King Zone - Site to Site
type: channel
link: https://www.kingtam.win/tag/Site-to-Site/
items: MikroTik RouterOS 7 Site to Site WireGuard 隧道

MikroTik RouterOS 7 Site to Site WireGuard 隧道
type: item
date: 2022-06-02T14:30:06+08:00
description: MikroTik RouterOS 7 Site to Site WireGuard 隧道Cover.jpg前言: 繼上次繼續折騰迅雷賺錢寶 PRO (二代) -- Wire­Guard的安裝與使用 後，今次在MikroTik Router(要7.0或以上版本)實現Site to Site WireGuard 隧道。目錄內容: Site to Site 隧道原理和優點WireGuard 界面配置两端對等(Peer) 的配置WireGuard 界面IP地址配置靜態路由配置防火牆配置(可選)命令行的配置方式Site to Site 隧道原理和優點 Site to Site 隧道 經常應用在不同地理位置的公司分部(Branch)間通信，因為不同地方的分部可能需要持續訪問和使用公司總部內部網路資源(如伺服器資料存取)。利用Site to Site 隧道，可以安全地將公司網路與各分部辦公室連接起來，以便作為單個網路與相互之間進行通信及共享資源。相對於傳統的IPsec VPN連線方式，WireGuard在Site to Site的設定上更為簡便及高效。到訪問官方網站了解更多資訊。WireGuard 界面配置 如上圖示，两端辦公室(Office1 和 Office2)已經配置好上網，所有的電腦及裝置都位於路由器後面。 Office1Office2Public IP20.13.3.9820.13.3.97Internal IP11.1.1.0/2412.2.2.0/24左邊為Office1, 右邊為Office22022-06-01_163202.png在两端辦公室的MikroTik RouterOS路由器，分別新增WireGuard的網絡界面，按「Apply」會自動生成私鑰(Private Key)和公鑰(Public Key)。两端對等(Peer) 的配置 2022-06-01_163658.png左邊為Office1，右邊為Office2，分別新增及配置Peers，將對方的公鑰(Public Key)和WireGuard的界面(Interface)捆綁在一起用於相互握手。選項說明Interface:選取指定的WireGuard界面，如新建的wireguard1Public Key:對方路由器的WireGuard公鑰Endpoint:對方路由器的公網IP地址，也可以是Domain網址Endpoint Port:預設端口是13231，可自行更改Allowed Address:允許放行及訪問的網段(對方)，如果沒有限制, 可允許任意網段 0.0.0.0/0圖示中除了對方路由器的Internal IP要放行外，WireGuard的網段(這裡是 10.255.255.0/30)也需要放行才可以實現互通。WireGuard 界面IP地址配置 2022-06-01_163848.png分別新增及配置WireGuard界面的IP地址左邊為Office1，右邊為Office2Office1Office210.255.255.1/3010.255.255.2/30靜態路由配置 2022-06-01_165829.png配面靜態路由，是要告訴路由器，在訪問指定網段時要經過指定Next Hop IP Address選項說明Dst. Address:訪問指定網段，如Office1要訪問Office2內部網段是12.2.2.0/24Gateway:即Next Hop IP Address，也是對方的WireGuard界面IP地址2022-06-01_170938.png两端辦公室(Office1 和 Office2)的WireGuard Site to Site 隧道已經配置好了，雙方的電腦及裝置現在都可以互相通信。防火牆配置(**可選**) 因為Mikrotik的CHR版本RouterOS預設的防火牆沒有建立任何規則(rule)，所以WireGuard Site to Site 隧道是沒有被防火牆阻隔。但基於安全理由，還是強烈建議部署MikroTik RouterOS 7 防火墻基礎設定，後根據以下圖示加入「input」鏈并「accept」允許流量。2022-06-01_171158.png選項說明Chain:選取input鏈，為進入的流量Protocol:選取UDP，WireGuard 通過 UDP 封裝 IP 數據包Dst, Port:預設端口是 13231Action:動作是accept，即允許流量通過另外，轉發的規則(即forward 鏈)也可能會限制子網段間的通信，所以WireGuard Site to Site 隧道是的網段不能互通時, 需要加入下圖2條規則。2022-06-01_171657.png選項說明Chain:選取forward鏈，為轉發的…