ubuntuusers.de

Hallo!

Ich habe auf meinem Ubuntu Server den Wiregeard Server (Virtualbox mit Netzwerkbrücke - IP 192.168.0.14 also bei mir im internen Netz 192.168.0.0/24 mit GW 192.168.0.252 - UFW Firewall ist deakviert) laufen und im gleichen Netz (mit der IP 192.168.0.155 auch GW 192.168.0.252) einen Windows Rechner auf welchen ich mit RDP über Wireguard zugreifen will!

Der WG Client ist auf einem Windows 10 Laptop installiert, hier wird über Android Handy Hotspot mit dem Internet verbunden. Soweit funktioniert alles einwandfrei (Ping funktioniert und ich erreiche meine Netzwerkfreigaben-sind auch auf 192.168.0.155 und kann auf meine Daten im Heim LAN zugreifen . Auch der Webserver auf einem anderen Ubuntu Server auf VirtualBox im Lan ist normal erreichbar), nur mit RDP auf dem Windows Gerät gibt es Probleme (Firewall am LAN interface ist deaktiviert). RDP Verbindung kommt zustande (Benutzerdaten können eingeben werden und die Anmeldung funktioniert), wird aber kurz bevor der Bildaufbau komplett ist mit einem internen Fehler getrennt!

Folgende Konfiguration wird verwendet :

Server :

[Interface]
Address = 10.0.0.1/24
SaveConfig = true
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o enp0s3 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTUNG -o enp0s3 -j MASQUERADE
ListenPort = 51820
PrivateKey =

[Peer]
PublicKey =
AllowedIPs = 10.0.0.2/32


Client :

[Interface]
PrivateKey =
Address =  10.0.0.2/32

[Peer]
PublicKey =
Endpoint = x.x.x.x:51820
AllowedIPs = 10.0.0.0/24
AllowedIPs = 192.168.0.0/24

Ich denke, das es villeicht ein Routing Problem ist, da Wireguard ja, im Gegensatz zu Open VPN, keine Routen automatisch erzeugt. Bei OpenVPN ging RDP ohne Probleme!

Aber nachdem die Geschwindigkeit über VPN mit Wireguard um klassen besser ist, würde ich gerne umsteigen!

vielen Dank!

elvisgeist

elvisgeist schrieb:

Server :

[Interface]
Address = 10.0.0.1/24
SaveConfig = true
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o enp0s3 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTUNG -o enp0s3 -j MASQUERADE
ListenPort = 51820
PrivateKey =

[Peer]
PublicKey =
AllowedIPs = 10.0.0.2/32


Client :

[Interface]
PrivateKey =
Address =  10.0.0.2/32

[Peer]
PublicKey =
Endpoint = x.x.x.x:51820
AllowedIPs = 10.0.0.0/24
AllowedIPs = 192.168.0.0/24

Ich denke, das es villeicht ein Routing Problem ist, da Wireguard ja, im Gegensatz zu Open VPN, keine Routen automatisch erzeugt. ...

Ich denke Du hast Fehler in der Konfiguration. Netmask bei der IP vom Client (32 statt 24). Die Routen werden mit AllowedIPs konfiguriert. S-NAT kann erforderlich sein.
Wie sind die Ausgaben von:

ip r
ip r g <IP-WG-Peer>
ping -c 3 <IP-WG-Peer>
sudo iptables -nvx -L -t nat
sudo iptables-legacy -nvx -L -t nat

?

Hallo!

Vielen Dank für die Antwort! Ich habe die Peer Netmask zum Testen mal auf /24 geändert, Problem bleibt aber bestehen (ist ja nur bei der RDP Verbindung, alles andere geht ja)!

