RouterOS wireguard alleen verbinding binnen netwerk

[Amdwarrior]

Ik heb een Mikrotik router gekocht voor de rest werkt alles prima , maar 1 ding wat mij kende ongetwijfeld 1 stom ding over het hoofd heb gezien.

Ik wil dus wireguard server opstarten , 1 probleem hij werkt prima zodra ik met mijn eigen netwerk verbonden is maar vanaf buitenaf werkt het niet.
Mijn vermoeden iets met firewall instellingen.

[Amdwarrior]

Ik bedoel alleen verbinding als het in mijn eigen netwerk is verbonden via WiFi of lan

[EverLast2002]

er staat allowed address 192.168.100.2/24,
en je foon heeft 192.168.100.1/24
volgens mij gaat dat niet werken...
je kan als test de allowed address op 192.168.100.1/24 zetten en kijken of dit wel werkt.
zelf heb ik allowed address staan op 0.0.0.0/0

[lier]

Kan je een post doen van je config? Want dit leest nogal...niet.

code:

/export file=anynameyoulike

Serial en andere privé info weghalen en hier posten als code met de </> button.

[Amdwarrior]

werkt nog steeds niet.

Endpoint is ip adres van mijn internet , net gekeken

[Amdwarrior]

code:

# 2025-04-30 22:18:37 by RouterOS 7.18.2
# software id = XXXXX
#
# model = RB750Gr3
# serial number = XXXXX
/interface bridge
add admin-mac=D4:01:C3:FA:D1:28 auto-mac=no comment=defconf name=bridge
/interface wireguard
add listen-port=13231 mtu=1420 name="Mark Phone"
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
/disk settings
set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/interface wireguard peers
add allowed-address=192.168.100.1/32 interface="Mark Phone" name=peer7 \
    public-key="zd/n0uS4WdNgvf3gzo3Mzu4KkQHD34QK8myPrLfAPEo="
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
add address=192.168.88.243 interface=*A network=192.168.88.243
add address=192.168.88.10/24 interface=*8 network=192.168.88.0
add address=192.168.88.11 interface=*9 network=192.168.88.11
add address=10.64.212.196 interface=*D network=10.64.212.196
add address=192.168.100.1 interface="Mark Phone" network=192.168.100.0
/ip arp
add address=192.168.88.248 interface=bridge mac-address=1C:1B:0D:EF:2C:28
add address=192.168.88.251 interface=bridge mac-address=28:D2:44:6B:4F:FA
/ip dhcp-client
add comment=defconf default-route-tables=main interface=ether1 use-peer-dns=\
    no
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.251 \
    gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes servers=192.168.88.251
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
add action=accept chain=input comment=Wireguard dst-port=13231 protocol=udp
add action=accept chain=input comment="Home Assitant" dst-port=8123 protocol=\
    tcp
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat comment=Soulseek dst-port=58634 \
    in-interface-list=WAN protocol=tcp to-addresses=192.168.88.248 to-ports=\
    58634
add action=dst-nat chain=dstnat comment=Soulseek dst-port=58635 \
    in-interface-list=WAN protocol=tcp to-addresses=192.168.88.248 to-ports=\
    58635
add action=dst-nat chain=dstnat comment="Stable Diffusion " dst-port=3000 \
    in-interface-list=WAN protocol=tcp to-addresses=192.168.88.248 to-ports=\
    3000
add action=dst-nat chain=dstnat comment="Adguard Home" dst-port=443 \
    in-interface-list=WAN protocol=tcp to-addresses=192.168.88.248 to-ports=\
    443
add action=dst-nat chain=dstnat comment="Adguard home" dst-port=80 \
    in-interface-list=WAN protocol=tcp to-addresses=192.168.88.248 to-ports=\
    80
add action=dst-nat chain=dstnat comment="Adguard Home" dst-port=53 \
    in-interface-list=WAN protocol=udp to-addresses=192.168.88.248 to-ports=\
    53
add action=accept chain=input dst-address=192.168.88.252
add action=accept chain=srcnat out-interface="Mark Phone" src-address-list=\
    192.168.100.1/24
add action=dst-nat chain=dstnat comment=" Home assistant " dst-port=8123 \
    protocol=tcp to-addresses=192.168.88.251
/ipv6 address
add address=fc00:bbbb:bbbb:bb01::9:2c8f/128 advertise=no interface=*8
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" \
    dst-port=33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool traffic-monitor
add comment="Mark phone" interface=*D name=traf1

