☰

Ubuntu 22.04-通过站点到站点 VPN (wireguard) 从路由器 ping 到其他站点

tag-icon • tag-icon iptables routing linux-networking wireguard
Ubuntu 22.04-通过站点到站点 VPN (wireguard) 从路由器 ping 到其他站点

这是我的设置...

我有两个 Windows VM，分别设置为 192.168.51.100 和 192.168.52.100。
这两台 Windows 机器可以互相 ping 通，也可以 ping 通每个路由器。我无法从路由器 ping 通远程网络，例如从 192.168.51.1 ping 到 192.168.52.100 或 .1

持久 IP 表（rules.v4 文件）如下：它们是两个路由器上的相同 iptables。

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

-A POSTROUTING -o ens160 -j MASQUERADE

COMMIT

# Completed on Tue Jul 12 00:56:20 2022
# Generated by iptables-save v1.8.4 on Tue Jul 12 00:56:20 2022
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
:nat - [0:0]

-A INPUT -i ens160 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j RH-Firewall-1-INPUT
-A INPUT -i ens160 -m state --state INVALID,NEW -j DROP

-A FORWARD -o wg0 -j ACCEPT
-A FORWARD -i wg0 -j ACCEPT
-A FORWARD -i ens192 -j nat
-A FORWARD -i ens160 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ens160 -p icmp -j ACCEPT
-A FORWARD -i ens160 -m state --state INVALID,NEW -j DROP
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

#-A RH-Firewall-1-INPUT -i enp0s3 -p udp -m udp --sport 67:68 --dport 67:68 -j ACCEPT
-A RH-Firewall-1-INPUT -i wgo -j ACCEPT
-A RH-Firewall-1-INPUT -i ens192 -j ACCEPT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p esp -j ACCEPT
-A RH-Firewall-1-INPUT -p ah -j ACCEPT
-A RH-Firewall-1-INPUT -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
#-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 1194 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

-A nat -i ens192 -j ACCEPT

COMMIT

router1的路由表：

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         _gateway        0.0.0.0         UG    100    0        0 ens160
192.168.51.0    0.0.0.0         255.255.255.0   U     0      0        0 ens192
192.168.52.0    192.168.51.1    255.255.255.0   UG    0      0        0 wg0
192.168.100.0   0.0.0.0         255.255.255.0   U     0      0        0 ens160

我确实发现我可以通过强制它出去特定的 IP 来 ping 远程网络。

ping 192.168.52.100 -I 192.168.51.1

但尝试使用其他任何方法都不起作用（wg0、ens192、ens160）。有没有办法不必指定 IP 地址？

相关内容