Hier noch die Ausgaben der Befehle, alle vom WG Server ausgeführt (hier sind auch noch Docker Container installiert) :

ip r
---------------------------------------------------------------------------

default via 192.168.0.252 dev enp0s3 proto dhcp src 192.168.0.14 metric 100
10.0.0.0/24 dev wg0 proto kernel scope link src 10.0.0.1
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1 linkdown
172.18.0.0/16 dev br-f1dcaac96327 proto kernel scope link src 172.18.0.1
192.168.0.0/24 dev enp0s3 proto kernel scope link src 192.168.0.14
192.168.0.252 dev enp0s3 proto dhcp scope link src 192.168.0.14 metric 100

ip r g 10.0.0.2
---------------------------------------------------------------------------

10.0.0.2 dev wg0 src 10.0.0.1 uid 1000


ping -c 3 10.0.0.2
---------------------------------------------------------------------------

PING 10.0.0.2 (10.0.0.2) 56(84) bytes of data.
64 bytes from 10.0.0.2: icmp_seq=1 ttl=128 time=74.6 ms
64 bytes from 10.0.0.2: icmp_seq=2 ttl=128 time=420 ms
64 bytes from 10.0.0.2: icmp_seq=3 ttl=128 time=230 ms

iptables -nvx -L -t nat
---------------------------------------------------------------------------

Chain PREROUTING (policy ACCEPT 320426 packets, 19780007 bytes)
    pkts      bytes target     prot opt in     out     source               destination
   76550  3984733 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 4219 packets, 799312 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 682933 packets, 41373707 bytes)
    pkts      bytes target     prot opt in     out     source               destination
     666    55944 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT 744350 packets, 44899279 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0
 4145197 248711820 MASQUERADE  all  --  *      !br-f1dcaac96327  172.18.0.0/16        0.0.0.0/0
       0        0 MASQUERADE  tcp  --  *      *       172.18.0.2           172.18.0.2           tcp dpt:80
  159601  9811757 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0

Chain DOCKER (2 references)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0
       0        0 RETURN     all  --  br-f1dcaac96327 *       0.0.0.0/0            0.0.0.0/0
   76487  3977296 DNAT       tcp  --  !br-f1dcaac96327 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:8280 to:172.18.0.2:80


iptables-legacy -nvx -L -t nat
--------------------------------------------------------------------------------------------

Chain PREROUTING (policy ACCEPT 320426 packets, 19780007 bytes)
    pkts      bytes target     prot opt in     out     source               destination
   76550  3984733 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 4219 packets, 799312 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 682933 packets, 41373707 bytes)
    pkts      bytes target     prot opt in     out     source               destination
     666    55944 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT 744350 packets, 44899279 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0
 4145197 248711820 MASQUERADE  all  --  *      !br-f1dcaac96327  172.18.0.0/16        0.0.0.0/0
       0        0 MASQUERADE  tcp  --  *      *       172.18.0.2           172.18.0.2           tcp dpt:80
  159601  9811757 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0
       0        0 MASQUERADE  all  --  *      enp0s3  0.0.0.0/0            0.0.0.0/0

Chain DOCKER (2 references)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0
       0        0 RETURN     all  --  br-f1dcaac96327 *       0.0.0.0/0            0.0.0.0/0
   76487  3977296 DNAT       tcp  --  !br-f1dcaac96327 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:8280 to:172.18.0.2:80

villeicht ist ja was zu sehen!

vielen Dank! elvisgeist

Ich habe nicht alles gelesen, hast du die Windoof Firewall deaktiviert?

Ja, Windows Firewall ist deaktiviert!

Wenn alles andere geht, warum soll es dann ein Routing Problem sein? Pakete werden auf Layer 3 (IP) geroutet, TCP/UDP was von RDP verwendet wird ist Layer 4 und aufwaerts.

Was genau funktioniert den zwischen den gleichen Systemen?

So, mal ein Update!

Habe alles neu gemacht, auf einem Ubuntu 24.04 LTS Server (auch ale Virtualbox Image) ! Jetzt funktioniert auf einmal alles mit der gleichen Wireguard Konfiguration und es sind auch wieder ein paar Docker Container im Einsatzt! Keine Ahnung warum es auf dem alten 22.04 Server Probleme mit Windows RDP über Wireguard gab ...

Jedenfalls vielen Dank für die Unterstützung!