forum.odorik.cz

[quote=dako post_id=44133 time=1709127352 user_id=888]
K tomu jen krátce, raději bych se držel staré dobré OpenVPN. S Wireguardem jsem si chvílemi zahrával, a chovalo se to různě, především mi šlo o chování v mobilní aplikaci. Raději jsem se vrátil zpět k OpenVPN. Především šlo o "pushování" lokalních sítí do vpn, Ve wireguard to nahrazuje allowed-address, jenže to fungovalo tak nějak divně. Zkrátka, spíš to neroutovalo jak routovalo. Druhá věc, v Mikrotiku je wireguard dostupný od ROS7, a s tou mají mikrotiky s čipem mibs neskutečný problém (ani se nepokoušejte os7 do něj dávat).
Nastavování wireguardu - super, přes qr kód zvládne i cvičená opička, ale to je tak asi vše. Trochu pokročilejší síťařina ale drhne.
[/quote]

Se špatnou podporou v hardware se nedá nic dělat, ale předpokládám, že časem se to zlepší hlavně kvůli tomu, že wireguard je méně náročný na výkon hardware. Co se ale týče nějakého záhadného chování, to věřím, že bude snad jen nějaké nepochopení či špatná konfigurace. Ta nastavení allowed address normálně ovlivní routování, i když se nepřidají nová pravidla do routovací tabulky. Což je trochu taková magie, ale celé je to kvůli tomu docela jednoduché.

K tomu jen krátce, raději bych se držel staré dobré OpenVPN. S Wireguardem jsem si chvílemi zahrával, a chovalo se to různě, především mi šlo o chování v mobilní aplikaci. Raději jsem se vrátil zpět k OpenVPN. Především šlo o "pushování" lokalních sítí do vpn, Ve wireguard to nahrazuje allowed-address, jenže to fungovalo tak nějak divně. Zkrátka, spíš to neroutovalo jak routovalo. Druhá věc, v Mikrotiku je wireguard dostupný od ROS7, a s tou mají mikrotiky s čipem mibs neskutečný problém (ani se nepokoušejte os7 do něj dávat).
Nastavování wireguardu - super, přes qr kód zvládne i cvičená opička, ale to je tak asi vše. Trochu pokročilejší síťařina ale drhne.

Ohledně blokace Wireguard v Egyptě a jiných podobných zemích.


Tak jsem dnes zjistil, že Wireguard systematicky neblokují jen v Egyptě, ale např. i v Pákistánu. Nový Odorik Wireguard VPN v Pákistánu chvíli jel, zjevně než jej detekovali a zablokovali.
SIP v Pákistánu také nefunguje dobře/spolehlivě, zjevně je také záměrně przněno.
Tedy nezbývá než použít nějaký VPN, který je velmi obtížné detekovat. Zajímavé je, že např. WhatsApp v Pákistánu funguje OK.

Náš zákazník zkoušel protonVPN. Nejnižší tarif s neomezenými daty má úplně zdarma bez omezení dat, zdarma je i podpora OpenVPN, Wireguard nebo vlastní aplikace. Zajímavé je, že Wireguard byl vždy blokován, ale jejich vlastní aplikace fungovala. Zjevně používají vlastní protokol (či např. mírně pozměněný Wireguard nebo OpenVPN), tak aby nebylo je snadné jej detekovat a tedy blokovat.

Bohužel náš zákazník má ještě další požadavek. Chce VPN používat jen na volání přes Odorik, ale na nic jiného.
Tedy mělo by stačit někam zadat [url=http://www.odorik.cz/w/ip_adresy_pro_verejnost] ip rozsahy Odoriku[/url] a mělo by být hotovo.

Bohužel podpora mnohých VPN služeb je tak mizerná, že ani nejsou schopni zodpovědět tento jednoduchý dotaz, zda je možné jejich VPN použít jen na určité IP rozsahy. To je pro práci jistě rozumné. Za používání VPN, tedy IP adres se špatnou reputací, vás mohou totiž některé služby (jako např. LinkedIn) trvale zablokovat účet, proto může být dobré VPN používat jen pro služby, kde je to nutné.

Ukázalo se, že aplikace protonVPN má možnost si nastavit, že přes tunel mají jít jen některé ip rozsahy. Bohužel tato možnost je dostupná jen u placené verze.

