Dotaz: wireguard

[lama]

Příloha:

• 01.png (15159 bytů)

zdravim, je mozne pouzit wireguard v nasledujucej situacii? na oboch stranach router od providera s verejnou statickou IP, za nim mikrotik router(kde by sa nastavil wireguard) a za nimi siet(siet A a siet B s inym adresnym rozsahom). pre lepsiu predstavu prikladam obrazok.

Odpovědi

[X]

Je to mozne.

[lama]

ok, dik za rychlu odpoved. mal by som potom este jednu otazku. v podstate identicka situacie, ale siete by boli tri(nie dve). Centrala, dve pobocky(vsade iny adresny rozsah). PC z pobociek potrebuju v podstate iba pristup na SMB server na centrale. To by malo asi tiez fungovat?

[Roman]

Ano.

[lama]

tak vdaka za info, kupim teda hw mikrotik a skusim to spojazdnit.

[Stevo]

https://help.mikrotik.com/docs/display/ROS/WireGuard

[Stevo]

Aspoň jedna strana musí byť sieťovo dosiahnuteľná z druhej strany. Čiže buď verejná IP na rozhraní, alebo aspoň portforward na nadradenom routri, ktorý má verejnú IP.

[JSOB]

Teď jsem toto řešil. Stačí jedna veřejná IP. O udržení spojení za NAT se postarají keep alive pakety. Co ale musíš udělat je forward portu (typicky 51820) na jednom z těch routerů (kde bude veřejka) providera. Takže pokud do nich nemáš přístup tak to nepůjde. Jinak to chodí v pohodě.

[Posejdon]

Wireguard ma vyhodu, ze je relativne jednoduchy na konfiguraci, kdyz to clovek dela poprve. Ja to resim pres IPSEC ike2 tunel s AES, protoze existuje dost modelu s HW akceleraci AES a SHA, takze prenos muze dosahovat vyssich stovek MB a ma to minimalni dopad na CPU, coz ta chacha pouzivana wireguardem podle me zere CPU, nevim o tom, ze by byla na Mikrotiku akcelerovana, ale zvladne na cpu daleko vetsi datovy toky, nez kdyby se pouzivala prave AES bez HW akcelerace. Takze jestli se IPSEC nebojite a muzete si koupit/ mate routery s akceleraci, tak to zvazte. Na strance produktu je zalozka s test results a tam byvaji i benchmarky IPSEC tunelu s pouzitim aes.