水月居幸福遊記

  開始想用 wireguard 的時侯，套件一開始就裝好了，一直找不到設定檔，而且試著開始用的時侯，發現怎麼顯示出來的介面和設定的不一樣，於是又開始了一陣胡搞瞎搞…  工作環境：      Ubuntu 22 server  LTS      wireguard 1  設定的方式大同小異，可以參考 這裏 、 這裏、 或是 這裏 ，設定檔的資料夾權限可能要注意一下：     mkdir -m 0700 /etc/wireguard/      cd /etc/wireguard/      umask 077      wg genkey | tee privatekey | wg pubkey > publicke y  看別人設定覺得好像不難，居然也能撞牆…  就在完成設定檔之後， start wireguard 發現 interface 的資訊和設定的不一樣，而且找不到地方可以改原始的設定，是的，系統裏找關鍵字 conf 和 wg 就只會找到自已剛才開的設定檔，其他的檔案看起來就是長得和自已剛才開的設定檔不像，那時忘了先重開機一下，可能就沒事了，千金難買早知道啊…畢竟是很少需要重開機的系統  為了讓 wireguard 可以「正確」的啟用，開始針對訊息和設定的落差，透過刪改既有的檔案的方式來「修正」「落差」，於是乎這個檔重建也不是，殺也不是，unmask 也不行， wireguard 就是無法啟用  Failed to enable unit: Unit file /lib/systemd/system/wg-quick@.service is masked  原本設定檔裏想要透過 `cat privatekey` 來引用私鑰也是不行地…乖乖地把私鑰貼上設定檔了  如果可以很快地抓到問題所在，排除狀況，當然對症下藥，用修的；然而很多時侯，打掉重練看起來吃力，卻是最佳解， 重設設定吧，記得也要重開機   sudo dpkg-reconfigure wireguard ...

 為了把不必要的門關起來，把 input drop all 的政策開起來之後，原本可以連線的 Wireguard 連不上了…  還好現在在設備旁  工作環境：   Mikrotik CCR site-to-site wireguard hapAC, CCR ip firewall filter +default drop input all   Wireguard windows peer   CCR 的 input filter 相對於 hapAC 在 wireguard 的路由管理應用在 firewall 好像是比較嚴格，其他設定一樣的狀況下，在開啟 input drop all 之後， wireguard 連接 hapAC 還是可以存取資源，但是連接 CCR 就馬上被關在門外，想必是得開小門… 操作：  wireguard 連遠端 site (hapAC)無法連回 CCR ，wireguard 連近端 site(CCR)無法通  在 CCR 實體線路把對方的內網 gateway 打開： /ip firewall filter add action=accept chain=input src-address=192.168.2.1  wireguard 連遠端 site (hapAC)可以連回 CCR ，wireguard 連近端 site(CCR)無法通  再把 wireguard 的網段打開： /ip firewall filter add action=accept chain=input src-address=10.10.10.0/30  wireguard 連近端也可以通了   收工！

  利用 VPN 來連接不同的網際網路上的節點實務上蠻常見的，如果你剛好在不同的房間裏，各自用分享器接到小烏龜上撥接上網是不是很方便，然後，各自掛了nas在自已的分享器上用，還是很方便，如果，有那麼一天，你隔壁的朋友說要存資料來我的 nas 存，是不是就有點麻煩又不怎麼安全，話說有網路用網路沒網路才走馬路…  工作環境：  中華電信小烏龜  2台分享器(Mikrotik)各自已經設好可以上網      各自接好了自已的nas在分享器下  使用 winbox / webfig 設定 ：wireguard 的設定方式都是一樣的，請對方設好給你的 ip 位址，請對方提供你公鑰，然後就把這些資訊填好就可以連了，不管對方是一個site還是一個節點，連線位址在 Quick Set 右下角有個 )*^&*()*&^&*( .sn.mynetname.net 就是了，就不用煩惱ip是會變的， 可以參考這裏  site-to-site 要多設路由的部份(2個分享器都要設)： IP > Routes > Dst. address: 對方(開放的)內網網段(eg:192.168.0.0/24) / gateway: 對方的 wireguard 的 IP(eg: 10.10.10.1/30) > Apply > OK  設好之後，就可以看到對方的網段之內的設備了，不用馬路也可以連來連去了。 收工！

因為有2個點想要同時連接，從連線程式發現原本的連接設定是分別設定的，所以只能一次取得一個 Peer 之中的資源 ，如果想要同時連接的話，要修改一下。 工作環境：  Mikrotik routerOS 7.*  Windows wireguard 設定範例如下： [Interface] PrivateKey = removed Address = 192.168.0.11/32 [Peer] PublicKey = removed AllowedIPs = 192.168.1.0/24, 10.0.0.0/24, 192.168.0.0/24 Endpoint = 1.2.3.4:12345 PersistentKeepalive = 25 [Peer] PublicKey = removed AllowedIPs = 192.168.1.0/24, 10.0.0.0/24, 192.168.0.0/24 Endpoint = 2.3.4.5:23456 PersistentKeepalive = 25 如此便能一次連接2個節點，也能同時取得2個節點下的資源了。   收工！  ===================== 後記 ===================== wireguard server 的 ip 不能一樣，不然一次只能連一個點，如果 server IP 不一樣可以同時開兩個 p2p 的連接，不用再設定第3個連接設定檔把 Peer 設定合在一起