V každém případě protonVPN (či podobné služby) je způsob, jak rozchodit SIP v Pákistánu, tedy pravděpodobně i v Egyptě, a to zcela zdarma. Jen je třeba se vyhnout použití standardizovaných VPN protokolů a používat jejich aplikaci, která používá tajný a možná měnící se protokol, který brání detekci tedy i blokaci.

Taky to nefunguje
a na linkach, ktere jsou pripojene k tomuto WG tunelu nefunguji prichozi hovory.

Takze to jeste potrebuje doopravit, protoze, data tecou tunelem spravne, ale
zpet se nevrati ???

Na mikrotiku by mělo stačit jen
/tool/traceroute sip.odorik.cz

Interface by to mělo vybrat samo podle ip adresy destinace. Pokud to nejde, není to důležité, podstatné je, že to jde ze sítě za mikrotikem.

/interface/wireguard/add private-key="muj-privatni-klic=" name=wg-odorik

/interface/wireguard/peers/add allowed-address=81.31.43.192/28,81.31.43.232/29,81.31.45.32/27,89.185.255.32/28,89.185.255.48/29,89.185.255.56/32,89.185.255.58/31,89.185.255.60/30,172.16.0.0/16 \
endpoint-address=89.185.255.57 \
endpoint-port=38150 \
interface=wg-odorik \
public-key="Odor8VaaxS9YIdZv6xGcuibSccYRFVWk7ctTGSp43C8=" \
persistent-keepalive=30

/ip/address/add address=172.16.xx.xx/xx interface=wg-odorik

/ip/firewall/mangle/add chain=prerouting in-interface=wg-odorik action=mark-routing new-routing-mark=main

/ip/route/add dst-address=81.31.45.32/27 gateway=wg-odorik routing-table=main

/ip/firewall/nat/add chain=srcnat out-interface=wg-odorik action=masquerade

/tool/traceroute interface=wg-odorik sip.odorik.cz

Columns: LOSS, SENT, LAST
#  LOSS  SENT  LAST   
1  100%     6  timeout
2  100%     6  timeout
3  100%     6  timeout
4  100%     5  timeout
5  100%     5  timeout

>tracert sip.odorik.cz

Tracing route to sip.odorik.cz [81.31.45.51]
over a maximum of 30 hops:

  1     1 ms     1 ms     1 ms  router.lan [xxx.xxx.xxx.xxx]
  2    30 ms    33 ms    30 ms  172.16.0.1
  3    30 ms    30 ms    30 ms  81-31-45-51.static.masterinter.net [81.31.45.51]

1]
[code]/interface/wireguard/add private-key="muj-privatni-klic=" name=wg-odorik[/code]

2]
[code]/interface/wireguard/peers/add allowed-address=81.31.43.192/28,81.31.43.232/29,81.31.45.32/27,89.185.255.32/28,89.185.255.48/29,89.185.255.56/32,89.185.255.58/31,89.185.255.60/30,172.16.0.0/16 \
endpoint-address=89.185.255.57 \
endpoint-port=38150 \
interface=wg-odorik \
public-key="Odor8VaaxS9YIdZv6xGcuibSccYRFVWk7ctTGSp43C8=" \
persistent-keepalive=30[/code]


3]
[code]/ip/address/add address=172.16.xx.xx/xx interface=wg-odorik[/code]


4]
[code]/ip/firewall/mangle/add chain=prerouting in-interface=wg-odorik action=mark-routing new-routing-mark=main[/code]


5]
[code]/ip/route/add dst-address=81.31.45.32/27 gateway=wg-odorik routing-table=main[/code]
Tady asi bude treba pridat vsechny ty Vase subnets, ze?

6]
[code]/ip/firewall/nat/add chain=srcnat out-interface=wg-odorik action=masquerade[/code]

Telefon, co je k tomu routeru prihlaseny pres Wi-Fi se ted hlasi jako registrovany z:
89.185.255.57:49765
ale lokalni adresa je
z rozsahu moji LAN

Ale ....traceroute na Mikrotiku na to wg interface:

[code]/tool/traceroute interface=wg-odorik sip.odorik.cz[/code]
stale hlasi:
[code]Columns: LOSS, SENT, LAST
# LOSS SENT LAST
1 100% 6 timeout
2 100% 6 timeout
3 100% 6 timeout
4 100% 5 timeout
5 100% 5 timeout[/code]