[lier]

Firewall filter rules worden op volgorde uitgevoerd. Dat betekent dat "add action=accept chain=input comment=Wireguard dst-port=13231 protocol=udp" voor je drop rule op de input chain moet staan. Dit geldt trouwens ook voor je Home Assistant (wil je die ook publiek aanbieden?): "add action=accept chain=input comment="Home Assitant" dst-port=8123 protocol=tcp"

Dan komt het er zo uit te zien:

code:

/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=accept chain=input comment=Wireguard dst-port=13231 protocol=udp
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN

Home Assistant heb ik er bewust even uit gelaten...

Naar aanleiding van jouw config...wil je (echt) DNS voor het hele Internet aanbieden?

code:

add action=dst-nat chain=dstnat comment="Adguard Home" dst-port=53 \
    in-interface-list=WAN protocol=udp to-addresses=192.168.88.248 to-ports=\
    53

Voor wat betreft de feedback heb ik me even beperkt tot IPv4 (met IPv6 heb ik nog niet zo veel ervaring).

[ Voor 34% gewijzigd door lier op 01-05-2025 12:20 ]

[Amdwarrior]

Okee je hebt helemaal gelijk met home assistant en dns (gebruik namelijk adguard) maar via vpn natuurlijk geen nut dus die verwijderd.

Ik gebruik grafische interface gezien leek ben in scripts.

Nu heb ik weer geen internet zodra ik via 5G probeer

[Amdwarrior]

[lier]

Er zitten nogal veel fouten in je huidige config.
Zo zou er (zonder wireguard) maar 1 IP adres ingesteld moeten zijn: 192.168.88.1). Er staan er nu zes (waarvan het grootste deel naar niet bestaande interfaces verwijst). Gooi ze, op de 88.1 na, allemaal weg.

Gooi alles onder Wireguard weg en volg deze tutorial op YouTube:
YouTube: Wireguard setup with MikroTik and your smartphone

Als je alle wijzigingen hebt gemaakt, doe dan nog een keer een export van je config om hem te controleren.

[ Voor 3% gewijzigd door lier op 01-05-2025 21:10 ]

[Amdwarrior]

code:

add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
add address=192.168.88.243 interface=*A network=192.168.88.243
add address=192.168.88.10/24 interface=*8 network=192.168.88.0
add address=192.168.88.11 interface=*9 network=192.168.88.11
add address=10.64.212.196 interface=*D network=10.64.212.196
add address=192.168.100.1 interface="Mark Phone" network=192.168.100.0

Deze bedoel je met tientallen verschillende adressen?

Inmiddels verwijderd en ga dat filmpje morgen even zien, word inderdaad extreem onoverzichtelijk.

[MasterL]

Waar is je forward rule die het verkeer van je Wireguard subnet (192.168.100.0/24) toestaat naar je LAN en/of internet?

Zoiets dus (voor LAN toegang alleen):
/ip/firewall/filter
add action=accept chain=forward dst-address=192.168.88.0/24 src-address=192.168.100.0/24

Of zoiets voor toegang tot "alles" vanaf de Wireguard client:
/ip/firewall/filter
add action=accept chain=forward src-address=192.168.100.0/24

[Amdwarrior]

Ik heb het filmpje gekeken

YouTube: Wireguard setup with MikroTik and your smartphone

Maar inmiddels al iets veder , werkt half heb wel internet zelfs via 5G maar ip adres is van mobile provider

[jvanhambelgium]

Move die regel (12) op de "input" chain voor inkomende Wireguard (13321) eens helemaal naar boven ?
Regel (5) DROPPED alles op de INPUT-chain dus daar gaat je WG-verkeer komende van Internet al verloren.

