poort niet werkt dan is het onwaarschijnlijk dat 443 wel zou werken. Wireguard gebruikt UDP, niet TCP. Hoewel TCP 443 alom gebruikt wordt, is er geen enkele zinnige reden waarom UDP 443 wél zou werken als een hoge poort niet werkt.

Datzelfde geldt ook voor het aanpassen van de source port. De kans dat die relevant wordt geacht door een firewall is niet heel groot - die kijken voor het eerste pakketje van een 'verbinding' meestal enkel naar de destination.

Je kunt dan beter poort 53 gebruiken (DNS). Die is nog het vaakst gewhitelist. Maar als het specifiek op je werk niet werkt dan zou ik even nagaan of het de bedoeling is dat je VPN-verbindingen opzet naar huis, zoja, dan kunnen ze vast ook wel een poortje openzetten

[streamnl]

Thralas schreef op maandag 2 maart 2020 @ 21:44:

Wat bedoel je 'bij mij'? - je vertelt ons nergens expliciet of dit de config van de RPi of de Macbook. Ik neem aan die laatse.

Inderdaad in de Macbook.

Het is het poortnummer van de desbetreffende peer. In dit geval dus van de Raspberry Pi.


Nee, dat is een netmask. De lokale poort volgt uit ListenPort in de Interface-sectie.

Als de originele poort niet werkt dan is het onwaarschijnlijk dat 443 wel zou werken. Wireguard gebruikt UDP, niet TCP. Hoewel TCP 443 alom gebruikt wordt, is er geen enkele zinnige reden waarom UDP 443 wél zou werken als een hoge poort niet werkt.

Datzelfde geldt ook voor het aanpassen van de source port. De kans dat die relevant wordt geacht door een firewall is niet heel groot - die kijken voor het eerste pakketje van een 'verbinding' meestal enkel naar de destination.

Je kunt dan beter poort 53 gebruiken (DNS). Die is nog het vaakst gewhitelist. Maar als het specifiek op je werk niet werkt dan zou ik even nagaan of het de bedoeling is dat je VPN-verbindingen opzet naar huis, zoja, dan kunnen ze vast ook wel een poortje openzetten

Bedankt voor je uitleg. Ik ben weer ietsje wijzer.

ICT wil geen poort openzetten hiervoor. Helaas. Enkele betaalde VPN werken wel maar hiermee krijg ik geen verbinding met mijn Pi-Hole.
Zover ik weet zijn de sites die ik bezoek niet geblokkeerd. Tenminste, ik ben in al die jaren nog geen site tegengekomen waar ik niet op kon. Ik hoef ook niet in een "ander land" te zijn, het enige wat ik heel graag wil, is gebruik maken van mijn Pi-Hole thuis. En ik had gehoopt dat het met WireGuard wel zou lukken.
Helaas, we zoeken rustig verder.
Nogmaals bedankt voor je uitleg.

[ Voor 18% gewijzigd door streamnl op 03-03-2020 06:58 ]

[SkylerNL]

Op je werk hoeft er geen poort open gezet te worden om verbinding te maken naar je thuis VPN. In jou situatie zal je dus poort 443(UDP) thuis moeten forwarden naar je raspberrypi.

Ik zal mijn configuratie posten voor je ter referentie.

Server configuratie:

code:

[Interface]
Address = 192.168.200.1/24 #willekeurig ip adres deze range wordt alleen in de tunnel gebruikt.
SaveConfig = true
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o <Interface> -j MASQUERADE
PostUp = iptables -A FORWARD -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o <Interface> -j MASQUERADE
PostDown = iptables -D FORWARD -o %i -j ACCEPT
ListenPort = 12345
PrivateKey = ######

[Peer]
PublicKey = #####
AllowedIPs = 192.168.200.11/32
PersistentKeepalive = 60

Client configuratie:

code:

[Interface]
Address = 192.168.200.11/24
PrivateKey = ######
DNS = 192.168.178.200#Mijn pihole ip.

[Peer] #Dit is de server
PublicKey = ######
Endpoint = <Thuis public IP>:12345
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 60

Hoop dat je hiermee iets verder kunt.

Edit: In mijn geval heb ik dus thuis de poort 12345 geforward naar mijn raspberrypi.

[ Voor 70% gewijzigd door SkylerNL op 03-03-2020 09:43 ]