Ale na PC, co je pripojene pres WiFi:
[code]>tracert sip.odorik.cz

Tracing route to sip.odorik.cz [81.31.45.51]
over a maximum of 30 hops:

1 1 ms 1 ms 1 ms router.lan [xxx.xxx.xxx.xxx]
2 30 ms 33 ms 30 ms 172.16.0.1
3 30 ms 30 ms 30 ms 81-31-45-51.static.masterinter.net [81.31.45.51][/code]


[b]A nefunguje oznameni o prichozim hovoru :([/b]

Add 3) Podle mě síť je definovaná tím číslem za lomítkem a network=něco už jení potřeba specifikovat.
WG-interface by určitě mělo mít jen tu přidělenou adresu. 0.0.0.0/0 není adresa, ale nastavení, kdy se někam směruje úplně všechno. Tedy síť, která zahrnuje úplně všechny ip adresy.

/interface/wireguard/add private-key="muj-privatni-klic=" name=wg-odorik

/interface/wireguard/peers/add allowed-address=81.31.43.192/28,81.31.43.232/29,81.31.45.32/27,89.185.255.32/28,89.185.255.48/29,89.185.255.56/32,89.185.255.58/31,89.185.255.60/30,172.16.0.0/16 \
endpoint-address=89.185.255.57 \
endpoint-port=38150 \
interface=wg-odorik \
public-key="Odor8VaaxS9YIdZv6xGcuibSccYRFVWk7ctTGSp43C8=" \
persistent-keepalive=30

/ip/address/add address=172.16.xx.xx/xx network=???.??.?.?/?? interface=wg-odorik

/routing/table/add name=wg-sip
/ip/firewall/mangle/add chain=prerouting in-interface=wg-sip action=mark-routing new-routing-mark=wg-sip

/routing/rule/add routing-mark=wg-sip action=lookup-only-in-table table=wg-sip
/ip/route/add dst-address=0.0.0.0/0 gateway=???.??.?.?/?? routing-table=wg-sip

/ip/firewall/nat/add chain=srcnat out-interface=wg-odorik action=masquerade

Tu Vasi privatni IP adresu potrebuji pridat do adres na tom routeru v sekci (3) a (5):

1]
[code]/interface/wireguard/add private-key="muj-privatni-klic=" name=wg-odorik[/code]

2]
[code]/interface/wireguard/peers/add allowed-address=81.31.43.192/28,81.31.43.232/29,81.31.45.32/27,89.185.255.32/28,89.185.255.48/29,89.185.255.56/32,89.185.255.58/31,89.185.255.60/30,172.16.0.0/16 \
endpoint-address=89.185.255.57 \
endpoint-port=38150 \
interface=wg-odorik \
public-key="Odor8VaaxS9YIdZv6xGcuibSccYRFVWk7ctTGSp43C8=" \
persistent-keepalive=30[/code]

3]
[code]/ip/address/add address=172.16.xx.xx/xx network=???.??.?.?/?? interface=wg-odorik[/code]
[b]Jaka "network=???.??.?.?/??" to je u Vas?[/b]

4]
[code]/routing/table/add name=wg-sip
/ip/firewall/mangle/add chain=prerouting in-interface=wg-sip action=mark-routing new-routing-mark=wg-sip[/code]

5]
[code]/routing/rule/add routing-mark=wg-sip action=lookup-only-in-table table=wg-sip
/ip/route/add dst-address=0.0.0.0/0 gateway=???.??.?.?/?? routing-table=wg-sip[/code]

6]
[code]/ip/firewall/nat/add chain=srcnat out-interface=wg-odorik action=masquerade[/code]


Kdyz se na to ted divam, nemnely by ty adresy na WG Interface mit "0.0.0.0/0"
a v bode (5) se ty adresy pridaji, protoze pres to WG "wg-odorik" interface, chci routovat jen Vas traffic a ne vsechno .....
ale mikrotik preci potrebuje vedet (z routing table) ze to pro ty vase rozsahy IP address ma smerovat na to "wg-odorik" interface ..

To zarizeni MikroTik je domaci Router, ktery pomoci PPPoE dostane od meho ISP (verejnou IPv4/IPv6).
Protoze "combo" zarizeni co ISP's poskytuji vetsinou stoji za ...... pouzivam pred Tim routerem
VDSL2 modem (Huawei EchoLife HG612) unlocknuty a s upravenym firmware, ktery se osvedcil leta a nabizi
pristup pres telent pro stats atd.

