Unifi Security Gateway (USG) & Wireguard

[Verwijderd]

Omdat Ubiquiti helaas geen andere VPN support gaat toevoegen aan hun USG3 én Android 12 geen L2TP VPN meer ondersteund, moet ik derhalve wat gaan verzinnen om nog te kunnen VPN-en vanaf mijn mobiel naar mijn USG.

Tijdens mijn zoektocht kwam ik uit op Wireguard op de USG te installeren via de CLI.
Prima, sounds simple enough. Maar helaas loop ik wat vast.
Wie ziet waar de crux zit?

Stappen tot nu toe doorlopen (gevonden via https://community.roonlab...ard-on-a-unifi-usg/124477)

code:

curl -OL https://github.com/WireGuard/wireguard-vyatta-ubnt/releases/download/1.0.20220627-1/ugw3-v1-v1.0.20220627-v1.0.20210914.deb
sudo dpkg -i ugw3-v1-v1.0.20220627-v1.0.20210914.deb

#create tunnel secrets
cd /config/auth
umask 077
wg genkey | tee /config/auth/wg.key | wg pubkey >  wg.public


# Set the USG into configuration Mode
configure

# We start, by creating a new Network space for our side of the VPN - subnet/IP outside of existing scope.
set interfaces wireguard wg0 address 192.168.9.1/32 

# Configure the Port Wireguard will be listening with
set interfaces wireguard wg0 listen-port 51820 

# Allow this interface to forward the traffic over our tunnel
set interfaces wireguard wg0 route-allowed-ips true

# Now, we need to tell the interface the address of the far side of the bridge
# And also the password to allow us connect
set interfaces wireguard wg0 private-key /config/auth/wg.key

# Set up the allowed peers (ie. clients).
set interfaces wireguard wg0 peer <wg.public> allowed-ips 0.0.0.0/0

# Setting up the firewall rules
set firewall name WAN_LOCAL rule 20 action accept
set firewall name WAN_LOCAL rule 20 protocol udp
set firewall name WAN_LOCAL rule 20 description 'WireGuard VPN'
set firewall name WAN_LOCAL rule 20 destination port 51820

# Make the changes active, save them and exit configuration mode
commit
save
exit

Heb voor 0.0.0.0/0 gekozen omdat mijn mobiel geen fixed IP heeft.

Wanneer ik nu een commit doe, krijg ik de volgende foutmelding:

code:

Error: Allowed IP default on interface wg0 peer <wg.public> conflicts with an existing route. route-allowed-ips cannot be enabled.

De volgende routes zie ik terug in mijn USG:
(waarbij 001.002.003.x) mijn public IP is.(VLANID# is een getal).

code:

root@USG# route -v
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         1-003-002-001.ft 0.0.0.0         UG    0      0        0 eth0.VLANID#
10.0.10.0        *               255.255.255.0   U     0      0        0 eth2
loopback        *               255.0.0.0       U     0      0        0 lo
001.002.003.0    *               255.255.240.0   U     0      0        0 eth0.VLANID#
192.168.1.0     *               255.255.255.0   U     0      0        0 eth1

Nog niks op de mobiel gedaan, eerst zal de config naar de USG moeten committen.
Later komt nog de .JSON file zodat het persistent wordt.
Maar zover ben ik dus nog niet.
Wie oh wie heeft een scherp oog voor me?

[mfkne]

Dat had ik ook, mede daarom ben ik over op een pfSense op een VM.

[Verwijderd]

mfkne schreef op dinsdag 7 maart 2023 @ 12:24:
Dat had ik ook, mede daarom ben ik over op een pfSense op een VM.

Die mogelijkheid heb ik helaas niet.

[EnricovD]

Het eerste adres in een route tabel is (bijna) altijd 0.0.0.0/0 dus die is in gebruik, het klopt dus dat je daar een foutmelding op krijgt…

WireGuard werkt net anders dan een “normale” VPN en meer als OpenVPN, dit wil dus zeggen dat je altijd met een client configuratiebestand werkt. In dit configuratiebestand geef je de client alvast een eigen tunnel adres (in die 192.168.9.1/32 reeks). Dus je weet van tevoren al wel het client adres…

[Verwijderd]

Helder, dank.
Daarmee idd gelukt.
Al is dit geen full tunnel, maar een split tunnel.
Voor een full tunnel moet toch wel 0.0.0.0/0 in de config (lees ik overal).
Maar eens verder zoeken hoe dat te realiseren is. Full tunnel heeft wel de voorkeur.

