代码之美

标签： wireguard

  • 关于nftables在output hook中设置mark路由不通的问题

    我这里排查到两点原因
    1. output hook只能是rotue链，不能是filter链，而prerouting则只能是filter链
    要这样写
    nft add chain inet fw4 gfw_output { type route hook output priority mangle\; policy accept\; }
    filter的优先级是比route低的
    官方是这么写的

    filter: Supported by arp, bridge, ip, ip6 and inet table families.
    route: Mark packets (like mangle for the output hook, for other hooks use the type filter instead), supported by ip and ip6.
    nat: In order to perform Network Address Translation, supported by ip and ip6.
    2. 本地出口源IP的问题
    可能因为默认路由在wan口上，所以本地发包源IP始终是wan口上的IP，而这个IP是运营商分配的100.64.0.0/10段的IP，这样就导致远端服务器找不到到100.64.0.0/10的路由，数据包有去无回，需要在服务器上配置这个网段的路由
    如果是wireguard在AllowedIPs中添加100.64.0.0/10网段即可。

    参考：
    https://forums.gentoo.org/viewtopic-t-1136379-start-0.html

    Views: 14

  • MTU测试

    可以用Ping命令来测试当前传输介质的MTU
    Windows用法
    ping -l 1464 -f 223.5.5.5
    -l指定的是ping包的载荷大小，由于ping包头是28字节，所以载荷加上28就是真实MTU大小，-f指定不可拆分包。
    Linux用法
    ping -s 1464 -M do 223.5.5.5
    使用-M do参数发送大包时是会自动提示MTU大小，不用再自己计算了
    如果是IPv6则要减去48字节(IP头40字节，ICMPv6头8字节),如下MTU 1500的icmpv6载荷为1452字节。
    ping -s 1452 -M do fe80::f8b3:a6ff:fece:7589
    不同介质/线路下MTU的大小
    – 以太网
    默认都是1500，一般以太网卡也可以配置超大帧
    – PPPOE拨号网络
    可以是1492，也可以是1480，国内一般都是1492
    – wireguard
    wireguar的报头是固定40个字节，IPV4的报头是20字节，IPV6报头是40字节，PPPOE是8个字节，所以在IPv4网络下wireguard的MTU是1500-40-20-8=1432,在IPv6网络下是1500-40-40-8=1412
    – IPSec
    因为PSec是高度可配置的，不同的配置下MTU是不一样的，需要实际去测试
    – udp2raw
    官方没有说udp2raw的报头是多长的，只说MTU是13xx(等于没说)，我用命令实测是88个字节的头部(即faketcp头部,应该也是变长的)所以PPPOE+Udp2raw+Wireguard的MTU就是1500-40-88-20-8=1344，如果是IPV6则是1324。

    关于双方MtU不同的情况：

    如果通信是一对一的，则两边设置相同的MTU即可，如果是面向多个端点的通信则需要需要设置为所有端点MTU最低的那个。设置MTU考虑的是对方及与对方通信线路的接收和传输能力。是取决于别人，面不是自己(一般自己都是1500)。

    关于MSS钳制可以看这一篇：

    TCP MSS钳制解决Wireguard访问github超时问题

    这个网站列出了各个协义的头部长度：

    https://baturin.org/tools/encapcalc/

    参考：

    https://zhuanlan.zhihu.com/p/532370376

    Views: 9

  • openwrt编译时集成wireguard功能

    如果只内置luci-proto-wireguard，会出现cannot find dependency kmod-crypto-kpp for kmod-crypto-lib-curve25519错误，需要把kmod-crypto-kpp模块也内置

    这个编译错误还是个老问题，参考这里：
    https://forum.openwrt.org/t/build-fails-with-multiple-errors/124382

    Views: 2

  • WireGuard ping: sendmsg: Required key not available

    其实这个错误就是路由指向了wireguard接口但是AllowedIPs中并没有配置对应的网段，AllowedIPs配置正确就好了

    Views: 87

  • TCP MSS钳制解决Wireguard访问github超时问题

    用OpenVPN的时候自带的有mssfix功能，但是Wireguard是没有的，这就导致访问某些网站(github.com)的时候超时无响应
    – iptables用法
    iptables -A FORWARD -p tcp –tcp-flags SYN,RST SYN -j TCPMSS –clamp-mss-to-pmtu
    – nftables用法
    nft add rule ip filter FORWARD tcp flags syn tcp option maxseg size set rt mtu
    – Openwrt的话可以直接在防火墙中配置MSS钳制

    其它的系统可以放到wireguard的PostUp脚本里面,asus merlin可以放到/jffs/scripts/wgclient-start里面。后来发现如果是从界面配置的wireguard则会自动添加TCPMSS规则，如果是自己用wg-quick手动配置的则需要用上述方法自己添加TCPMSS规则。

    这个问题是由于某些网站ICMP或者PMTU不能正常工作导致的，我用ping测试github.com的MTU就测试不出来
    参考：
    https://www.procustodibus.com/blog/2022/02/wireguard-over-tcp/
    https://www.vinoca.org/wireguardzhi-mtu-mss/

    Views: 64

  • WireGuard部署及NAT打洞

    主要参考文档：

    wireguard文档
    相关中文翻译
    – https://blog.51cto.com/u_15077562/4574884
    – https://icloudnative.io/posts/wireguard-docs-theory/
    nat穿透
    相关中文翻译
    – https://xie.infoq.cn/article/3f68cde0163b359b13fa1a8f0
    – https://icloudnative.io/posts/wireguard-endpoint-discovery-nat-traversal/

    总结

    • nat穿透的时候需要NAT后的节点共同连到一个有公网IP的节点上
    • 在nat背后的两个节点相连的时候需要至少一个是全椎形NAT，或者双方都为限制椎形
    • coredns部署在具有公网IP的节点上
    • wgsd_client需要在nat背后的节点上定时运行,可以5分钟或10分钟一次
    • wgsd的代码可以自己编译，尤其在windows上只能自己编译，在对应目录中运行go build就可以了
    • nat状态表的过期时间一般为2分钟，所以keepalive周期最好在1分钟以内
    • nat后节点不需要与公网节点能正常通信，只需要能向公网节点发起连接就行，所以coredns最好在公网开放端口，这样在不能与公网节点通信时也能用
    • 运营商级NAT都不是全椎形
    • nat类型探测工具
      https://github.com/HMBSbige/NatTypeTester
    • nat类型介绍
      https://support.huawei.com/hedex/hdx.do?docid=EDOC1100331440&id=ZH-CN_CONCEPT_0183792552
      https://zhuanlan.zhihu.com/p/657998085

    Views: 805