Input chain = gericht naar de Mikrotik zelf.

En in enkele screenshots eerder van de WG-client op je Android zie ik plots port 51820 staan ?! Tja zo gaat het niet werken hé. Je FW-rule is op 13231 gemaakt, zet dat dan ook als target op de client.

[Amdwarrior]

Moet erg wennen van standaard router met wireguard setup vandaar de vragen.

Die port 51820 is nu default dus 13231

[jvanhambelgium]

Ok met de FW-rule bovenaan. Pas dan even je WG-client aan naar 13231.
Zie je de teller oplopen ? Maw "vang" je verkeer op je Mikrotik ?
Als die teller op "0" blijft staan is het te checken OF je het "endpoint" IP wel degelijk kan bereiken ? Heb je een PUBLIC IP op je Mikrotik ? Staat er nog een ISP-router voor ? Zoja, heb je daar het nodige "doorgezet" zodat je input-chain van je Mikrotik kan hitten ?

[Laagheim]

Misschien heb je een reden om handmatig een wireguard server op te zetten maar omdat je aangeeft dat je net een mikrotik router hebt gekocht weet je misschien niet dat je met de BtH app automatisch een verbinding op kan zetten (ook automatisch firewall rules). De config kan je dan exporteren en inlezen in wireguard op je PC.

https://help.mikrotik.com...es/197984280/Back+To+Home

[Amdwarrior]

Laagheim schreef op vrijdag 2 mei 2025 @ 18:57:
Misschien heb je een reden om handmatig een wireguard server op te zetten maar omdat je aangeeft dat je net een mikrotik router hebt gekocht weet je misschien niet dat je met de BtH app automatisch een verbinding op kan zetten (ook automatisch firewall rules). De config kan je dan exporteren en inlezen in wireguard op je PC.

https://help.mikrotik.com...es/197984280/Back+To+Home

Helaas heeft die arm soc nodig ik heb die helaas niet.

Kreeg ik als mededeling in de app.

[Amdwarrior]

jvanhambelgium schreef op vrijdag 2 mei 2025 @ 18:44:
Ok met de FW-rule bovenaan. Pas dan even je WG-client aan naar 13231.
Zie je de teller oplopen ? Maw "vang" je verkeer op je Mikrotik ?
Als die teller op "0" blijft staan is het te checken OF je het "endpoint" IP wel degelijk kan bereiken ? Heb je een PUBLIC IP op je Mikrotik ? Staat er nog een ISP-router voor ? Zoja, heb je daar het nodige "doorgezet" zodat je input-chain van je Mikrotik kan hitten ?

Ja Ziggo router/modem maar die staat in bridge modus, dus neem aan niet het probleem is.

Bij wireguard interface zie ik nog steeds 0 tx/rx

Bij wireguard interface wel leven nu.

[jvanhambelgium]

Die regel met het veld source-ip=192.168.88.0/24 moet je even negeren. Je moet eerst analyseren WAAROM je bovenste "input" regel geen verkeer aan het vangen is vanaf Internet.
Als je bij "ip" -> "addresses" gaat kijken ? Staat er ergens een publiek IP bij ? Wat zijn de 2 eerste digits ? vb 83.200.x.x

[Amdwarrior]

[ Voor 24% gewijzigd door Amdwarrior op 02-05-2025 20:06 ]

[jvanhambelgium]

Owkee, dan is het héél raar dat als je je telefoon op 4G/5G zet en wil een verbinding maken moeten de packets aankomen. Zet desnoods voor de zekerheid je WIFI af.

Ik mag toch wel hopen dat je "endpoint" DNS-naam vb die Mikrotik DynDNS is en dat het wel correct naar je 217.62.x.x gaat ?

[Amdwarrior]

Ja ik heb vanaf andere adressen buiten mijn eigen wifi gebruikt zelfde resultaat

[ Voor 138% gewijzigd door Amdwarrior op 02-05-2025 20:15 ]