Mobiel geconfigureerd met behulp van:
https://www.smarthomebegi...ard-android-client-setup/
(Manual config)

Voor wie dit topic vind en tegen hetzelfde aanloopt, dit is mijn config uiteindelijk geworden:
@mfkne kun jij wellicht nog gebruiken en van je VM afscheid nemen?

De firewall rules heb ik via de Unifi Controller aangemaakt:
Internet Rule
- Accept Rule
- UDP
- Source: Any/Any
- Destination: Port/IP Group
- IPv4 Address Group: Any
- (Nieuwe groep gemaakt voor WireGuard VPN (port 51820) en die geselecteerd.

In de USG zelf:

code:

sudo su
curl -OL https://github.com/WireGuard/wireguard-vyatta-ubnt/releases/download/1.0.20220627-1/ugw3-v1-v1.0.20220627-v1.0.20210914.deb
sudo dpkg -i ugw3-v1-v1.0.20220627-v1.0.20210914.deb

#create tunnel secrets
cd /config/auth
umask 077
wg genkey | tee /config/auth/wg.key | wg pubkey >  wg.public


# Set the USG into configuration Mode
configure

# We start, by creating a new Network space for our side of the VPN
set interfaces wireguard wg0 address 192.168.9.1/32

# Configure the Port Wireguard will be listening with
set interfaces wireguard wg0 listen-port 51820 

# Allow this interface to forward the traffic over our tunnel
set interfaces wireguard wg0 route-allowed-ips true

# Now, we need to tell the interface the address of the far side of the bridge
# And also the password to allow us connect
set interfaces wireguard wg0 private-key /config/auth/wg.key

# Set up the allowed peers (ie. clients).
set interfaces wireguard wg0 peer <PUBLIC KEY FROM SMARTPHONE> allowed-ips 192.168.9.2/32

# Make the changes active, save them and exit configuration mode
commit
save
exit

En verder nog een JSON file gemaakt:

code:

{
  "interfaces": {
    "wireguard": {
      "wg0": {
        "address": [
          "192.168.9.1/32"
        ],
        "firewall": {
          "in": {
            "name": "LAN_IN"
          },
          "local": {
            "name": "LAN_LOCAL"
          },
          "out": {
            "name": "LAN_OUT"
          }
        },
        "listen-port": "51820",
        "peer": [{
          "<CLIENT PUBLIC KEY>": { 
            "allowed-ips": [
              "192.168.9.2/32"
            ]
          }
        }],
        "private-key": "/config/auth/wg.key",
        "route-allowed-ips": "true"
      }
    }
  }
}

Zodat het ook een reboot overleefd. Wel zo makkelijk.

[ Voor 6% gewijzigd door Verwijderd op 08-03-2023 11:44 ]

[boomer21]

Hoop dat ik vraag hier mag stellen,
Je maak 4 key-pairs

Sever public en private
Client public en private

Probeer de wireguard iphone app werkend te krijgen.

Daar moet je de public van de client invoeren en wil de app zelf een private generen.

Maar de usg ( dus ook edgerouter) heeft er ook al 1 gemaakt.

Iemand die dit al voor mekaar heeft?

[Tarquin]

Toevallig staat er op het unifi forum ook net een topic over:


https://unifi-forum.nl/on...p-vs-raspberry-pi-4.4731/

[boomer21]

Mooi ga proberen.

[phubert]

Is er iemand die een config.gateway.json beschikbaar heeft met remote access (4) & site to site vpn (2), ik krijg het maar niet werkend zonder dat de USG in een bootloop terecht komt. Ergens gaat er iets fout. Alvast bedankt!

[m-snel]

Reactie op een oud bericht, maar misschien heb je hier iets aan Unifi Security Gateway (USG-3P) instellen met Wireguard