Doufal jsem,
ze nekdo poradi,
protoze pridani "Route" nepomohlo .......

(Neni tady nejaky sitar?)

EDIT: Tuesday, January 09 2024
Napsal jsem na forum MikroTik
https://forum.mikrotik.com/viewtopic.php?t=203203

traceroute sip.odorik.cz
traceroute to sip.odorik.cz (81.31.45.51), 30 hops max, 60 byte packets
 1  192.168.145.1 (192.168.145.1)  27.026 ms  28.391 ms  33.338 ms
 2  81-31-45-51.static.masterinter.net (81.31.45.51)  33.901 ms  33.886 ms  33.855 ms

[quote=sip2sim post_id=43472 time=1704464656 user_id=2497]
Ve windows WG jsem si vygeneroval "PrivateKey" a podle nastaveni
https://www.odorik.cz/w/wireguard_vpn
nastavil, po obdrzeni IP adresy 172.16.X.X/XX doplnil.
Aktivoval a na PC s Windows to funguje a trafic pro *.odorik.cz se routuje pres WG tunnel
a vsechno ostatni mimo tunel :)


[code][Interface]
PrivateKey = mujvygenerovanyprivatniklic=
Address=172.16.XX.XX/XX

[Peer]
AllowedIPs = 81.31.43.192/28, 81.31.43.232/29, 81.31.45.32/27, 89.185.255.32/28, 89.185.255.48/29, 89.185.255.56/32, 89.185.255.58/31, 89.185.255.60/30, 172.16.0.0/16
PublicKey = Odor8VaaxS9YIdZv6xGcuibSccYRFVWk7ctTGSp43C8=
Endpoint = 89.185.255.57:38150
PersistentKeepalive = 30[/code]




Takze to zkousim na zarizeni MikroTik v7.12 i z druhe VDSL linky s v7.13 z prikazove radky:


[code]/interface/wireguard add private-key="mujvygenerovanyprivatniklic=" name=wg-odorik1[/code]


[code]/interface wireguard peers add allowed-address=81.31.43.192/28,81.31.43.232/29,81.31.45.32/27,89.185.255.32/28,89.185.255.48/29,89.185.255.56/32,89.185.255.58/31,89.185.255.60/30 \
client-address=172.16.XX.XX/XX \
disabled=no \
endpoint-address=89.185.255.57 \
endpoint-port=38150 \
interface=wireguard-odorik \
persistent-keepalive=30s \
public-key="Odor8VaaxS9YIdZv6xGcuibSccYRFVWk7ctTGSp43C8="[/code]


Kontrola na "Vaše registrovaná SIP zařízení":
https://www.odorik.cz/ucet/sip_tisk.html?line=123456

Je videt, ze komunikace funguje, male mnozstvi dat (xx B) pres tunel tece,
ale telefon se stale ukazuje jako registrovany z WAN IP adresy :(

Jeste pro jistotu, zkousim SIP telefon Odorik.exe a ten ze zarizeni,
ktere je pripojene k routeru (v7.13) routuje trafic pres WAN a ne WG tunel :(

Nevi nekdo co mam spatne?
[/quote]

A to zařízení microtik je v cestě na internet? Možná se tam přecijen musí přidat routovací pravidla pro ip adresy odoriku, aby to šlo přes wireguard.

Jsou to rozsahy. 81.31.43.192/28, 81.31.43.232/29, 81.31.45.32/27, 89.185.255.32/28, 89.185.255.48/29, 89.185.255.56/32, 89.185.255.58/31, 89.185.255.60/30, 172.16.0.0/16

Jinak zkontrolovat by to mělo jít také příkazem traceroute. Pokud jde provoz přes tunel, vypadá to podobně jako níže.

[code]
traceroute sip.odorik.cz
traceroute to sip.odorik.cz (81.31.45.51), 30 hops max, 60 byte packets
1 192.168.145.1 (192.168.145.1) 27.026 ms 28.391 ms 33.338 ms
2 81-31-45-51.static.masterinter.net (81.31.45.51) 33.901 ms 33.886 ms 33.855 ms
[/code]

Tracert (nebo traceroute) také ukáže jestli jde provoz přes ten Mikrotik nebo nikoli.